WO2019225735A1 - データ処理装置、方法及びコンピュータプログラム - Google Patents

データ処理装置、方法及びコンピュータプログラム Download PDF

Info

Publication number
WO2019225735A1
WO2019225735A1 PCT/JP2019/020628 JP2019020628W WO2019225735A1 WO 2019225735 A1 WO2019225735 A1 WO 2019225735A1 JP 2019020628 W JP2019020628 W JP 2019020628W WO 2019225735 A1 WO2019225735 A1 WO 2019225735A1
Authority
WO
WIPO (PCT)
Prior art keywords
blocks
bit string
block
length
block length
Prior art date
Application number
PCT/JP2019/020628
Other languages
English (en)
French (fr)
Inventor
石田　祐介
淳 國井
純一 桶谷
晋平 國井
Original Assignee
株式会社ＺｅｎｍｕＴｅｃｈ
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 株式会社ＺｅｎｍｕＴｅｃｈ filed Critical 株式会社ＺｅｎｍｕＴｅｃｈ
Priority to JP2020520390A priority Critical patent/JP7226829B2/ja
Priority to KR1020207036591A priority patent/KR20210013121A/ko
Priority to US17/058,620 priority patent/US11764945B2/en
Publication of WO2019225735A1 publication Critical patent/WO2019225735A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/065—Encryption by serially and continuously modifying data stream elements, e.g. stream cipher systems, RC4, SEAL or A5/3
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption

