WO2021214923A1 - 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体 - Google Patents

認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体 Download PDF

Info

Publication number
WO2021214923A1
WO2021214923A1 PCT/JP2020/017422 JP2020017422W WO2021214923A1 WO 2021214923 A1 WO2021214923 A1 WO 2021214923A1 JP 2020017422 W JP2020017422 W JP 2020017422W WO 2021214923 A1 WO2021214923 A1 WO 2021214923A1
Authority
WO
WIPO (PCT)
Prior art keywords
nonce
authentication
encryption
plaintext
tag
Prior art date
Application number
PCT/JP2020/017422
Other languages
English (en)
French (fr)
Inventor
一彦 峯松
明子 向井
尚文 本間
嶺 上野
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to PCT/JP2020/017422 priority Critical patent/WO2021214923A1/ja
Priority to JP2022516562A priority patent/JP7367860B2/ja
Priority to US17/918,643 priority patent/US20230139104A1/en
Publication of WO2021214923A1 publication Critical patent/WO2021214923A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3234—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving additional secure or trusted devices, e.g. TPM, smartcard, USB or software token
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0637—Modes of operation, e.g. cipher block chaining [CBC], electronic codebook [ECB] or Galois/counter mode [GCM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3239—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving non-keyed hash functions, e.g. modification detection codes [MDCs], MD5, SHA or RIPEMD

Definitions

  • the present invention relates to an authentication encryption device, an authentication decryption device, an authentication encryption system, a method, and a computer-readable medium.
  • Authenticated Encryption There is known a technology called Authenticated Encryption (AE) that uses a private key shared in advance to simultaneously apply encryption and authentication tag calculation for tampering detection to plaintext messages.
  • AE Authenticated Encryption
  • the authenticated encryption AE uses a private key shared in advance to simultaneously apply encryption and authentication tag calculation for tampering detection to plaintext messages.
  • OCB Offset Code Book
  • Tweak auxiliary variable
  • a tag is generated by performing the same processing as when performing the above encryption on the exclusive OR of each block obtained by dividing the plaintext.
  • Non-Patent Document 3 discloses a method relating to OCB2f, which is a modified version of the version of OCB described in Non-Patent Document 2.
  • Non-Patent Document 4 discloses an ⁇ CB3 (hereinafter referred to as ThetaCB3) method that abstracts OCB by using a Tweakable block cipher (TBC; twistable block cipher) as a primitive, which is an extension of a block cipher. ..
  • NIST Special Publication 800-38D "Recommendation for Block Cipher Modes of Operation: Galois / Counter Mode (GCM) and GMAC", http://csrc.nist.gov/publications/nistpubs/800-38D/SP-800-38D .pdf "Efficient Instruments of Tweakable Blockciphers and Refinements to Modes OCB and PMAC", Phillip Rogaway, ASIACRYPT2004, http://web.cs.ucdavis.edu/ ⁇ rogaway/papers/offsets.pdf Akiko Inoue, Tetsu Iwata, Kazuhiko Minematsu, Bertram Poettering, "Cryptanalysis of OCB2: Attaches on Authenticity and Confidentiality", IACR Cryptology ePrint Archive 2019: 311 (2019) Ted Krovetz, Phillip Rogaway, "The Software Performance of Authenticated-Encryption Modes", FSE 2011: 306-327 Christof Beierle, Jeremy
  • delay for general encryption methods including authenticated encryption. This refers to the time from the start of processing until the first output result is obtained, and the smaller the time is desirable. On the other hand, it is difficult to suppress delays in encryption and decryption with the above-mentioned techniques related to patent documents and non-patent documents.
  • An object of the present disclosure is to solve such a problem, and an authentication encryption device, an authentication decryption device, an authentication encryption system, a method and a computer capable of suppressing a delay in encryption and decryption. It is to provide a readable medium.
  • the authentication encryption device assists the nonce with an input means for accepting the input of the plain text, a nonce generating means for generating a nonce different from the value generated in the past, and a block obtained by dividing the plain text.
  • a plain text encryption means that generates a cipher statement corresponding to the plain text by encrypting it as a variable, a check sum generation means that generates a check sum using the plain text, and a hash means that acquires a hash value.
  • a nonce encryption means that encrypts the nonce and obtains an encrypted nonce
  • an authentication tag generation means that generates an authentication tag using the check sum, the hash value, and the encryption nonce, and the cipher text and It has an output means for controlling the output of the authentication tag.
  • the authentication / decryption device uses an input means for accepting input of a cipher, an authentication tag, and a nonce, and the nonce as an auxiliary variable for each block in which the cipher is divided, thereby performing the above-mentioned.