Definitions

  • the present disclosure relates to a data processing device, a method, and a computer program.
  • the secret sharing method is a technique for distributing data into a plurality of fragments so that original data cannot be restored unless fragments (also referred to as shares) of a quorum or more are collected.
  • the quorum can be set to k and the distribution number n can be an arbitrary integer equal to or larger than k, but the data size increases approximately n times through the distribution.
  • the AONT (All Or None Transform) method proposed in Non-Patent Document 1 increases the total data size only slightly, and if even one small data block is missing, the entire original data cannot be restored. Thus, the data is randomized (that is, converted into a meaningless bit string). Therefore, by dispersing the converted data into n pieces, the AONT method can be treated as a variant of the secret sharing method in which the quorum k is equal to the number of distributions n.
  • the characteristic of the AONT method that only slightly increases the total data size is that the secret sharing method is used in various modern systems or devices that have limited resources in various aspects such as processing capacity, communication performance or storage capacity. (For example, refer to Patent Document 1).
  • the CTRT (CounTeR Transform) method proposed in Non-Patent Document 2 is one of transformation algorithms for practicing the AONT method.
  • the safety of the CTRT method is proved in Non-Patent Document 2.
  • the CTRT method requires data to be distributed in units of blocks rather than in units of bits, it has a high affinity with computer implementation in that the AONT method can be implemented by reusing block ciphers.
  • the algorithm of the CTRT method described in Non-Patent Document 2 has a constraint that k ⁇ l between the block length l of the data block and the key length k of the block cipher.
  • DES Data Encryption Standard
  • the block length l of AES Advanced Encryption Standard
  • the key length k is selected from 128, 192, or 256 bits. This means that the 192 or 256-bit key length of AES, which should be expected to have stronger security, is larger than the block length, and thus cannot be used in applications that implement the CTRT method.
  • the technology according to the present disclosure aims to overcome or at least reduce the above-described disadvantages related to the existing AONT method.
  • the original bit string is segmented into a plurality of input blocks each having a first block length, a random bit string having a bit length larger than the first block length is generated, and the generated random bit string is based on the generated random bit string
  • a plurality of intermediate blocks are derived by encrypting each of the plurality of input blocks using a block cipher type symmetric key cryptosystem that uses the key having a key length that is larger than the first block length.
  • the plurality of derived intermediate blocks are concatenated for every predetermined number of intermediate blocks to form one or more output blocks each having a second block length equal to the bit length of the random bit sequence;
  • the second block length is obtained by calculating with a conversion function that can be inversely converted using two or more output blocks and the random bit string.
  • Derives the Ranaru output block, said one or more output blocks and the outputs the encrypted bit string including an additional output block, as configured processing circuits, data processing apparatus comprising a are provided.
  • a method for converting an original bit string into an encrypted bit string in a data processing device wherein the original bit string is segmented into a plurality of input blocks each having a first block length.
  • Generating a random bit string having a bit length larger than the first block length, and a block cipher type using the key based on the generated random bit string and having a key length larger than the first block length The symmetric key encryption method is used to encrypt each of the plurality of input blocks to derive a plurality of intermediate blocks, and the plurality of intermediate blocks to be derived are connected to a predetermined number of intermediate blocks.
  • the data processing device when executed by a processor of a data processing device, is configured to segment an original bit string into a plurality of input blocks each having a first block length; Generating a random bit string having a bit length larger than one block length, and a block cipher type symmetric key that is based on the generated random bit string and uses the key having a key length larger than the first block length Encrypting each of the plurality of input blocks using an encryption method to derive a plurality of intermediate blocks, concatenating the plurality of derived intermediate blocks for each predetermined number of intermediate blocks, and Forming one or more output blocks each having a second block length equal to the bit length of a random bit string; and the one or more Deriving a further output block having the second block length by calculating with an output block and a transform function that can be inversely transformed using the random bit sequence; and the one or more output blocks and the further output block
  • a computer program for outputting an encrypted bit string including the same is provided.
  • the encrypted bit string is segmented into a plurality of input blocks each having a second block length larger than the first block length equal to the block length of the block cipher type symmetric key cryptosystem,
  • converting the original bit string into the encrypted bit string by performing an operation with a conversion function that is inversely converted to the conversion function used when converting the original bit string into the encrypted bit string using the input block
  • Reconstructing the random bit sequence used in step (a) separating one or more of the plurality of input blocks into a predetermined number of intermediate blocks to form a plurality of intermediate blocks each having the first block length; Decrypting each of the plurality of intermediate blocks using the symmetric key cryptosystem using a key based on the random bit sequence to be restored, It derives the force block, by connecting a plurality of output blocks derived, to restore the original bit sequence, and processing circuits, data processing apparatus comprising a are provided so.
  • a method for inversely converting an encrypted bit string into an original bit string in a data processing apparatus wherein the encrypted bit string is a first length equal to a block length of a block cipher type symmetric key cryptosystem.
  • Segmenting into a plurality of input blocks each having a second block length larger than the block length, and using the plurality of input blocks, a conversion function used when converting an original bit string into the encrypted bit string On the other hand, by calculating with a conversion function that is an inverse conversion, restoring the random bit sequence used when converting the original bit sequence into the encrypted bit sequence, and at least one of the plurality of input blocks Separating each into a predetermined number of intermediate blocks to form a plurality of intermediate blocks each having the first block length; Deriving each of the plurality of intermediate blocks using the symmetric key cryptosystem using a key based on a random bit string, deriving a plurality of output blocks, and connecting the derived plurality of output blocks And restoring the original bit sequence.
  • the data processing device when executed by a processor of a data processing device, has an encrypted bit string that is greater than a first block length equal to a block length of a block cipher symmetric key cryptosystem. Segmenting into a plurality of input blocks each having a large second block length, and using the plurality of input blocks, inverse conversion is performed on the conversion function used when converting the original bit string into the encrypted bit string To restore the random bit sequence used when converting the original bit sequence into the encrypted bit sequence, and to convert one or more of the plurality of input blocks to a predetermined number Separating the intermediate blocks to form a plurality of intermediate blocks each having the first block length, and the random bit sequence to be restored Decrypting each of the plurality of intermediate blocks using the symmetric key cryptosystem using a key based on, deriving a plurality of output blocks, concatenating the plurality of derived output blocks, and A computer program for restoring the bit string is provided.
  • FIG. 3 is a block diagram (part 1) schematically representing an AONT conversion algorithm of an extended modified CTRT method according to an embodiment. It is the block diagram (the 1) which represents typically the AON inverse transformation algorithm of the extended correction CTRT method which concerns on one Embodiment.
  • FIG. 5 is a block diagram (part 2) schematically representing an AOTT conversion algorithm of an extended modified CTRT method according to an embodiment.
  • FIG. 6 is a block diagram (part 2) schematically representing an AON inverse transform algorithm of an extended modified CTRT method according to an embodiment. It is a figure for demonstrating the correction CTRT method in CBC mode, ECB mode, and CFB mode. It is a block diagram which shows an example of a structure of the data processor which concerns on one Embodiment. It is a flowchart which shows an example of the flow of the method for AONT conversion which concerns on one Embodiment. It is a flowchart which shows an example of the flow of the method for AONT reverse transformation which concerns on one Embodiment.
  • Non-Patent Document 1 Rivest proposes that the transformation f should satisfy the following three conditions in order to say that the transformation f that copies a message sequence (message block sequence) to a pseudo message sequence is AONT. doing: The transformation f has an inverse transformation. That is, if a pseudo message sequence is given, the original message sequence can be restored; The transformation f and its inverse can be calculated in polynomial time; If all of the pseudo message blocks are not known, it is computationally impossible to restore any one of the original message blocks.
  • Non-Patent Document 2 There are several conversion algorithms that satisfy these AONT conditions, such as the CTRT method proposed in Non-Patent Document 2 and the OAEP method proposed in Non-Patent Document 3.
  • the OAEP method has an advantage that the flexibility of message distribution is high because a bit-by-bit calculation is possible, but includes a process with a relatively high calculation cost such as expansion of a hash value.
  • the CTRT method requires data to be distributed in units of blocks instead of bits.
  • the AONT method can be implemented by reusing block ciphers, so it has high compatibility with computer implementation and speeds up processing. This is an advantage.
  • the safety of the CTRT method is proved in Non-Patent Document 2.
  • the first row of Table 1 indicates that the bit string input to the algorithm is segmented into n input blocks x [1],..., X [n].
  • the block length of each input block is equal to l.
  • a random bit string K ′ having a bit length l is generated.
  • the key K having the key length k is derived as a remainder obtained by dividing the random bit string K ′ by 2 to the power of k.
  • n-number of input blocks x [1], ..., x each [n] is encrypted using some (ideally) encryption scheme F K using the key K Is done.
  • the encrypted blocks x ′ [1],..., X ′ [n] are referred to as output blocks here.
  • an exclusive OR is calculated between the random bit string K ′ and the output blocks x ′ [1],..., X ′ [n], and a further output block x ′ [n + 1] is derived.
  • a series of output blocks x ′ [1], x ′ [2],..., X ′ [n], x ′ [n + 1] are output as an encrypted bit string.
  • Table 2 below shows an algorithm that is substantially the same as the inverse transformation algorithm described in Section 5 of Non-Patent Document 2.
  • the first row of Table 2 indicates that the encrypted bit string input to the algorithm is segmented into n + 1 input blocks x ′ [1],..., X ′ [n + 1].
  • the block length of each input block is equal to l.
  • an exclusive OR is calculated between the input blocks x ′ [1],..., X ′ [n + 1], and a random bit string K ′ used when converting the original bit string into an encrypted bit string is obtained. Restored.
  • the key K having the key length k is derived as a remainder obtained by dividing the random bit string K ′ by 2 to the power of k.
  • each of the n input blocks x ′ [1],..., X ′ [n] is decrypted using the encryption method F K using the key K.
  • the decoded blocks x [1],..., X [n] are referred to herein as output blocks.
  • a series of output blocks x [1],..., X [n] are output as restored original bit strings.
  • the CTRT method generates a key having a key length k in the process of converting data to be concealed, and uses the generated symmetric key cryptosystem F K. Is used to encrypt each message block.
  • the counter value that changes for each block is encrypted by a symmetric key encryption method, and each message block is also encrypted by exclusive OR of the encrypted counter value and each message block. Is done.
  • the key is concealed by being spread throughout the message through a further exclusive-OR with these encrypted blocks.
  • any one block of the obtained bit strings x ′ [1],..., X ′ [n + 1] must not be missing, and if one block is missing, the original bit string is Cannot be restored.
  • the entire output bit string composed of these blocks is distributed, for example, into a plurality of fragments so that each fragment includes at least one block, and these fragments are stored in different (secure) storages. Then, even if the security of one storage is broken, the original data is not leaked to the attacker. In addition, the user who owns the data does not need to manage the encryption key himself.
  • CTRT method conversion / inverse conversion algorithm described in the previous section has a constraint that k ⁇ l between the block length l and the block cipher key length k.
  • This restriction is required, for example, to realize an exclusive OR between blocks for spreading the key K over the entire message and keeping it secret.
  • DES which is one of the typical block ciphers
  • the encryption strength of a symmetric key cryptosystem usually depends on the key length. For example, because the key length of 56 bits of DES is too short, DES can be deciphered even with a brute force attack within a practical time, assuming that modern computer performance has been dramatically improved. .
  • the idea of using a block cipher having a larger key length to improve the cipher strength can be hampered by the above-described restriction between the block length l and the key length k.
  • the block length l of AES which is a symmetric key encryption method also known as Rijndael encryption
  • the key length k is selected from 128, 192, or 256 bits. Therefore, since the key length of 192 or 256 bits of AES, which should be expected to have high encryption strength, is larger than the block length of AES, these key lengths are adopted in the above-described conversion / inverse conversion algorithm using the CTRT method. I can't.
  • the CTRT conversion / inverse conversion algorithm is modified so that a key length larger than the block cipher block length can be adopted.
  • FIG. 1 is a block diagram schematically representing the conversion algorithm of Table 3.
  • the original bit string that is, the bit string of data to be concealed
  • a first block length is equal to the block length l unique to the block cipher type symmetric key cryptosystem used in a later step.
  • l 128 bits.
  • FIG. 1 shows how the input message 10 is segmented into n input blocks.
  • the size of the input message 10 is not an integral multiple of the first block length, for example, at least one input message 10 is added at the end of the input message 10 so that the size of each of the n input blocks is equal to the first block length.
  • Padding bits may be added. Further, padding for making the number of intermediate blocks described later to be a predetermined number may also be performed here. In particular, it is desirable that the padding bits in the latter block unit padding have random bit values.
  • a random bit string K having a bit length k is generated as a key K for symmetric key encryption.
  • the generation of the key K is shown as step S11 in FIG.
  • k 2l.
  • AES symmetric key encryption method
  • k 256 bits can be selected as the key length k.
  • the input block x [1], in the CTR mode using the block cipher type symmetric key cryptosystem using the key K based on the generated random bit string. .., X [n] are encrypted, and a plurality of intermediate blocks x ′ [1],..., X ′ [n] are derived.
  • the encryption of each block using a key K, in step S13, is represented as the exclusive OR operation between the encrypted counter value function F K.
  • the plurality of derived intermediate blocks x ′ [1],..., X ′ [n] are connected every two intermediate blocks,
  • One or more output blocks y [1],..., Y [m ⁇ 1] each having two block lengths are formed.
  • the second block length is equal to twice the first block length (ie, 2l) and equal to the key length of key K (ie, k).
  • two consecutive blocks in a series of intermediate blocks are connected to each other in step S15.
  • 1-bit intermediate blocks x ′ [1] and x ′ [2] are connected to each other.
  • the first output block y [1] is formed, and similarly, the intermediate blocks x ′ [3] and x ′ [4] are connected to form the second output block y [2]. If the number n of intermediate blocks is an odd number, a padding block may be added here as the last intermediate block.
  • an encrypted bit string including a series of output blocks y [1],..., Y [m] is output.
  • an output message 20 including an output block y [1],..., Y [m ⁇ 1] and a further output block y [m] is formed.
  • the key K generated during the data conversion process is deleted. Deletion of the key K is shown as step S19 in FIG.
  • the converted encrypted bit string is distributed, for example, into two or more distributed bit strings each including at least one of the output blocks y [1],..., Y [m], and separated storage devices. Can be stored.
  • FIG. 2 is an explanatory diagram for further explaining the AONT conversion algorithm described in relation to FIG. 1 while paying attention to the block length.
  • AES is used as the symmetric key encryption method
  • 2 shows a series of input blocks x [1],..., X [n] each having a first block length l. These input blocks are blocks constituting data or messages to be kept secret.
  • the series of intermediate blocks x ′ [1],..., X ′ [n] shown are derived.
  • Each intermediate block also has a first block length.
  • two intermediate blocks of the series of intermediate blocks x ′ [1],..., X ′ [n] are connected to each other, and m ⁇ 1 output blocks y [shown in the third row in FIG. 1],..., Y [m ⁇ 1] are formed.
  • a further output block y [m] is added after the output block y [1],..., Y [m ⁇ 1].
  • the encrypted bit string including all output blocks y [1],..., Y [m] is distributed into two or more fragments FG1, FG2,.
  • Table 4 below shows an example of an inverse conversion algorithm for performing AONT inverse conversion (restoring the original bit string) of the encrypted bit string according to the modified CTRT method.
  • FIG. 3 is a block diagram schematically representing the inverse transformation algorithm of Table 4.
  • the encrypted bit string is typically obtained by concatenating two or more distributed bit strings respectively stored by separate storage devices. As shown in the first row of Table 4, the encrypted bit string is first transferred to a plurality of input blocks y [1],..., Y [m] each having a second block length that is twice the first block length. Segmented.
  • the first block length is equal to the block length unique to the block cipher type symmetric key cryptosystem.
  • AES is used as the symmetric key encryption method
  • the first block length is 128 bits
  • the second block length is 256 bits.
  • FIG. 3 shows how the encrypted message 30 is segmented into m input blocks.
  • one or more input blocks y [1],..., Y [m ⁇ 1] are separated into two equal-sized blocks, respectively.
  • a plurality of intermediate blocks x ′ [1],..., X ′ [n] each having a first block length are formed.
  • each input block is separated into two consecutive intermediate blocks in step S33.
  • the first input block y [1] is the intermediate blocks x ′ [1] and x ′ [2]
  • the second input block y [2] is the intermediate blocks x ′ [3] and x ′ [4]. Is separated. If the last intermediate block is a padding block, the padding block may be deleted here.
  • the intermediate block x ′ [1] is used in the CTR mode using the block cipher type symmetric key cryptosystem using the key K based on the restored random bit string.
  • X ′ [n] are decoded to derive a plurality of output blocks x [1],.
  • the decryption of each block using the key K is expressed as an exclusive OR operation in step S35.
  • an original bit string including a series of output blocks x [1],..., X [n] is output.
  • the upper part of FIG. 3 shows how the original bit string 40 is formed by concatenating the output blocks x [1],..., X [n].
  • the encrypted intermediate blocks x ′ [1],..., X ′ [n] are concatenated for every q intermediate blocks, whereby q of the first block length l
  • One or more output blocks each having a second block length equal to twice are formed.
  • each input block is converted into q intermediate blocks.
  • the first block length l is a block length specific to the symmetric key cryptosystem to be used.
  • the modified CTRT method can be extended by the method described below, for example. it can.
  • step S17 when the block length l is 128 bits and the key length k is 192 bits, when the original bit string is AONT converted, as shown in FIG. 4, the output block y [1] is excluded in step S17.
  • the key K and padding P can be determined randomly.
  • step S17 the key length of the key K is calculated by calculating an exclusive OR (XOR) between the 256-bit random bit string K ′ generated in step S16 and the 256-bit output block y [1].
  • XOR exclusive OR
  • the modified CTRT method according to the present invention can be extended and applied.
  • AONT inversely transforming the encrypted bit string, as shown in FIG. 5, by calculating an exclusive OR between the input blocks y [1],..., Y [m]
  • step S31 A 256-bit random bit string K ′ obtained by connecting 64-bit padding P to a 192-bit key K can be restored.
  • step S32 the 192-bit key K is restored by removing the 64-bit padding P from the restored 256-bit random bit string K ′.
  • output blocks x [1],..., X [n] can be output from the intermediate blocks x ′ [1],.
  • step S11 a random bit string K ′ having a bit length equal to an integer multiple of the block length l and larger than the key length k is obtained. Generate.
  • step S12 a smaller key K may be generated based on the random bit string K ′, and the generated key K may be used for encryption (or decryption) of each block. For example, when the block length l is 128 bits and the key length k is 192 bits, first, in step S11, a 256-bit random bit string K ′ is generated. In step S12, a 192-bit partial sequence is generated as a key K out of the 256-bit random bit sequence K ′.
  • step S13 when the input block x [1],..., X [n] is encrypted, the 192-bit key K can be used.
  • step S17 when an exclusive OR (XOR) is calculated for the output block y [1], a 256-bit random bit string K ′ that is an integral multiple of the block length can be used.
  • XOR exclusive OR
  • a partial sequence of the random bit sequence K ′ is generated as the key K, for example, a remainder obtained by dividing K ′ by 2 k can be generated as the key K.
  • AONT inversely transforming the encrypted bit string, as shown in FIG.
  • step S31 by calculating an exclusive OR between the input blocks y [1],..., Y [m] in step S31, A 256-bit random bit string K ′ is restored.
  • step S32 a 256-bit K ′ subsequence can be generated as a 192-bit key K by performing a remainder operation on the restored key K ′.
  • output blocks x [1],..., X [n] can be output from the intermediate blocks x ′ [1],. 6 and 7, when the remainder obtained by dividing K ′ by 2 k is generated as the key K, K is the same as the value obtained by extracting the lower k bits of K ′. That is, the calculation procedure differs between the method shown in FIGS.
  • the existing CTRT method has the restriction of k ⁇ l between the block length l and the key length k, and the encryption strength, processing speed, communication environment, etc. It is possible to use an optimal encryption method and key length according to various conditions.
  • the technology according to the present disclosure uses other ciphers such as CBC (Cipher Block Chaining) mode, ECB (Electronic CodeBook) mode, CFB (Cipher FeedBack) mode, OFB (Output FeedBack) mode instead of the above-described CTR mode. It may be applied to the case where the mode is used.
  • AONT conversion / inverse conversion by the modified CTRT method can be performed in the same manner as the CTR mode described above, except that the VIII portion of FIGS. 1 and 3 is converted as shown in FIG.
  • the modified CTRT method in the ECB mode or the CFB mode, is the same as the CTR mode described above except that the VIII portion in FIGS. 1 and 3 is converted as shown in FIG. 8B or 8C, respectively.
  • AONT conversion and inverse conversion can be performed.
  • OFB mode AONT conversion / inverse conversion by the modified CTRT method can be performed.
  • the configuration using AES as the key encryption method is illustrated.
  • the technology according to the present disclosure is not limited to AES, and the block length l and the key length k are set so that k> l.
  • Arbitrary block ciphers object key ciphers
  • selectable triple DES, MISTY1, and Camellia can be used.
  • FIG. 9 is a block diagram illustrating an example of the configuration of the data processing apparatus 100 according to an embodiment.
  • the data processing apparatus 100 includes a processing circuit 110, a storage device 130, a communication interface 140, a display 150, and an input interface 160.
  • the processing circuit 110 may include one or more general-purpose processors such as a CPU (Central Processing Unit) or an MPU (Micro Processing Unit).
  • the processing circuit 110 may include a circuit specially designed for, for example, AONT conversion / inverse conversion, such as ASIC (Application Specific Integrated Circuit) or FPGA (Field Programmable Gate Arrays).
  • the storage device 130 is a device for storing data, control parameters, and computer programs required for the operation of the data processing apparatus 100.
  • the storage device 130 may include a nonvolatile storage medium (for example, ROM (Read Only Memory)) and a volatile storage medium (for example, RAM (Random Access Memory)).
  • the storage device 130 may include an HDD (Hard Disk Drive) or an SSD (Solid State Drive).
  • the control parameters stored by the storage device 130 may include, for example, identification information of available encryption schemes, selectable key lengths, and storage locations of distributed pieces.
  • the communication interface 140 is an interface for communication with other devices by the data processing device 100.
  • the communication interface 140 may include a wired LAN interface, a wireless LAN (also referred to as Wi-Fi) interface, a cellular communication interface, or the like.
  • the communication interface 140 is connected to the external storage 180 via the network 190.
  • the display 150 is a display device such as a liquid crystal display (LCD) or an organic light emitting diode (OLED) display.
  • the display 150 displays information provided to the user by the data processing apparatus 100 on the screen, for example.
  • the input interface 160 is an interface used by the user to operate the data processing apparatus 100 or input information to the data processing apparatus 100.
  • Input interface 160 may include any type of interface, such as a touch sensor, keypad, keyboard, button, switch, or pointing device, for example.
  • the processing circuit 110 operates the functionality of the data processing apparatus 100 by executing a computer program stored in a computer-readable storage medium of the storage device 130, for example.
  • the data processing apparatus 100 includes a data input / output module 111, a conversion module 113, and an inverse conversion module 115 as logical function modules.
  • the data input / output module 111 When the data input / output module 111 is required to conceal the target data, the data input / output module 111 reads the bit string (that is, the original bit string) of the target data from the storage device 130 according to, for example, a user instruction or via the communication interface 140. Get it by receiving it. Then, the data input / output module 111 outputs the acquired original bit string to the conversion module 113. Also, when the original bit string is successfully converted into the encrypted bit string by the conversion module 113, the data input / output module 111 distributes the encrypted bit string into two or more distributed bit strings. Each of these distributed bit strings includes at least one output block having the second block length described above. The data input / output module 111 outputs and stores two or more distributed bit strings to the corresponding storage (for example, the storage device 130 or the external storage 180).
  • the data input / output module 111 collects the distributed pieces associated with the target data from the corresponding storages when the target data is required to be restored, and connects the collected distributed pieces.
  • the converted bit string is output to the inverse conversion module 115.
  • the data input / output module 111 stores the restored original bit string in the storage device 130 or the display 150 according to, for example, a user instruction. Or transmitted to other devices via the communication interface 140.
  • the conversion module 113 converts the original bit string into an encrypted bit string according to the above-described modified CTRT method, and converts the encrypted bit string into the data input / output module 111.
  • the conversion module 113 converts the original bit string into an encrypted bit string according to the above-described modified CTRT method, and converts the encrypted bit string into the data input / output module 111.
  • the reverse conversion module 115 restores the original bit string by reversely converting the encrypted bit string according to the above-described modified CTRT method when the encrypted bit string to be AONT reverse-converted is input from the data input / output module 111.
  • the bit string is returned to the data input / output module 111.
  • FIG. 10 is a flowchart illustrating an example of a flow of a method for AONT conversion that can be executed by the data processing apparatus 100 according to an embodiment.
  • the data input / output module 111 acquires target data to be kept secret (step S111). Then, the data input / output module 111 outputs the acquired target data to the conversion module 113.
  • the conversion module 113 segments the bit string of the target data into a plurality of input blocks each having the first block length (step S113).
  • the first block length is equal to the block length unique to the block cipher type symmetric key cryptosystem.
  • the conversion module 113 generates a random bit string having a bit length equal to an integer multiple of the first block length (step S115).
  • the “random” bit string in this specification may include a bit string in which each bit has a value that is determined in a pseudo-random manner.
  • a random bit string having a bit length equal to q times the first block length (q is an integer of 2 or more) is generated.
  • the conversion module 113 selects one of the plurality of segmented input blocks (step S117). Then, the conversion module 113 encrypts the selected input block by using a block cipher type symmetric key encryption method using a key based on the random bit string generated in step S115, and derives an encrypted block (step). S119). The block derived here is called an intermediate block. The key used in step S119 has a key length larger than the first block length. The conversion module 113 repeats the processes in steps S117 and S119 described above until there is no unprocessed input block (step S121).
  • the conversion module 113 selects a predetermined number of blocks among the derived intermediate blocks (step S123). Then, the conversion module 113 connects the selected intermediate blocks to form an output block having a second block length (step S125). Here, q consecutive intermediate blocks are selected and connected to each other. As a result, the second block length is equal to the bit length of the random bit string.
  • the conversion module 113 repeats the processes of step S123 and step S125 described above until there are no remaining intermediate blocks (step S127).
  • the conversion module 113 calculates an exclusive OR between all the formed output blocks and the random bit string to derive a further output block (step S129).
  • the conversion module 113 concatenates the one or more output blocks repetitively formed in step S125 and the further output block derived in step S129 to form an encrypted bit string (step S131). Then, the conversion module 113 returns the formed encrypted bit string to the data input / output module 111.
  • the data input / output module 111 distributes the encrypted bit string into two or more distributed bit strings each including at least one of the output blocks (step S133).
  • the data input / output module 111 stores two or more distributed bit strings in different storage devices.
  • the conversion module 113 deletes the random bit string (step S135).
  • FIG. 11 is a flowchart illustrating an example of a flow of a method for AONT inverse transformation that can be executed by the data processing apparatus 100 according to an embodiment.
  • the data input / output module 111 concatenates two or more distributed bit strings associated with target data to be restored to form an encrypted bit string (step S161). Then, the data input / output module 111 outputs the formed encrypted bit string to the inverse conversion module 115.
  • the inverse conversion module 115 segments the encrypted bit string into a plurality of input blocks each having the second block length (step S163).
  • the second block length is assumed to be equal to q times the first block length (q is an integer of 2 or more) corresponding to the block length unique to the block cipher type symmetric key cryptosystem.
  • the inverse transform module 115 calculates an exclusive OR between the plurality of segmented input blocks, and restores a random bit string (step S165).
  • the random bit string restored here may be the same as the key used when decrypting each block using a symmetric key cryptosystem.
  • the random bit string may be a larger bit string partially including a key used when decrypting individual blocks.
  • the inverse conversion module 115 selects one of the plurality of input blocks described above (step S167). Then, the inverse transform module 115 separates the selected input block into a predetermined number of intermediate blocks (step S169). Here, it is assumed that each input block is separated into q consecutive intermediate blocks. As a result, the block length of the intermediate block is equal to the first block length. Further, the inverse transform module 115 decrypts each of the intermediate blocks formed by separating the input blocks using a symmetric key cryptosystem using a key based on the restored random bit string, and outputs a predetermined number of outputs. A block is derived (step S171).
  • the inverse conversion module 115 repeats the above-described processing from step S167 to step S171 until there is no unprocessed input block (step S173). Note that the last block of the input block is used only for restoring the random bit string in step S165, and may be excluded from the decoding iteration here.
  • the inverse transform module 115 concatenates the plurality of output blocks derived through the above-described decoding of the intermediate block, and restores the original bit string (step S175). Then, the inverse conversion module 115 returns the restored original bit string to the data input / output module 111. When the AONT inverse conversion is completed, the inverse conversion module 115 deletes the random bit string (step S177).
  • processing steps described in this section do not necessarily have to be executed in the order shown. Some processing steps may be performed in parallel. Further, additional processing steps may be employed, and some processing steps may be omitted.
  • the modified CTRT method described in the present disclosure eliminates the restriction of k ⁇ l between the block length l and the key length k, which the existing CTRT method has, and is a block encryption type encryption method with higher security It is possible to implement AONT transformation / inverse transformation by using a combination of the key length and the key length. Similarly to the existing CTRT method, the modified CTRT method does not include a process with a large calculation cost such as a hash value expansion required by the OAEP method. Further, the increase in the data size of the encrypted bit string relative to the original bit string is only an increase of one output block in addition to the padding bits. Therefore, according to the modified CTRT method, while maintaining the advantage of the AONT method that it can be easily used in various systems or devices having limited resources in various aspects such as processing capability, communication performance or storage capacity, A long key length can be selected to achieve strong security.
  • the encryption method is AES (Advanced Encryption Standard) having a unique block length of 128 bits, and an encryption key having a key length of 256 bits is selected.
  • the key length k is equal to exactly twice the block length l. Therefore, at the time of AONT conversion, two intermediate blocks after AES encryption are concatenated into an output block, so that the encryption key can be easily transferred to the entire message through exclusive OR of the output block and the encryption key. Can be spread and concealed. Further, the concatenation / separation of bit strings in units of blocks and the repetition of exclusive OR operation are suitable for further speeding up by high-speed sequential processing or parallelization in a general-purpose processor.
  • the present disclosure is not limited to this example, and the technology according to the present disclosure can be applied to other combinations of key lengths and block lengths.
  • the techniques described herein may be implemented in software, firmware, hardware, or any combination thereof.
  • the computer program constituting the software or firmware is stored in advance in a computer-readable storage medium (non-transitory media) provided inside or outside the apparatus, for example.
  • the computer program is loaded into the RAM at the time of execution, for example, and executed by the processing circuit.
  • the exclusive bit string is exclusive between one or more output blocks y [1],..., Y [m ⁇ 1] and the random bit string K.
  • An example of a configuration for calculating a logical sum and deriving a further output block y [m] has been illustrated. Arithmetic between one or more output blocks y [1],..., Y [m ⁇ 1] and a random bit string K The sum may be calculated to derive a further output block y [m].
  • an exclusive OR is calculated between the plurality of input blocks y [1],..., Y [m]
  • a configuration may be adopted in which the random bit sequence K is restored by calculating an arithmetic difference between a plurality of input blocks y [1],..., Y [m].
  • an arithmetic difference may be used when the original bit string is subjected to AONT conversion
  • an arithmetic sum may be used when the encrypted bit string is subjected to AONT inverse conversion.
  • the transformation function is not limited to the operation by exclusive OR, and a transformation function capable of inverse transformation such as arithmetic operation can be used.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