  • a plain text decryption means that generates a plain sentence corresponding to a cipher sentence
  • a check sum generation means that generates a check sum using the plain sentence
  • a hash means that obtains a hash value
  • an encrypted nonce that is encrypted to obtain an encrypted nonce.
  • a verification tag generating means that generates a verification tag that is an estimated authentication tag by using the nonce encryption means, the check sum, the hash value, and the encryption nonce, and the authentication tag and the verification. It has a verification means for verifying the presence or absence of tampering by comparing with a hash tag and controlling for outputting the verification result.
  • the authentication encryption system includes an authentication encryption device and an authentication / decryption device that communicates with the authentication encryption device, and the authentication encryption device accepts plain text input.
  • the plain text is encrypted by using the first input means, the nonce generating means that generates a nonce different from the value generated in the past, and the nonce as an auxiliary variable for each block in which the plain text is divided.
  • a plain text encryption means that generates a cipher statement corresponding to the above, a first check sum generation means that generates a check sum using the plain text, a first hash means that obtains a hash value, and the nonce are encrypted.
  • a first nonce encryption means for acquiring an encryption nonce, an authentication tag generation means for generating an authentication tag using the check sum, the hash value, and the encryption nonce, the encryption text, and the authentication tag.
  • the authentication / decryption device has an output means for controlling the output of the above, and the authentication / decryption device is input by the second input means for accepting the input of the encryption text, the authentication tag, and the nonce, and the second input means.
  • a plain text decoding means that generates a plain text corresponding to the cipher text by decrypting the nonce input by the second input means as an auxiliary variable for each block in which the cipher text is divided, and the plain text
  • a second checksum generating means that generates a checksum using the plain text generated by the decrypting means, a second hashing means that acquires a hash value, and the nonce input by the second input means.
  • a second nonce encryption means that encrypts and obtains an encrypted nonce, the checksum generated by the second checksum generating means, the hash value obtained by the second hashing means, and the like.
  • a verification tag generation means for generating a verification tag which is an estimated authentication tag, and a verification tag generation means generated by the authentication tag generation means. It has a verification means for verifying the presence or absence of tampering by comparing the authentication tag and the verification tag and controlling for outputting the verification result.
  • the authentication encryption method accepts plaintext input, generates a nonce different from the value generated in the past, and uses the nonce as an auxiliary variable for each block in which the plaintext is divided.
  • the ciphertext corresponding to the plaintext is generated, the checksum is generated using the plaintext, the hash value is acquired, the nonce is encrypted to obtain the encrypted nonce, and the checksum is used.
  • An authentication tag is generated using the hash value and the encryption nonce, and control is performed to output the ciphertext and the authentication tag.
  • the authentication / decryption method accepts the input of the cipher, the authentication tag, and the nonce, and decrypts the cipher by using the nonce as an auxiliary variable for each block in which the cipher is divided.
  • a corresponding plain sentence is generated, a check sum is generated using the plain sentence, a hash value is acquired, the nonce is encrypted to obtain an encrypted nonce, and the check sum, the hash value, and the encrypted nonce are used.
  • Is used to generate a verification tag which is an estimated authentication tag, and by comparing the authentication tag with the verification tag, the presence or absence of tampering is verified, and control is performed to output the verification result.
  • the program according to the present disclosure uses the nonce as an auxiliary variable for each of a step of accepting an input of plaintext, a step of generating a nonce different from a value generated in the past, and a block in which the plaintext is divided.
  • a step of generating a ciphertext corresponding to the plaintext a step of generating a checksum using the plaintext, a step of acquiring a hash value, and a step of encrypting the nonce to perform an encrypted nonce.
  • a computer is made to execute a step of acquiring and a step of generating an authentication tag using the check sum, the hash value, and the encryption nonce, and controlling the output of the ciphertext and the authentication tag. ..
  • the program according to the present disclosure converts the cipher statement into the cipher text by performing a step of accepting input of a cipher text, an authentication tag and a nonce, and decrypting the cipher text by using the nonce as an auxiliary variable for each divided block.
  • the presence or absence of tampering is verified and verified by comparing the step of generating the verification tag, which is the estimated authentication tag, with the authentication tag and the verification tag using the hash value and the encryption nonce.
  • an authentication encryption device an authentication decryption device, an authentication encryption system, a method, and a computer-readable medium capable of suppressing delays in encryption and decryption.
  • FIG. 5 is a flowchart showing an authentication / decryption method executed by the authentication / decryption device according to the first embodiment. It is a figure which simplified and showed the encryption routine which used the authentication encryption system ThetaCB3 system described in Non-Patent Document 4.