課題：既存のＡＯＮＴ法の実装上の制約を軽減して、より強固なセキュリティを達成する。 解決手段：原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化し、ランダムビット列を生成し、前記ランダムビット列に基づく（第１ブロック長よりも大きい鍵長の）鍵を用いるブロック暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化することにより中間ブロックを導出し、中間ブロックを所定の数ごとに連結して１つ以上の出力ブロックを形成し、前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、さらなる出力ブロックを導出し、それら出力ブロックを含む暗号化ビット列を出力する、ように構成される処理回路、を備えるデータ処理装置が提供される。上記暗号化ビット列を原ビット列へ逆変換するための装置、並びに、それら装置に対応する方法及びプログラムもまた提供される。

Description

データ処理装置、方法及びコンピュータプログラム
　本開示は、データ処理装置、方法及びコンピュータプログラムに関する。
　一般に、セキュリティリスクからデータを保護するために、パスワードを用いた暗号化が利用されている。しかし、単に情報を暗号化するだけでは、クラッキング又はソーシャルハッキングといった攻撃に対する十分なセキュリティを確保することが難しい。全てのユーザがパスワードを厳重に管理することを期待することも、現実的ではない。そこで、近年秘密分散法が注目を集めている。秘密分散法は、定足数以上の断片（シェアともいう）が集まらない限り元のデータが復元不能となるように、データを複数の断片へと分散する技術である。
　秘密分散法の代表例である閾値分散法によれば、定足数をｋとして、分散数ｎをｋ以上の任意の整数とすることができるが、分散を通じてデータサイズが約ｎ倍に増加する。一方、非特許文献１において提案されたＡＯＮＴ（All　Or　Nothing　Transform）法は、総データサイズをわずかにしか増大させることなく、小さなデータブロックが１つでも欠如すると元のデータ全体が復元不能となるように、データをランダム化（即ち、無意味なビット列へ変換）する。よって、変換後のデータをｎ個の断片へ分散することで、ＡＯＮＴ法を、定足数ｋが分散数ｎに等しい秘密分散法の一変種として扱うことができる。総データサイズをわずかにしか増大させないというＡＯＮＴ法の特性は、処理能力、通信性能又は記憶容量といった様々な面でリソースに限界を有する現代の多様なシステム又は装置において、秘密分散法を利用することを容易にする（例えば、特許文献１参照）。
　非特許文献２において提案されたＣＴＲＴ（CounTeR　Transform）法は、ＡＯＮＴ法を実践するための変換アルゴリズムの１つである。ＣＴＲＴ法の安全性は、非特許文献２において証明されている。ＣＴＲＴ法は、ビット単位ではなくブロック単位でデータを分散することを要するものの、ブロック暗号を再利用してＡＯＮＴ法を実装することを可能にする点でコンピュータ実装との高い親和性を有する。例えば、他の変換アルゴリズムである非特許文献３において提案されたＯＡＥＰ（Optimal　Asymmetric　Encryption　Padding）法がハッシュ値の伸長といった演算コストの比較的大きい処理を含むのに対し、そうした処理を含まないＣＴＲＴ法は、処理の高速化の面で優位である。
特許第６２２１１９６号公報
R.　Rivest,　"All-or-Nothing　Encryption　and　The　Package　Transform",　FSE　'97　Proceedings　of　Fast　Software　Encryption,　pp.210-218,　1997 A.　Desai,　"The　Security　of　All-Or-Nothing　Encryption:　Protecting　Against　Exhaustive　Key　Search",　Advances　in　Cryptology　-　CRYPTO　2000,　pp.359-375,　LNCS　Vol.　1880,　2000 V.　Boyko,　"On　the　Security　Properties　of　OAEP　as　an　All-or-Nothing　Transform",　Advances　in　Cryptology　-　CRYPTO　1999,　pp.503-518,　LNCS　Vol.　1666,　1999
　非特許文献２に記載されたＣＴＲＴ法のアルゴリズムは、データブロックのブロック長ｌとブロック暗号の鍵長ｋとの間に、ｋ≦ｌという制約を有する。例えば、ブロック暗号の旧来の方式の１つであるＤＥＳ（Data　Encryption　Standard）は、ブロック長ｌ＝６４ビット、鍵長ｋ＝５６ビットであることから、この制約を満たす。一方、ＤＥＳよりも高い暗号強度を有するＡＥＳ（Advanced　Encryption　Standard）のブロック長ｌは１２８ビットであり、鍵長ｋは１２８、１９２又は２５６ビットから選択されるものとされている。これは、より強固なセキュリティが期待されるはずのＡＥＳの１９２又は２５６ビットの鍵長が、ブロック長よりも大きいために、ＣＴＲＴ法を実装する用途では利用不能であることを意味する。
　本開示に係る技術は、既存のＡＯＮＴ法に関連する上述した不都合を克服し又は少なくとも軽減することを目的とする。
　本開示によれば、原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化し、前記第１ブロック長よりも大きいビット長のランダムビット列を生成し、生成される前記ランダムビット列に基づく鍵であって前記第１ブロック長よりも大きい鍵長の前記鍵を用いるブロック暗号型の対称鍵暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化して、複数の中間ブロックを導出し、導出される前記複数の中間ブロックを所定の数の中間ブロックごとに連結して、前記ランダムビット列の前記ビット長に等しい第２ブロック長を各々有する１つ以上の出力ブロックを形成し、前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、前記第２ブロック長を有するさらなる出力ブロックを導出し、前記１つ以上の出力ブロック及び前記さらなる出力ブロックを含む暗号化ビット列を出力する、ように構成される処理回路、を備えるデータ処理装置が提供される。
　また、本開示によれば、データ処理装置において原ビット列を暗号化ビット列へ変換するための方法であって、前記原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化することと、前記第１ブロック長よりも大きいビット長のランダムビット列を生成することと、生成される前記ランダムビット列に基づく鍵であって前記第１ブロック長よりも大きい鍵長の前記鍵を用いるブロック暗号型の対称鍵暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化して、複数の中間ブロックを導出することと、導出される前記複数の中間ブロックを所定の数の中間ブロックごとに連結して、前記ランダムビット列の前記ビット長に等しい第２ブロック長を各々有する１つ以上の出力ブロックを形成することと、前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、前記第２ブロック長を有するさらなる出力ブロックを導出することと、前記１つ以上の出力ブロック及び前記さらなる出力ブロックを含む前記暗号化ビット列を出力することと、を含む方法が提供される。
　また、本開示によれば、データ処理装置のプロセッサにより実行された場合に、前記データ処理装置に、原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化することと、前記第１ブロック長よりも大きいビット長のランダムビット列を生成することと、生成される前記ランダムビット列に基づく鍵であって前記第１ブロック長よりも大きい鍵長の前記鍵を用いるブロック暗号型の対称鍵暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化して、複数の中間ブロックを導出することと、導出される前記複数の中間ブロックを所定の数の中間ブロックごとに連結して、前記ランダムビット列の前記ビット長に等しい第２ブロック長を各々有する１つ以上の出力ブロックを形成することと、前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、前記第２ブロック長を有するさらなる出力ブロックを導出することと、前記１つ以上の出力ブロック及び前記さらなる出力ブロックを含む暗号化ビット列を出力することと、を行わせるためのコンピュータプログラムが提供される。
　また、本開示によれば、暗号化ビット列を、ブロック暗号型の対称鍵暗号方式のブロック長に等しい第１ブロック長よりも大きい第２ブロック長を各々有する複数の入力ブロックへセグメント化し、前記複数の入力ブロックを用いて、原ビット列を前記暗号化ビット列へ変換する際に利用された変換関数に対して逆変換となる変換関数で演算することで、原ビット列を前記暗号化ビット列へ変換する際に利用されたランダムビット列を復元し、前記複数の入力ブロックのうちの１つ以上をそれぞれ所定の数の中間ブロックへ分離して、前記第１ブロック長を各々有する複数の中間ブロックを形成し、復元される前記ランダムビット列に基づく鍵を用いる前記対称鍵暗号方式を利用して前記複数の中間ブロックのそれぞれを復号して、複数の出力ブロックを導出し、導出される前記複数の出力ブロックを連結して、前記原ビット列を復元する、ように構成される処理回路、を備えるデータ処理装置が提供される。
　また、本開示によれば、データ処理装置において暗号化ビット列を原ビット列へ逆変換するための方法であって、前記暗号化ビット列を、ブロック暗号型の対称鍵暗号方式のブロック長に等しい第１ブロック長よりも大きい第２ブロック長を各々有する複数の入力ブロックへセグメント化することと、前記複数の入力ブロックを用いて、原ビット列を前記暗号化ビット列へ変換する際に利用された変換関数に対して逆変換となる変換関数で演算することで、前記原ビット列を前記暗号化ビット列へ変換する際に利用されたランダムビット列を復元することと、前記複数の入力ブロックのうちの１つ以上をそれぞれ所定の数の中間ブロックへ分離して、前記第１ブロック長を各々有する複数の中間ブロックを形成することと、復元される前記ランダムビット列に基づく鍵を用いる前記対称鍵暗号方式を利用して前記複数の中間ブロックのそれぞれを復号して、複数の出力ブロックを導出することと、導出される前記複数の出力ブロックを連結して、前記原ビット列を復元することと、を含む方法が提供される。
　また、本開示によれば、データ処理装置のプロセッサにより実行された場合に、前記データ処理装置に、暗号化ビット列を、ブロック暗号型の対称鍵暗号方式のブロック長に等しい第１ブロック長よりも大きい第２ブロック長を各々有する複数の入力ブロックへセグメント化することと、前記複数の入力ブロックを用いて、原ビット列を前記暗号化ビット列へ変換する際に利用された変換関数に対して逆変換となる変換関数で演算することで、原ビット列を前記暗号化ビット列へ変換する際に利用されたランダムビット列を復元することと、前記複数の入力ブロックのうちの１つ以上をそれぞれ所定の数の中間ブロックへ分離して、前記第１ブロック長を各々有する複数の中間ブロックを形成することと、復元される前記ランダムビット列に基づく鍵を用いる前記対称鍵暗号方式を利用して前記複数の中間ブロックのそれぞれを復号して、複数の出力ブロックを導出することと、導出される前記複数の出力ブロックを連結して、前記原ビット列を復元することと、を行わせるためのコンピュータプログラムが提供される。
　本開示に係る技術によれば、既存のＡＯＮＴ法の実装上の制約が軽減され、より強固なセキュリティを達成することができる。
一実施形態に係る修正ＣＴＲＴ法のＡＯＮＴ変換アルゴリズムを模式的に表現するブロック図である。 図１に関連して説明したＡＯＮＴ変換アルゴリズムをブロック長に着目してさらに説明するための説明図である。 一実施形態に係る修正ＣＴＲＴ法のＡＯＮＴ逆変換アルゴリズムを模式的に表現するブロック図である。 一実施形態に係る拡張された修正ＣＴＲＴ法のＡＯＮＴ変換アルゴリズムを模式的に表現するブロック図（その１）である。 一実施形態に係る拡張された修正ＣＴＲＴ法のＡＯＮＴ逆変換アルゴリズムを模式的に表現するブロック図（その１）である。 一実施形態に係る拡張された修正ＣＴＲＴ法のＡＯＮＴ変換アルゴリズムを模式的に表現するブロック図（その２）である。 一実施形態に係る拡張された修正ＣＴＲＴ法のＡＯＮＴ逆変換アルゴリズムを模式的に表現するブロック図（その２）である。 ＣＢＣモード、ＥＣＢモードおよびＣＦＢモードにおける修正ＣＴＲＴ法を説明するための図である。 一実施形態に係るデータ処理装置の構成の一例を示すブロック図である。 一実施形態に係るＡＯＮＴ変換のための方法の流れの一例を示すフローチャートである。 一実施形態に係るＡＯＮＴ逆変換のための方法の流れの一例を示すフローチャートである。
　以下に添付図面を参照しながら、本開示の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
　また、以下の順序で説明を行う。
　　１．導入
　　　１－１．ＡＯＮＴ法
　　　１－２．既存のアルゴリズム
　　　１－３．課題の説明
　　２．新たな技法
　　　２－１．修正されたアルゴリズム
　　　２－２．アルゴリズムの一般化
　　３．データ処理装置の構成例
　　４．処理の流れ
　　　４－１．ＡＯＮＴ変換
　　　４－２．ＡＯＮＴ逆変換
　　５．まとめ
　＜１．導入＞
　　［１－１．ＡＯＮＴ法］
　非特許文献１において、Rivestは、メッセージシーケンス（メッセージブロックのシーケンス）を疑似メッセージシーケンスへ写す変換ｆがＡＯＮＴであると言えるためには、変換ｆが次の３つの条件を満たすべきであると提唱している：
　　・変換ｆが逆変換を有する。即ち、疑似メッセージシーケンスが与えられれば元のメッセージシーケンスを復元することができる；
　　・変換ｆ及びその逆変換が多項式時間内に計算可能である；
　　・疑似メッセージブロックの全てが既知でなければ、元のメッセージブロックのどの１つを復元することも計算量的に実現不能である。
　ＡＯＮＴのこれら条件を満たす変換アルゴリズムは、非特許文献２において提案されたＣＴＲＴ法及び非特許文献３において提案されたＯＡＥＰ法など、いくつか存在する。ＯＡＥＰ法は、ビットごとの演算が可能であるためにメッセージ分散の柔軟性が高いという利点を有するが、ハッシュ値の伸長といった演算コストの比較的大きい処理を含む。一方、ＣＴＲＴ法は、ビット単位ではなくブロック単位でデータを分散することを要するものの、ブロック暗号を再利用してＡＯＮＴ法を実装できることからコンピュータ実装との高い親和性を有し、処理の高速化の面で優位である。ＣＴＲＴ法の安全性は、非特許文献２において証明されている。
　　［１－２．既存のアルゴリズム］
　ＣＴＲＴ法に従ってメッセージ、即ち秘匿すべきデータのビット列を変換するための変換アルゴリズム及び原ビット列を復元するための逆変換アルゴリズムは、非特許文献２の第５節“All-Or-Nothing　Transforms”に記述されている。下の表１は、その変換アルゴリズムと実質的に同じアルゴリズムを示している。
Figure JPOXMLDOC01-appb-T000001
  
　表１の第１行は、アルゴリズムへ入力されるビット列がｎ個の入力ブロックｘ［１］，…，ｘ［ｎ］へセグメント化されることを示している。各入力ブロックのブロック長はｌに等しい。第２行において、ビット長ｌのランダムビット列Ｋ´が生成される。第３行において、鍵長ｋの鍵Ｋが、ランダムビット列Ｋ´を２のｋ乗で除算した剰余として導出される。第４行～第６行では、ｎ個の入力ブロックｘ［１］，…，ｘ［ｎ］の各々が、鍵Ｋを用いて何らかの（理想的な）暗号方式ＦＫを利用して暗号化される。暗号化後のブロックｘ´［１］，…，ｘ´［ｎ］を、ここでは出力ブロックという。第７行では、ランダムビット列Ｋ´と出力ブロックｘ´［１］，…，ｘ´［ｎ］との間で排他的論理和が計算され、さらなる出力ブロックｘ´［ｎ＋１］が導出される。第８行において、一連の出力ブロックｘ´［１］，ｘ´［２］，…，ｘ´［ｎ］，ｘ´［ｎ＋１］が暗号化されたビット列として出力される。
　下の表２は、非特許文献２の第５節に記述されている逆変換アルゴリズムと実質的に同じアルゴリズムを示している。
Figure JPOXMLDOC01-appb-T000002
　表２の第１行は、アルゴリズムへ入力される暗号化ビット列がｎ＋１個の入力ブロックｘ´［１］，…，ｘ´［ｎ＋１］へセグメント化されることを示している。各入力ブロックのブロック長はｌに等しい。第２行において、入力ブロックｘ´［１］，…，ｘ´［ｎ＋１］の間で排他的論理和が計算され、原ビット列を暗号化ビット列へ変換する際に利用されたランダムビット列Ｋ´が復元される。第３行において、鍵長ｋの鍵Ｋが、ランダムビット列Ｋ´を２のｋ乗で除算した剰余として導出される。第４行～第６行では、ｎ個の入力ブロックｘ´［１］，…，ｘ´［ｎ］の各々が、鍵Ｋを用いて暗号方式ＦＫを利用して復号される。復号後のブロックｘ［１］，…，ｘ［ｎ］を、ここでは出力ブロックという。第７行において、一連の出力ブロックｘ［１］，…，ｘ［ｎ］が復元された原ビット列として出力される。
　表１及び表２の説明から理解されるように、ＣＴＲＴ法は、秘匿すべきデータを変換するプロセスの途中で鍵長ｋの鍵を生成し、生成したその鍵を用いる対称鍵暗号方式ＦＫを利用してメッセージブロックの各々を暗号化する。実際には、ＣＴＲモードでは、ブロックごとに変化するカウンタの値が対称鍵暗号方式で暗号化され、暗号化されたカウンタ値と各メッセージブロックとの排他的論理和によって各メッセージブロックもまた暗号化される。鍵は、それら暗号化後のブロックとのさらなる排他的論理和を通じてメッセージ全体へ拡散されることにより秘匿される。原ビット列を復元するためには、得られたビット列ｘ´［１］，…，ｘ´［ｎ＋１］のうちのどの１つのブロックも欠如してはならず、１ブロックでも欠如すれば原ビット列が復元不能となる。これらブロックからなる出力ビット列の全体は、例えば、各断片が少なくとも１つのブロックを包含するように複数の断片へ分散され、それら断片が異なる（セキュアな）ストレージにそれぞれ記憶される。すると、１つのストレージのセキュリティが破られたとしても、元のデータは攻撃者へ漏洩しない。また、データを所有するユーザは、暗号鍵を自ら管理することを要しない。
　　［１－３．課題の説明］
　前項で説明したＣＴＲＴ法での変換／逆変換のアルゴリズムは、ブロック長ｌとブロック暗号の鍵長ｋとの間に、ｋ≦ｌという制約を有する。この制約は、例えば、鍵Ｋをメッセージ全体へ拡散して秘匿するための、ブロック間の排他的論理和を実現するために必要とされる。例えば、ブロック暗号の代表的な方式の１つであるＤＥＳは、ブロック長ｌ＝６４ビット、鍵長ｋ＝５６ビットであることからこの制約を満たすため、既存のＣＴＲＴ法の実装において、ＤＥＳを利用することができる。しかし、通常、対称鍵暗号方式（共通鍵暗号方式ともいう）の暗号強度は鍵の長さに依存する。例えば、ＤＥＳの５６ビットという鍵長は短過ぎるために、飛躍的に向上した現代のコンピュータ性能を前提とすると、ＤＥＳはもはや実用的な時間内で総当り攻撃でも解読可能であるとされている。
　一方、ＣＴＲＴ法を実装する際に、暗号強度の向上のためにより鍵長の大きいブロック暗号を利用するというアイディアは、ブロック長ｌと鍵長ｋとの間の上述した制約により妨げられ得る。例えば、Rijndael暗号としても知られる対称鍵暗号方式であるＡＥＳのブロック長ｌは１２８ビットであり、鍵長ｋは１２８、１９２又は２５６ビットから選択されるものとされている。従って、高い暗号強度が期待されるはずのＡＥＳの１９２又は２５６ビットという鍵長はＡＥＳのブロック長よりも大きいために、上述したＣＴＲＴ法での変換／逆変換のアルゴリズムにおいてこれら鍵長を採用することができない。
　そこで、次節より詳しく説明する実施形態において、ブロック暗号のブロック長よりも大きい鍵長を採用することが可能となるように、ＣＴＲＴ法の変換／逆変換アルゴリズムが修正される。
　＜２．新たな技法＞
　　［２－１．修正されたアルゴリズム］
　以下の説明において、ブロック長ｌよりも大きい鍵長ｋを採用することが可能となるように修正されたＣＴＲＴ法に基づく技法を、修正ＣＴＲＴ法という。下の表３は、修正ＣＴＲＴ法に従って原ビット列をＡＯＮＴ変換するための変換アルゴリズムの一例を示している。また、図１は、表３の変換アルゴリズムを模式的に表現するブロック図である。
Figure JPOXMLDOC01-appb-T000003
　表３の第１行に示したように、原ビット列、即ち秘匿すべきデータのビット列は、まず、第１ブロック長を各々有する複数の入力ブロックｘ［１］，…，ｘ［ｎ］へセグメント化される。第１ブロック長は、後のステップで利用されるブロック暗号型の対称鍵暗号方式に固有のブロック長ｌに等しい。対称鍵暗号方式としてＡＥＳが利用される場合には、ｌ＝１２８ビットである。図１の上段では、入力メッセージ１０がｎ個の入力ブロックへセグメント化される様子が示されている。入力メッセージ１０のサイズが第１ブロック長の整数倍ではない場合には、ｎ個の入力ブロックの各々のサイズが第１ブロック長と等しくなるように、例えば入力メッセージ１０の末尾に１つ以上のパディングビットが追加されてもよい。また、後に説明する中間ブロックの数を所定の数にするためのパディングもここで併せて行われてよい。特に後者のブロック単位のパディングにおけるパディングビットは、ランダムなビット値を有することが望ましい。
　次いで、表３の第２行に示したように、ビット長ｋのランダムビット列Ｋが、対称鍵暗号のための鍵Ｋとして生成される。鍵Ｋの生成は、図１においてステップＳ１１として示されている。ここでは、ｋ＝２ｌであるものとする。対称鍵暗号方式としてＡＥＳが利用される場合には、鍵長ｋとしてｋ＝２５６ビットを選択することができる。
　次いで、表３の第３行～第５行に示したように、生成したランダムビット列に基づく鍵Ｋを用いるブロック暗号型の対称鍵暗号方式を利用してＣＴＲモードで入力ブロックｘ［１］，…，ｘ［ｎ］のそれぞれを暗号化して、複数の中間ブロックｘ´［１］，…，ｘ´［ｎ］が導出される。図１において、鍵Ｋを用いた各ブロックの暗号化は、ステップＳ１３における、関数ＦＫで暗号化されたカウンタ値との排他的論理和の演算として表現されている。
　次いで、表３の第６行～第８行に示したように、導出した複数の中間ブロックｘ´［１］，…，ｘ´［ｎ］を２個の中間ブロックごとに連結して、第２ブロック長を各々有する１つ以上の出力ブロックｙ［１］，…，ｙ［ｍ－１］が形成される。ここでは、第２ブロック長は、第１ブロック長の２倍（即ち、２ｌ）に等しく、かつ鍵Ｋの鍵長（即ち、ｋ）に等しい。図１においては、一連の中間ブロックのうちの連続する２つのブロックが、ステップＳ１５において互いに連結されている、例えば、それぞれｌビットの中間ブロックｘ´［１］及びｘ´［２］が連結されて１番目の出力ブロックｙ［１］が形成され、同様に中間ブロックｘ´［３］及びｘ´［４］が連結されて２番目の出力ブロックｙ［２］が形成されている。中間ブロックの数ｎが奇数である場合には、最後の中間ブロックとしてここでパディングブロックが追加されてもよい。
　次いで、表３の第９行に示したように、ｍ－１個の出力ブロックｙ［１］，…，ｙ［ｍ－１］及び生成済みのランダムビット列（ここでは、鍵Ｋに等しい）の間で排他的論理和が計算され、さらなる出力ブロックｙ［ｍ］が導出される。出力ブロックｙ［ｍ］のサイズは、上述した第２ブロック長に等しい。出力ブロックｙ［ｍ］の導出は、図１においてステップＳ１７として示されている。
　次いで、表３の第１０行に示したように、一連の出力ブロックｙ［１］，…，ｙ［ｍ］を含む暗号化ビット列が出力される。図１では、出力ブロックｙ［１］，…，ｙ［ｍ－１］及びさらなる出力ブロックｙ［ｍ］を含む出力メッセージ２０が形成される様子が示されている。
　最後に、表３には示していないものの、データ変換のプロセスの途中で生成された鍵Ｋが消去される。鍵Ｋの消去は、図１においてステップＳ１９として示されている。このような変換後の暗号化ビット列は、例えば、出力ブロックｙ［１］，…，ｙ［ｍ］のうちの少なくとも１つを各々包含する２つ以上の分散ビット列へ分散され、別個の記憶デバイスにより記憶され得る。
　図２は、図１に関連して説明したＡＯＮＴ変換アルゴリズムを、ブロック長に着目してさらに説明するための説明図である。ここでは、対称鍵暗号方式としてＡＥＳが利用され、ブロック長ｌ＝１２８ビット、鍵長ｋ＝２５６ビットであるものとする。図２の最上段には、第１ブロック長ｌを各々有する、一連の入力ブロックｘ［１］，…，ｘ［ｎ］が示されている。これら入力ブロックは、秘匿すべきデータ又はメッセージを構成するブロックである。入力ブロックｘ［１］，…，ｘ［ｎ］は、鍵長ｋ＝２５６（＝２ｌ）ビットの鍵Ｋを用いるＡＥＳを利用してＣＴＲモードでそれぞれ暗号化され、図２の２段目に示した一連の中間ブロックｘ´［１］，…，ｘ´［ｎ］が導出される。各中間ブロックもまた第１ブロック長を有する。次いで、一連の中間ブロックｘ´［１］，…，ｘ´［ｎ］のうち２個ずつの中間ブロックが互いに連結され、図２の３段目に示したｍ－１個の出力ブロックｙ［１］，…，ｙ［ｍ－１］が形成される。各出力ブロックは、第２ブロック長（ｋ＝２ｌ）を有する。さらに、図２の４段目では、出力ブロックｙ［１］，…，ｙ［ｍ－１］の後ろにさらなる出力ブロックｙ［ｍ］が追加されている。出力ブロックｙ［ｍ］は、出力ブロックｙ［１］，…，ｙ［ｍ－１］と鍵Ｋとの間の排他的論理和であり、そのサイズは第２ブロック長（ｋ＝２ｌ）に等しい。そして、図２の最下段では、全ての出力ブロックｙ［１］，…，ｙ［ｍ］を含む暗号化ビット列が、２つ以上の断片ＦＧ１，ＦＧ２，…へ分散されている。これら断片のうち最も小さい断片のサイズｇは、出力ブロックのサイズｋ以上である（２ｌ＝ｋ≦ｇ）。どの断片も、出力ブロックのうちの少なくとも１つを含む。結果的に、これら断片のうちの任意の１つを除く他の全ての断片を攻撃者が手に入れたとしても、元のメッセージも鍵Ｋも実質的に漏洩しない。
　下の表４は、修正ＣＴＲＴ法に従って暗号化ビット列をＡＯＮＴ逆変換する（原ビット列を復元する）ための逆変換アルゴリズムの一例を示している。また、図３は、表４の逆変換アルゴリズムを模式的に表現するブロック図である。
Figure JPOXMLDOC01-appb-T000004
　暗号化ビット列は、典型的には、別個の記憶デバイスによりそれぞれ記憶されている２つ以上の分散ビット列を連結することにより取得される。表４の第１行に示したように、暗号化ビット列は、まず、第１ブロック長の２倍の第２ブロック長を各々有する複数の入力ブロックｙ［１］，…，ｙ［ｍ］へセグメント化される。第１ブロック長は、ブロック暗号型の対称鍵暗号方式に固有のブロック長に等しい。ここでは、対称鍵暗号方式としてＡＥＳが利用され、第１ブロック長は１２８ビット、第２ブロック長は２５６ビットである。図３の下段では、暗号化メッセージ３０がｍ個の入力ブロックへセグメント化される様子が示されている。
　次いで、表４の第２行に示したように、ｍ個の入力ブロックｙ［１］，…，ｙ［ｍ］の間で排他的論理和が計算され、ランダムビット列に相当する鍵Ｋが復元される。ここでは、鍵Ｋの鍵長ｋは、上述した第２ブロック長に等しい。鍵Ｋの復元は、図３においてステップＳ３１として示されている。
　次いで、表４の第３行～第５行に示したように、１つ以上の入力ブロックｙ［１］，…，ｙ［ｍ－１］をそれぞれ等サイズの２個のブロックへ分離して、第１ブロック長を各々有する複数の中間ブロックｘ´［１］，…，ｘ´［ｎ］が形成される。図３においては、各入力ブロックがステップＳ３３において連続する２つの中間ブロックへ分離されている。例えば、１番目の入力ブロックｙ［１］が中間ブロックｘ´［１］及びｘ´［２］へ、２番目の入力ブロックｙ［２］が中間ブロックｘ´［３］及びｘ´［４］へ分離されている。最後の中間ブロックがパディングブロックである場合には、パディングブロックはここで削除されてもよい。
　次いで、表４の第６行～第８行に示したように、復元したランダムビット列に基づく鍵Ｋを用いるブロック暗号型の対称鍵暗号方式を利用してＣＴＲモードで中間ブロックｘ´［１］，…，ｘ´［ｎ］のそれぞれを復号して、複数の出力ブロックｘ［１］，…，ｘ［ｎ］が導出される。図３において、鍵Ｋを用いた各ブロックの復号は、ステップＳ３５における排他的論理和の演算として表現されている。
　次いで、表４の第９行に示したように、一連の出力ブロックｘ［１］，…，ｘ［ｎ］を含む原ビット列が出力される。図３の上段では、出力ブロックｘ［１］，…，ｘ［ｎ］を連結して原ビット列４０が形成される様子が示されている。
　最後に、表４には示していないものの、逆変換のプロセスの途中で生成された鍵Ｋが消去される。鍵Ｋの消去は、図３においてステップＳ３７として示されている。
　　［２－２．アルゴリズムの一般化］
　図１～図３に模式的に示したアルゴリズムは、ブロック長ｌと鍵長ｋとの間にｋ＝２ｌという関係が成り立つケースに適用可能である。例えば、対称鍵暗号方式としてＡＥＳが利用され、ＡＥＳの鍵長として２５６ビット（ｋ＝２５６）が選択される場合、ＡＥＳ固有のブロック長（即ち、メッセージブロック長）は１２８ビット（ｌ＝１２８）であるため、ｋ＝２ｌという関係が成り立つ。これは、上述した修正ＣＴＲＴ法が、未だ十分な計算量的安全性を有するとされるＡＥＳの中でも最も長い鍵長を使用するケースに適用可能であることを意味する。
　さらに、修正ＣＴＲＴ法を拡張することにより、ブロック長ｌと鍵長ｋとがｋ＝２ｌ以外の関係を有する様々なケースに対処することができる。
　例えば、鍵長ｋが第１ブロック長ｌのｑ倍（ｑは２以上の整数）に等しいものとする（ｋ＝ｑｌ）。この場合、原ビット列を変換する際に、暗号化された中間ブロックｘ´［１］，…，ｘ´［ｎ］をｑ個の中間ブロックごとに連結することで、第１ブロック長ｌのｑ倍に等しい第２ブロック長を各々有する１つ以上の出力ブロックが形成される。それにより、それら出力ブロックと鍵長ｋ＝ｑｌの鍵Ｋとの間で排他的論理和を計算して、鍵Ｋを秘匿することができる。逆変換の際には、入力ブロック間の排他的論理和を通じて、第２ブロック長に等しい鍵長（ｋ＝ｑｌ）の鍵Ｋを復元した後に、各入力ブロックを連続するｑ個の中間ブロックへ分離することで、第１ブロック長ｌを各々有する複数の中間ブロックを形成することができる。第１ブロック長ｌは、利用すべき対称鍵暗号方式に固有のブロック長である。
　また、例えば、各ブロックを暗号化する際に用いられる鍵の鍵長ｋがブロック長ｌの整数倍に等しくない場合には、例えば、以下に説明する方法により、修正ＣＴＲＴ法を拡張することができる。
　たとえば、ブロック長ｌが１２８ビットであり、鍵長ｋが１９２ビットである場合において、原ビット列をＡＯＮＴ変換する場合には、図４に示すように、ステップＳ１７で出力ブロックｙ［１］の排他的論理和を演算する前に、ステップＳ１６において、１９２ビットの鍵Ｋの上位に６４ビットのパディングＰを連結して２５６ビットのランダムビット列Ｋ´（Ｋ´＝Ｐ||Ｋ）を生成する。この場合、鍵ＫおよびパディングＰはランダムに決定することができる。そして、ステップＳ１７では、ステップＳ１６で生成した２５６ビットのランダムビット列Ｋ´と２５６ビットの出力ブロックｙ［１］との間で排他的論理和（ＸＯＲ）を演算することで、鍵Ｋの鍵長ｋがブロック長ｌの整数倍に等しくない場合でも、本発明に係る修正ＣＴＲＴ法を拡張して適用することができる。
　また、暗号化ビット列をＡＯＮＴ逆変換する場合も、図５に示すように、入力ブロックｙ［１］，…，ｙ［ｍ］の間で排他的論理和を演算することで、ステップＳ３１において、１９２ビットの鍵Ｋに６４ビットのパディングＰを連結した２５６ビットのランダムビット列Ｋ´を復元することができる。そして、ステップＳ３２において、復元した２５６ビットのランダムビット列Ｋ’から６４ビットのパディングＰを取り除くことで、１９２ビットの鍵Ｋが復元される。そして、復元した鍵Ｋを用いて、中間ブロックｘ´［１］，…，ｘ´［ｎ］から、出力ブロックｘ［１］，…，ｘ［ｎ］を出力することができる。
　なお、これらの方法では、パディングＰを鍵Ｋの上位に連結してランダムビット列Ｋ´を生成している（Ｋ´＝Ｐ||Ｋ）が、これに限定されず、パディングＰを鍵Ｋの下位に連結してランダムビット列Ｋ´を生成してもよい（Ｋ´＝Ｋ||Ｐ）。
　また、別の方法としては、図６に示すように、まず、ステップＳ１１において、ブロック長ｌの整数倍に等しいビット長であって、鍵長ｋよりも大きい当該ビット長のランダムビット列Ｋ´を生成する。そして、ステップＳ１２において、ランダムビット列Ｋ´に基づいて、よりサイズの小さい鍵Ｋを生成し、生成した鍵Ｋを各ブロックの暗号化（又は復号）のために使用してもよい。たとえば、ブロック長ｌが１２８ビットであり、鍵長ｋが１９２ビットである場合、まずステップＳ１１で、２５６ビットのランダムビット列Ｋ´として生成する。また、ステップＳ１２で、２５６ビットのランダムビット列Ｋ´の部分列のうち１９２ビット分の部分列を、鍵Ｋとして生成する。これにより、ステップＳ１３において、入力ブロックｘ［１］，…，ｘ［ｎ］を暗号化する場合には１９２ビットの鍵Ｋを使用することができる。また、ステップＳ１７において、出力ブロックｙ［１］について排他的論理和（ＸＯＲ）を演算する場合には、ブロック長の整数倍である２５６ビットのランダムビット列Ｋ´を使用することができる。なお、ランダムビット列Ｋ´の部分列を鍵Ｋとして生成する場合、例えば、Ｋ´を２ｋで除算した剰余を鍵Ｋとして生成することができる。