  • Non-Patent Document 4 It is a figure which simplified and showed the decryption routine which used the authentication encryption system ThetaCB3 system described in Non-Patent Document 4. It is a figure which illustrates the encryption process at the time of performing the authentication encryption method which concerns on Embodiment 1 by Tweakable block cipher. It is a figure which illustrates the decryption process when the authentication encryption method which concerns on Embodiment 1 is carried out by Tweakable block cipher. It is a figure which illustrates the encryption function and the decryption function described in Non-Patent Document 2. It is a figure which shows the authentication encryption apparatus which concerns on Embodiment 2. It is a figure which shows the authentication decoding apparatus which concerns on Embodiment 2. It is a block diagram which shows schematic the hardware configuration example of the calculation processing apparatus which can realize the apparatus and system which concerns on each embodiment.
  • the encryption function of the authentication encryption is AEnc, and the decryption function is ADec.
  • the plaintext to be encrypted is set to M, and a variable N called a nonce is introduced.
  • A be the header (associated data; AD).
  • the header A is a value at which tampering is detected but not encrypted.
  • ADec_K (N', A', C', T')
  • ADec_K is a decoding function with the key K as a parameter. If there is tampering in the middle of communication and (N', A', C', T') ⁇ (N, A, C, T), then about ADec_K (N', A', C', T') , An error message (error symbol) indicating that it has been tampered with is output. That is, in this case, tampering is detected.
  • the encryption side uses some state variable such as a counter to prevent nonce matching. That is, typically, by storing the N used immediately before as a state variable and incrementing N each time, it is realized that the nonce N does not overlap with the past value.
  • latency for general encryption methods including authentication encryption. This refers to the time from the start of processing until the first output result is obtained, and the smaller the time is desirable.
  • the delay refers to the time or amount of processing until the first ciphertext block is output when a plaintext consisting of a plurality of blocks is input.
  • the encryption delay in authentication encryption is generally the number of primitive call counts required before the first ciphertext block is output. be.
  • Decryption delay is defined as well.
  • Another index of delay is speed (throughput).
  • the speed is generally the number of message blocks that can be processed per primitive call. This number is also called the rate.
  • the delay may, by definition, include a constant number of calls as described above.
  • OCB described in Patent Document 1 and Non-Patent Document 1 is known as an authentication encryption method using a block cipher as a primitive.
  • the delay is particularly small.
  • the delay in encryption is two block ciphers.
  • the delay in encryption is TBC once, which is theoretically the best as the method using TBC. In other words, in OCB and ThetaCB3, the delay in encryption is small.
  • the encryption and decryption rates are 1 for both OCB and ThetaCB3, and the messages can be executed in parallel in block units. Therefore, it can be said that high-speed processing is possible in OCB and ThetaCB3.
  • the delay in encryption is small, the delay in decryption is larger than the delay in encryption, as will be described later.
  • the delay in the authentication encryption in the present embodiment as described below, the delay can be further reduced while achieving the same speed (that is, rate 1) as OCB and ThetaCB3. That is, in the present embodiment, high-speed and low-delay authentication encryption can be realized.
  • FIG. 1 is a diagram showing the configuration of the authentication encryption system 1 according to the first embodiment.
  • the authentication encryption system 1 includes an authentication encryption device 10 and an authentication decryption device 20.
  • the authentication encryption device 10 and the authentication decryption device 20 may be physically integrated or may be separate. Further, the components of each device described later with reference to FIGS. 2 to 3 may be realized by another device.
  • the length of one block out of a plurality of blocks obtained by dividing a plaintext or a ciphertext is defined as n bits having a predetermined length.
  • the authentication encryption device 10 corresponds to Alice
  • the authentication decryption device 20 corresponds to Bob. That is, communication is performed between the authentication encryption device 10 and the authentication decryption device 20.
  • the plaintext length is always a multiple of the block length n. If a plaintext that is not a multiple of the block length n is handled, padding is required and the length of the ciphertext increases.
  • the limitation that the plaintext length is a multiple of the block length is not a problem for many applications. For example, when considering encryption of a memory, cache, or hard disk sector using AES (Advanced Encryption Standard) described later, the standard length of plaintext is a multiple of the block length (16 bytes) of AES.
  • FIG. 2 is a diagram showing the configuration of the authentication encryption device 10 according to the first embodiment.
  • FIG. 3 is a diagram showing the configuration of the authentication / decryption device 20 according to the first embodiment.
  • FIG. 4 is a flowchart showing an authentication encryption method executed by the authentication encryption device 10 according to the first embodiment.
  • FIG. 5 is a flowchart showing an authentication / decryption method executed by the authentication / decryption device 20 according to the first embodiment.
  • FIG. 6 is a simplified diagram showing an encryption routine using the authenticated encryption method ThetaCB3 method described in Non-Patent Document 4.
  • FIG. 7 is a simplified diagram showing a decryption routine using the authentication encryption method ThetaCB3 method described in Non-Patent Document 4.