　また、暗号化ビット列をＡＯＮＴ逆変換する場合も、図７に示すように、ステップＳ３１において、入力ブロックｙ［１］，…，ｙ［ｍ］の間で排他的論理和を計算することで、２５６ビットのランダムビット列Ｋ´が復元される。そして、ステップＳ３２で、復元した鍵Ｋ’を剰余演算することにより、２５６ビットのＫ’の部分列を１９２ビットの鍵Ｋとして生成することができる。そして、復元した鍵Ｋを用いて、中間ブロックｘ´［１］，…，ｘ´［ｎ］から、出力ブロックｘ［１］，…，ｘ［ｎ］を出力することができる。
　なお、図６および図７においてＫ´を２ｋで除算した剰余を鍵Ｋとして生成する場合、Ｋは、Ｋ´の下位ｋビットを抽出した値と同じとなる。すなわち、図６，７に示す方法と、図４，５に示す方法（パディングＰを鍵Ｋの下位に連結してランダムビット列Ｋ´を生成する方法）では、演算手順は異なるが、Ｋ’が同じである場合には、生成されるＫは同じ値となる。ただし、図６および図７に示す方法では、図４，５に示す方法と比べて、演算量が少ないため、より好ましい方法と言える。
　こうした一般化のための手法を組み合わせることで、既存のＣＴＲＴ法が有していたブロック長ｌと鍵長ｋとの間のｋ≦ｌという制約を排除し、暗号強度、処理速度又は通信環境といった様々な条件に応じて最適な暗号方式及び鍵長を使用することが可能となる。また、本開示に係る技術は、上述したＣＴＲモードの代わりに、ＣＢＣ（Cipher　Block　Chaining）モード、ＥＣＢ（Electronic CodeBook）モード、ＣＦＢ（Cipher　FeedBack）モード、ＯＦＢ（Output FeedBack）モードといった他の暗号利用モードが利用されるケースに適用されてもよい。ＣＢＣモードでは、図１，３のＶＩＩＩ部分が図８（Ａ）に示すように変換されること以外は、上述したＣＴＲモードと同様に修正ＣＴＲＴ法によるＡＯＮＴ変換・逆変換を行うことができる。また、ＥＣＢモードまたはＣＦＢモードでは、図１，３のＶＩＩＩ部分が図８（Ｂ）または図８（Ｃ）に示すようにそれぞれ変換されること以外は、上述したＣＴＲモードと同様に修正ＣＴＲＴ法によるＡＯＮＴ変換・逆変換を行うことができる。同様に、ＯＦＢモードにおいても、修正ＣＴＲＴ法によるＡＯＮＴ変換・逆変換を行うことができる。
　さらに、上述した例では、鍵暗号方式としてＡＥＳを利用する構成を例示したが、本開示に係る技術は、ＡＥＳに限定されず、ｋ＞ｌとなるようにブロック長ｌと鍵長ｋとを選択可能なトリプルＤＥＳ、ＭＩＳＴＹ１、Ｃａｍｅｌｌｉａなどの任意のブロック暗号（対象鍵暗号）を利用することができる。
　＜３．データ処理装置の構成例＞
　図９は、一実施形態に係るデータ処理装置１００の構成の一例を示すブロック図である。図９を参照すると、データ処理装置１００は、処理回路１１０、記憶デバイス１３０、通信インタフェース１４０、ディスプレイ１５０及び入力インタフェース１６０を備える。
　処理回路１１０は、例えばＣＰＵ（Central　Processing　Unit）又はＭＰＵ（Micro　Processing　Unit）といった１つ以上の汎用的なプロセッサを含んでもよい。また、処理回路１１０は、ＡＳＩＣ（Application　Specific　Integrated　Circuit）又はＦＰＧＡ（Field　Programmable　Gate　Arrays）といった例えばＡＯＮＴ変換／逆変換のために特別に設計された回路を含んでもよい。
　記憶デバイス１３０は、データ処理装置１００の動作のために必要とされるデータ、制御パラメータ及びコンピュータプログラムを記憶するためのデバイスである。記憶デバイス１３０は、不揮発性の記憶媒体（例えば、ＲＯＭ（Read　Only　Memory））及び揮発性の記憶媒体（例えば、ＲＡＭ（Random　Access　Memory））を含んでもよい。また、記憶デバイス１３０は、ＨＤＤ（Hard　Disk　Drive）又はＳＳＤ（Solid　State　Drive）を含んでもよい。記憶デバイス１３０により記憶される制御パラメータは、例えば、利用可能な暗号化方式の識別情報、選択可能な鍵長、及び分散片の格納先のロケーションなどを含み得る。
　通信インタフェース１４０は、データ処理装置１００による他の装置との通信のためのインタフェースである。通信インタフェース１４０は、有線ＬＡＮインタフェース、無線ＬＡＮ（Ｗｉ－Ｆｉともいう）インタフェース又はセルラー通信インタフェースなどを含んでよい。図９の例では、通信インタフェース１４０は、ネットワーク１９０を介して外部ストレージ１８０へ接続されている。
　ディスプレイ１５０は、例えば、液晶ディスプレイ（ＬＣＤ）又は有機発光ダイオード（ＯＬＥＤ）ディスプレイなどといった表示デバイスである。ディスプレイ１５０は、例えばデータ処理装置１００がユーザへ提供する情報をスクリーンに表示させる。
　入力インタフェース１６０は、ユーザがデータ処理装置１００を操作し又はデータ処理装置１００へ情報を入力するために使用されるインタフェースである。入力インタフェース１６０は、例えば、タッチセンサ、キーパッド、キーボード、ボタン、スイッチ又はポインティングデバイスなどといった、いかなる種類のインタフェースを含んでもよい。
　処理回路１１０は、例えば記憶デバイス１３０のコンピュータ読取可能な記憶媒体に記憶されているコンピュータプログラムを実行することにより、データ処理装置１００の機能性を動作させる。例えば、データ処理装置１００は、論理的な機能モジュールとして、データ入出力モジュール１１１、変換モジュール１１３、及び逆変換モジュール１１５を含む。
　データ入出力モジュール１１１は、対象データを秘匿することが求められる場合に、対象データのビット列（即ち、原ビット列）を、例えばユーザの指示に応じて記憶デバイス１３０から読み出し又は通信インタフェース１４０を介して受信するなどして取得する。そして、データ入出力モジュール１１１は、取得した原ビット列を変換モジュール１１３へ出力する。また、データ入出力モジュール１１１は、変換モジュール１１３により原ビット列が成功裏に暗号化ビット列へ変換されると、暗号化ビット列を２つ以上の分散ビット列へ分散する。それら分散ビット列の各々は、上述した第２ブロック長を有する少なくとも１つの出力ブロックを包含する。データ入出力モジュール１１１は、２つ以上の分散ビット列をそれぞれ対応するストレージ（例えば、記憶デバイス１３０又は外部ストレージ１８０）へ出力して記憶させる。
　また、データ入出力モジュール１１１は、対象データを復元することが求められる場合に、対象データに関連付けられる分散片をそれぞれ対応するストレージから収集し、収集した分散片を連結することにより形成される暗号化ビット列を逆変換モジュール１１５へ出力する。また、データ入出力モジュール１１１は、逆変換モジュール１１５により暗号化ビット列から成功裏に原ビット列が復元されると、復元された原ビット列を、例えばユーザの指示に応じて、記憶デバイス１３０若しくはディスプレイ１５０へ提供し、又は通信インタフェース１４０を介して他の装置へ送信する。
　変換モジュール１１３は、データ入出力モジュール１１１からＡＯＮＴ変換すべき原ビット列が入力された場合に、その原ビット列を上述した修正ＣＴＲＴ法に従って暗号化ビット列へ変換し、暗号化ビット列をデータ入出力モジュール１１１へ返却する。変換モジュール１１３により実行される具体的な処理の流れの一例について、次節で詳細に説明する。
　逆変換モジュール１１５は、データ入出力モジュール１１１からＡＯＮＴ逆変換すべき暗号化ビット列が入力された場合に、その暗号化ビット列を上述した修正ＣＴＲＴ法に従って逆変換することにより原ビット列を復元し、原ビット列をデータ入出力モジュール１１１へ返却する。逆変換モジュール１１５により実行される具体的な処理の流れの一例について、次節で詳細に説明する。
　＜４．処理の流れ＞
　　［４－１．ＡＯＮＴ変換］
　図１０は、一実施形態に係るデータ処理装置１００により実行され得るＡＯＮＴ変換のための方法の流れの一例を示すフローチャートである。
　まず、データ入出力モジュール１１１は、秘匿すべき対象データを取得する（ステップＳ１１１）。そして、データ入出力モジュール１１１は、取得した対象データを変換モジュール１１３へ出力する。
　次いで、変換モジュール１１３は、対象データのビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化する（ステップＳ１１３）。第１ブロック長は、ブロック暗号型の対称鍵暗号方式に固有のブロック長に等しい。
　次いで、変換モジュール１１３は、第１ブロック長の整数倍に等しいビット長のランダムビット列を生成する（ステップＳ１１５）。なお、本明細書における「ランダムな」ビット列とは、各ビットが疑似的にランダムに決定された値を有するビット列を含んでよい。ここでは、第１ブロック長のｑ倍（ｑは２以上の整数）に等しいビット長のランダムビット列が生成されるものとする。
　次いで、変換モジュール１１３は、セグメント化した複数の入力ブロックのうちの１つを選択する（ステップＳ１１７）。そして、変換モジュール１１３は、選択した入力ブロックをステップＳ１１５で生成したランダムビット列に基づく鍵を用いるブロック暗号型の対称鍵暗号方式を利用して暗号化して、暗号化されたブロックを導出する（ステップＳ１１９）。ここで導出されるブロックを中間ブロックという。ステップＳ１１９において使用される鍵は、第１ブロック長よりも大きい鍵長を有する。変換モジュール１１３は、未処理の入力ブロックが無くなるまで、上述したステップＳ１１７及びステップＳ１１９の処理を繰り返す（ステップＳ１２１）。
　次いで、変換モジュール１１３は、導出される中間ブロックのうち所定の数のブロックを選択する（ステップＳ１２３）。そして、変換モジュール１１３は、選択した中間ブロックを連結して、第２ブロック長を有する出力ブロックを形成する（ステップＳ１２５）。ここでは、ｑ個の連続する中間ブロックが選択されて、互いに連結される。結果的に、第２ブロック長は、上記ランダムビット列のビット長に等しくなる。変換モジュール１１３は、残りの中間ブロックが無くなるまで、上述したステップＳ１２３及びステップＳ１２５の処理を繰り返す（ステップＳ１２７）。
　次いで、変換モジュール１１３は、形成された全ての出力ブロックと上記ランダムビット列との間で排他的論理和を計算して、さらなる出力ブロックを導出する（ステップＳ１２９）。
　次いで、変換モジュール１１３は、ステップＳ１２５において反復的に形成された１つ以上の出力ブロック及びステップＳ１２９において導出された上記さらなる出力ブロックを連結して、暗号化ビット列を形成する（ステップＳ１３１）。そして、変換モジュール１１３は、形成した暗号化ビット列をデータ入出力モジュール１１１へ返却する。
　データ入出力モジュール１１１は、暗号化ビット列を出力ブロックのうちの少なくとも１つを各々包含する２つ以上の分散ビット列へ分散する（ステップＳ１３３）。そして、データ入出力モジュール１１１は、２つ以上の分散ビット列をそれぞれ異なる記憶デバイスに記憶させる。変換モジュール１１３は、ＡＯＮＴ変換が完了すると、ランダムビット列を消去する（ステップＳ１３５）。
　　［４－２．ＡＯＮＴ逆変換］
　図１１は、一実施形態に係るデータ処理装置１００により実行され得るＡＯＮＴ逆変換のための方法の流れの一例を示すフローチャートである。
　まず、データ入出力モジュール１１１は、復元すべき対象データに関連付けられる２つ以上の分散ビット列を連結して、暗号化ビット列を形成する（ステップＳ１６１）。そして、データ入出力モジュール１１１は、形成した暗号化ビット列を逆変換モジュール１１５へ出力する。
　次いで、逆変換モジュール１１５は、暗号化ビット列を第２ブロック長を各々有する複数の入力ブロックへセグメント化する（ステップＳ１６３）。第２ブロック長は、ブロック暗号型の対称鍵暗号方式に固有のブロック長に相当する第１ブロック長のｑ倍（ｑは２以上の整数）に等しいものとする。
　次いで、逆変換モジュール１１５は、セグメント化した複数の入力ブロックの間で排他的論理和を計算して、ランダムビット列を復元する（ステップＳ１６５）。ここで復元されるランダムビット列は、対称鍵暗号方式を利用して個々のブロックを復号する際に用いられる鍵と同一であってもよい。あるいは、ランダムビット列は、個々のブロックを復号する際に用いられる鍵を一部に含むより大きいビット列であってもよい。
　次いで、逆変換モジュール１１５は、上述した複数の入力ブロックのうちの１つを選択する（ステップＳ１６７）。そして、逆変換モジュール１１５は、選択した入力ブロックを所定の数の中間ブロックへ分離する（ステップＳ１６９）。ここでは、各入力ブロックがｑ個の連続する中間ブロックへ分離されるものとする。結果的に、中間ブロックのブロック長は、第１ブロック長に等しくなる。さらに、逆変換モジュール１１５は、入力ブロックを分離することにより形成された中間ブロックを、復元したランダムビット列に基づく鍵を用いる対称鍵暗号方式を利用してそれぞれを復号して、所定の数の出力ブロックを導出する（ステップＳ１７１）。逆変換モジュール１１５は、未処理の入力ブロックが無くなるまで、上述したステップＳ１６７～ステップＳ１７１の処理を繰り返す（ステップＳ１７３）。なお、入力ブロックの末尾のブロックはステップＳ１６５におけるランダムビット列の復元のためにのみ使用され、ここでの復号の反復からは除外されてよい。
　次いで、逆変換モジュール１１５は、上述した中間ブロックの復号を通じて導出される複数の出力ブロックを連結して、原ビット列を復元する（ステップＳ１７５）。そして、逆変換モジュール１１５は、復元した原ビット列をデータ入出力モジュール１１１へ返却する。逆変換モジュール１１５は、ＡＯＮＴ逆変換が完了すると、ランダムビット列を消去する（ステップＳ１７７）。
　本節で説明した処理ステップは、必ずしも図示された順序で実行されなくてよい。いくつかの処理ステップは、並列的に実行されてもよい。また、追加的な処理ステップが採用されてもよく、一部の処理ステップが省略されてもよい。
　＜５．まとめ＞
　本開示において説明した修正ＣＴＲＴ法は、既存のＣＴＲＴ法が有していたブロック長ｌと鍵長ｋとの間のｋ≦ｌという制約を排除し、よりセキュリティの強固なブロック暗号型の暗号方式及び鍵長の組み合わせを利用してＡＯＮＴ変換／逆変換を実装することを可能にする。修正ＣＴＲＴ法も、既存のＣＴＲＴ法と同様に、例えばＯＡＥＰ法が必要とするハッシュ値の伸長といった演算コストの大きい処理を含まない。また、原ビット列に対する暗号化ビット列のデータサイズの増加は、パディングビット分に加えて出力ブロック１つ分の増加のみである。従って、修正ＣＴＲＴ法によれば、処理能力、通信性能又は記憶容量といった様々な面でリソースに限界を有する多様なシステム又は装置での利用が容易であるというＡＯＮＴ法の利点を維持しつつ、より長い鍵長を選択して強固なセキュリティを達成することができる。
　ある実施例において、上記暗号方式は、１２８ビットという固有のブロック長を有するＡＥＳ（Advanced　Encryption　Standard）であり、２５６ビットの鍵長を有する暗号鍵が選択される。このケースでは、鍵長ｋがブロック長ｌのちょうど２倍に等しい。そのため、ＡＯＮＴ変換の際に、ＡＥＳ暗号化後の中間ブロックを２つずつ連結して出力ブロックとすることで、それら出力ブロックと暗号鍵との排他的論理和を通じて暗号鍵を容易にメッセージ全体へ拡散して秘匿することができる。また、ブロック単位のビット列の連結／分離及び排他的論理和の演算の反復は、汎用プロセッサでの高速な逐次処理又は並列化によるさらなる高速化にも適している。但し、かかる例に限定されず、本開示に係る技術は、他の鍵長及びブロック長の組み合わせにも適用可能である。
　本明細書において説明した技法は、ソフトウェア、ファームウェア、ハードウェア又はそれらの任意の組み合わせで実現されてよい。ソフトウェア又はファームウェアを構成するコンピュータプログラムは、例えば、装置の内部又は外部に設けられるコンピュータ読取可能な記憶媒体（非一時的な媒体：non-transitory　media）に予め格納される。そして、コンピュータプログラムは、例えば、実行時にＲＡＭへロードされ、処理回路により実行される。
　以上、添付図面を参照しながら本開示の好適な実施形態について詳細に説明したが、本開示の技術的範囲はかかる例に限定されない。本開示の技術分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本開示の技術的範囲に属するものと了解される。
　たとえば、上述した実施形態では、修正ＣＴＲＴ法により原ビット列をＡＯＮＴ変換する場合に、１つ以上の出力ブロックｙ［１］，…，ｙ［ｍ－１］とランダムビット列Ｋとの間で排他的論理和を計算し、さらなる出力ブロックｙ［ｍ］を導出する構成を例示したが、１つ以上の出力ブロックｙ［１］，…，ｙ［ｍ－１］とランダムビット列Ｋとの間で算術和を計算し、さらなる出力ブロックｙ［ｍ］を導出する構成としてもよい。
　また、上述した実施形態では、修正ＣＴＲＴ法により暗号化ビット列をＡＯＮＴ逆変換する場合も、複数の入力ブロックｙ［１］，…，ｙ［ｍ］の間で排他的論理和を計算して、ランダムビット列Ｋを復元する構成を例示したが、複数の入力ブロックｙ［１］，…，ｙ［ｍ］の間で算術差を計算して、ランダムビット列Ｋを復元する構成としてもよい。
　反対に、原ビット列をＡＯＮＴ変換する場合に算術差を用い、暗号ビット列をＡＯＮＴ逆変換する場合に算術和を用いる構成としてもよい。
　このように、修正ＣＴＲＴ法により原ビット列をＡＯＮＴ変換する場合においてランダムビット列Ｋを用いてｙ［ｍ］を導出する場合（ランダムビット列Ｋを秘匿する場合）、および、修正ＣＴＲＴ法により暗号化ビット列をＡＯＮＴ逆変換する場合においてランダムビット列Ｋを復元する場合には、排他的論理和による演算に限定されず、算術演算など逆変換が可能な変換関数を用いることができる。
　１０，４０　　　原ビット列
　２０，３０　　　暗号化ビット列
　１００　　　　　データ処理装置
　１１０　　　　　処理回路
　１３０，１８０　記憶デバイス／ストレージ
 

Claims (14)

  1. 　原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化し、
    　前記第１ブロック長よりも大きいビット長のランダムビット列を生成し、
    　生成される前記ランダムビット列に基づく鍵であって前記第１ブロック長よりも大きい鍵長の前記鍵を用いるブロック暗号型の対称鍵暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化して、複数の中間ブロックを導出し、
    　導出される前記複数の中間ブロックを所定の数の中間ブロックごとに連結して、前記ランダムビット列の前記ビット長に等しい第２ブロック長を各々有する１つ以上の出力ブロックを形成し、
    　前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、前記第２ブロック長を有するさらなる出力ブロックを導出し、
    　前記１つ以上の出力ブロック及び前記さらなる出力ブロックを含む暗号化ビット列を出力する、
    　ように構成される処理回路、を備えるデータ処理装置。
  2. 　前記逆変換可能な変換関数は、排他的論理和である、請求項１に記載のデータ処理装置。
  3. 　前記複数の入力ブロックのそれぞれを暗号化する際に用いられる前記鍵は、前記ランダムビット列と同一である、請求項１または２に記載のデータ処理装置。
  4. 　前記対称鍵暗号方式は、ＡＥＳ（Advanced　Encryption　Standard）であり、前記第１ブロック長は、１２８ビットであり、前記第２ブロック長及び前記鍵長は、２５６ビットである、請求項３に記載のデータ処理装置。
  5. 　前記処理回路は、前記暗号化ビット列を、前記出力ブロックのうちの少なくとも１つを各々包含する２つ以上の分散ビット列へ分散する、ようにさらに構成される、請求項１～４のいずれか１項に記載のデータ処理装置。
  6. 　前記処理回路は、前記２つ以上の分散ビット列をそれぞれ異なる記憶デバイスに記憶させる、ようにさらに構成される、請求項５に記載のデータ処理装置。
  7. 　前記複数の入力ブロックのそれぞれを暗号化する際に用いられる前記鍵は、前記ランダムビット列の前記ビット長よりも小さい前記鍵長を有し、前記ランダムビット列の一部である、請求項１または２に記載のデータ処理装置。
  8. 　データ処理装置において原ビット列を暗号化ビット列へ変換するための方法であって、
    　前記原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化することと、
    　前記第１ブロック長よりも大きいビット長のランダムビット列を生成することと、
    　生成される前記ランダムビット列に基づく鍵であって前記第１ブロック長よりも大きい鍵長の前記鍵を用いるブロック暗号型の対称鍵暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化して、複数の中間ブロックを導出することと、
    　導出される前記複数の中間ブロックを所定の数の中間ブロックごとに連結して、前記ランダムビット列の前記ビット長に等しい第２ブロック長を各々有する１つ以上の出力ブロックを形成することと、
    　前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、前記第２ブロック長を有するさらなる出力ブロックを導出することと、
    　前記１つ以上の出力ブロック及び前記さらなる出力ブロックを含む前記暗号化ビット列を出力することと、
    　を含む方法。
  9. 　データ処理装置のプロセッサにより実行された場合に、前記データ処理装置に、
    　原ビット列を、第１ブロック長を各々有する複数の入力ブロックへセグメント化することと、
    　前記第１ブロック長よりも大きいビット長のランダムビット列を生成することと、
    　生成される前記ランダムビット列に基づく鍵であって前記第１ブロック長よりも大きい鍵長の前記鍵を用いるブロック暗号型の対称鍵暗号方式を利用して前記複数の入力ブロックのそれぞれを暗号化して、複数の中間ブロックを導出することと、
    　導出される前記複数の中間ブロックを所定の数の中間ブロックごとに連結して、前記ランダムビット列の前記ビット長に等しい第２ブロック長を各々有する１つ以上の出力ブロックを形成することと、
    　前記１つ以上の出力ブロック及び前記ランダムビット列を用いて逆変換可能な変換関数で演算することで、前記第２ブロック長を有するさらなる出力ブロックを導出することと、
    　前記１つ以上の出力ブロック及び前記さらなる出力ブロックを含む暗号化ビット列を出力することと、
    　を行わせるためのコンピュータプログラム。
  10. 　暗号化ビット列を、ブロック暗号型の対称鍵暗号方式のブロック長に等しい第１ブロック長よりも大きい第２ブロック長を各々有する複数の入力ブロックへセグメント化し、
    　前記複数の入力ブロックを用いて、原ビット列を前記暗号化ビット列へ変換する際に利用された変換関数に対して逆変換となる変換関数で演算することで、原ビット列を前記暗号化ビット列へ変換する際に利用されたランダムビット列を復元し、
    　前記複数の入力ブロックのうちの１つ以上をそれぞれ所定の数の中間ブロックへ分離して、前記第１ブロック長を各々有する複数の中間ブロックを形成し、
    　復元される前記ランダムビット列に基づく鍵を用いる前記対称鍵暗号方式を利用して前記複数の中間ブロックのそれぞれを復号して、複数の出力ブロックを導出し、
    　導出される前記複数の出力ブロックを連結して、前記原ビット列を復元する、
    　ように構成される処理回路、を備えるデータ処理装置。
  11. 　前記変換関数は、排他的論理和である、請求項１０に記載のデータ処理装置。
  12. 　前記複数の中間ブロックのそれぞれを復号する際に用いられる前記鍵は、前記ランダムビット列のビット長よりも小さい鍵長を有し、前記ランダムビット列の一部である、請求項１０または１１に記載のデータ処理装置。
  13. 　データ処理装置において暗号化ビット列を原ビット列へ逆変換するための方法であって、
    　前記暗号化ビット列を、ブロック暗号型の対称鍵暗号方式のブロック長に等しい第１ブロック長よりも大きい第２ブロック長を各々有する複数の入力ブロックへセグメント化することと、
    　前記複数の入力ブロックを用いて、原ビット列を前記暗号化ビット列へ変換する際に利用された変換関数に対して逆変換となる変換関数で演算することで、前記原ビット列を前記暗号化ビット列へ変換する際に利用されたランダムビット列を復元することと、
    　前記複数の入力ブロックのうちの１つ以上をそれぞれ所定の数の中間ブロックへ分離して、前記第１ブロック長を各々有する複数の中間ブロックを形成することと、
    　復元される前記ランダムビット列に基づく鍵を用いる前記対称鍵暗号方式を利用して前記複数の中間ブロックのそれぞれを復号して、複数の出力ブロックを導出することと、
    　導出される前記複数の出力ブロックを連結して、前記原ビット列を復元することと、
    　を含む方法。
  14. 　データ処理装置のプロセッサにより実行された場合に、前記データ処理装置に、
    　暗号化ビット列を、ブロック暗号型の対称鍵暗号方式のブロック長に等しい第１ブロック長よりも大きい第２ブロック長を各々有する複数の入力ブロックへセグメント化することと、
    　前記複数の入力ブロックを用いて、原ビット列を前記暗号化ビット列へ変換する際に利用された変換関数に対して逆変換となる変換関数で演算することで、原ビット列を前記暗号化ビット列へ変換する際に利用されたランダムビット列を復元することと、
    　前記複数の入力ブロックのうちの１つ以上をそれぞれ所定の数の中間ブロックへ分離して、前記第１ブロック長を各々有する複数の中間ブロックを形成することと、
    　復元される前記ランダムビット列に基づく鍵を用いる前記対称鍵暗号方式を利用して前記複数の中間ブロックのそれぞれを復号して、複数の出力ブロックを導出することと、
    　導出される前記複数の出力ブロックを連結して、前記原ビット列を復元することと、
    　を行わせるためのコンピュータプログラム。
     
PCT/JP2019/020628 2018-05-25 2019-05-24 データ処理装置、方法及びコンピュータプログラム WO2019225735A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2020520390A JP7226829B2 (ja) 2018-05-25 2019-05-24 データ処理装置、方法及びコンピュータプログラム
KR1020207036591A KR20210013121A (ko) 2018-05-25 2019-05-24 데이터 처리 장치, 방법 및 컴퓨터 프로그램
US17/058,620 US11764945B2 (en) 2018-05-25 2019-05-24 Data processing device, method, and computer program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2018100539 2018-05-25
JP2018-100539 2018-05-25

Publications (1)

Publication Number Publication Date
WO2019225735A1 true WO2019225735A1 (ja) 2019-11-28

Family

ID=68616849

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/020628 WO2019225735A1 (ja) 2018-05-25 2019-05-24 データ処理装置、方法及びコンピュータプログラム

Country Status (4)

Country Link
US (1) US11764945B2 (ja)
JP (1) JP7226829B2 (ja)
KR (1) KR20210013121A (ja)
WO (1) WO2019225735A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7008120B1 (ja) * 2020-11-18 2022-01-25 レノボ・シンガポール・プライベート・リミテッド 情報記憶システム、情報処理装置、及び情報記憶方法

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115567650B (zh) * 2022-12-06 2023-03-03 江苏太湖锅炉股份有限公司 一种锅炉智能运行监控云平台的数据管理方法
CN116527400B (zh) * 2023-06-29 2023-09-12 北京可利邦信息技术股份有限公司 一种多方向置乱的数据加密方法及系统

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016517046A (ja) * 2013-04-24 2016-06-09 エヌイーシー ヨーロッパ リミテッドＮｅｃ Ｅｕｒｏｐｅ Ｌｔｄ． データを暗号化する方法およびシステム

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPS5668989A (en) 1979-11-08 1981-06-09 Nec Corp Memory circuit
US7546461B2 (en) * 2005-06-28 2009-06-09 Microsoft Corporation Strengthening secure hash functions
US11418321B2 (en) * 2014-12-03 2022-08-16 Nagravision Sari Block cryptographic method for encrypting/decrypting messages and cryptographic devices for implementing this method
JP6221196B1 (ja) 2017-03-15 2017-11-01 株式会社ウフル ログ管理システム、ログ管理装置、方法及びコンピュータプログラム
US10360391B2 (en) * 2017-04-03 2019-07-23 International Business Machines Corporation Verifiable keyed all-or-nothing transform
US10944568B2 (en) * 2017-10-06 2021-03-09 The Boeing Company Methods for constructing secure hash functions from bit-mixers

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2016517046A (ja) * 2013-04-24 2016-06-09 エヌイーシー ヨーロッパ リミテッドＮｅｃ Ｅｕｒｏｐｅ Ｌｔｄ． データを暗号化する方法およびシステム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
CANDA, V. ET AL.: "A New Mode of Using All-Or- Nothing Transforms, 2002 IEEE International Symposium on Information Theory", IEEE INFORMATION THEORY SOCIETY, 30 June 2002 (2002-06-30), pages 296, XP010602007 *

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP7008120B1 (ja) * 2020-11-18 2022-01-25 レノボ・シンガポール・プライベート・リミテッド 情報記憶システム、情報処理装置、及び情報記憶方法

Also Published As

Publication number Publication date
JPWO2019225735A1 (ja) 2021-06-03
US11764945B2 (en) 2023-09-19
KR20210013121A (ko) 2021-02-03
JP7226829B2 (ja) 2023-02-21
US20210211270A1 (en) 2021-07-08

Similar Documents

Publication Publication Date Title
KR101516574B1 (ko) 형태보존 암호화를 위한 가변길이 블록암호 장치 및 방법
JP6035459B2 (ja) 暗号化装置、復号化装置、及びプログラム
CN108173640B (zh) 一种高安全性的字符串对称加密和解密方法
US20160056954A1 (en) Apparatus and method for providing feistel-based variable length block cipher
JPWO2009020060A1 (ja) 共通鍵ブロック暗号化装置、共通鍵ブロック暗号化方法及びプログラム
WO2019225735A1 (ja) データ処理装置、方法及びコンピュータプログラム
US11108543B2 (en) Method for encrypting data for distributed storage
Asaad et al. Partial image encryption using RC4 stream cipher approach and embedded in an image
Alemami et al. Advanced approach for encryption using advanced encryption standard with chaotic map
Sharma et al. Analysis of AES Encryption with ECC
JP5992651B2 (ja) 暗号化方法、プログラム、および、システム
CN111314052B (zh) 一种数据加密和解密方法
Damghani et al. Security improvement of Common Scrambling Algorithm (CSA) using the encryption extension technique
WO2006085283A1 (en) High speed encryption and decryption
Charru et al. Improved Cryptography Algorithm to Enhanced Data Security
Tripathi et al. The hybrid cryptography for enhancing the data security in fog computing
US11799635B2 (en) Dictionary-attack-resistant database encryption
Padhi et al. Modified version of XTS (XOR-Encrypt-XOR with Ciphertext Stealing) using tweakable enciphering scheme
Naskar et al. Secret image sharing with embedded session key
Usama et al. Chaos-based secure data compression (CSDC)
EP3285429A1 (en) Method for securely transmitting digital data
Chang et al. Research and implementation of file encryption and decryption
MANAA et al. A PROACTIVE DATA SECURITY SCHEME OF FILES USING MINHASH TECHNIQUE
KR102028192B1 (ko) 형태보존 암호화 방법
Anil et al. Securing Secret Messages: A Review

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19808444

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2020520390

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 20207036591

Country of ref document: KR

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 19808444

Country of ref document: EP

Kind code of ref document: A1