  • FIG. 8 is a diagram illustrating an encryption process when the authentication encryption method according to the first embodiment is implemented by a Tweakable block cipher.
  • FIG. 9 is a diagram illustrating a decryption process when the authentication encryption method according to the first embodiment is performed by a Tweakable block cipher.
  • FIG. 10 is a diagram illustrating an encryption function and a decryption function described in Non-Patent Document 2.
  • the authentication encryption device 10 shown in FIG. 2 will be described.
  • the authentication encryption device 10 includes an input unit 100, a nonce generation unit 101, a Tweek encryption unit 102, a checksum generation unit 103, a header hash unit 104, a nonce encryption unit 105, and an addition unit 106. It has a shortening unit 107 and an output unit 108.
  • the authentication encryption device 10 can be realized by, for example, a computer. That is, the authentication encryption device 10 has an arithmetic unit such as a CPU (Central Processing Unit) and a storage device such as a memory or an optical disk.
  • the authentication encryption device 10 realizes each of the above components by, for example, the arithmetic unit executing a program stored in the storage device.
  • the input unit 100 has a function as an input means.
  • the nonce generation unit 101 has a function as a nonce generation means.
  • the Tweek-attached encryption unit 102 has a function as a Tweak-attached encryption means (plaintext encryption means or ciphertext generation means).
  • the checksum generation unit 103 has a function as a checksum generation means.
  • the header hash unit 104 has a function as a header hash means (hash means).
  • the nonce encryption unit 105 has a function as a nonce encryption means.
  • the adding unit 106 has a function as an adding means (additive means).
  • the shortening unit 107 has a function as a shortening means (authentication tag generating means).
  • the output unit 108 has a function as an output means.
  • the input unit 100 accepts the input of the plaintext M and the header A to be encrypted.
  • the input unit 100 may be realized by an input device such as a keyboard, for example.
  • the input unit 100 may accept the input of the plaintext M and the header A from, for example, an external device connected via a network. In some cases, the header does not exist. In this case, the header A is not input.
  • the input unit 100 outputs the plaintext M to the encryption unit 102 with Twake and the checksum generation unit 103. Further, the input unit 100 outputs the header A to the header hash unit 104.
  • the nonce generation unit 101 generates the nonce N so that there is no overlap with the past value. That is, the nonce generation unit 101 generates a nonce N different from the value generated in the past. Specifically, for example, the nonce generation unit 101 first outputs an arbitrary fixed value. In addition, the nonce generation unit 101 stores the value of the nonce generated immediately before. Then, the nonce generation unit 101 outputs a value obtained by adding 1 to the value immediately before being stored when generating the nonce N from the second time onward. In this way, the nonce generation unit 101 generates a nonce N different from the value generated in the past by outputting a value obtained by adding 1 to the value already output immediately before.
  • the nonce generation unit 101 may generate the nonce by a method different from the above-mentioned example.
  • the nonce generation unit 101 outputs the generated nonce N to the Tweek encryption unit 102 and the nonce encryption unit 105. Further, the nonce generation unit 101 may output the generated nonce N to the output unit 108.
  • the encryption unit 102 with Twake divides the plaintext M into n-bit blocks for a predetermined n, uses the nonce N as an auxiliary variable (Tweak), and encrypts the plaintext M in parallel for each block.
  • the encryption unit 102 with Tweak divides the plaintext M into n-bit blocks (that is, blocks of a predetermined length) to generate a series of m blocks M [1] and M [2]. ] ,. .. .. , M [m] is obtained.
  • each block is encrypted in parallel with the Tweakable block cipher.
  • a series of m blocks M [1], M [2] ,. .. .. , M [m] may be divided. Alternatively, the input unit 100 may divide the plaintext M.
  • the Tweek may include an index j indicating the type of processing (difference in whether the encryption target is plaintext or nonce).
  • the index j is 1
  • the encryption function of the Tweakable block cipher is TE (Tweak, message block)
  • C [m] TE ((N, m, j + 1), M [m]) It can be expressed as.
  • the encryption unit 102 with Tweek obtained C [1] ,. .. .. , C [m] are concatenated to obtain the ciphertext C. Then, the encryption unit 102 with Twake outputs the obtained ciphertext C to the output unit 108.
  • the encryption unit 102 with Twake may use an existing algorithm such as SKINNY described in Non-Patent Document 5 as the Tweakable block cipher (TBC).
  • the encryption unit 102 with Tweak may realize the Tweakable block cipher (TBC) in a block cipher use mode (hereinafter referred to as a mode) using a block cipher such as AES (Advanced Encryption Standard).
  • the Twake-attached encryption unit 102 can use the XEX * mode described in Non-Patent Document 2 or the mode described in Non-Patent Document 4, which is a variant thereof, as the mode of the Tweakable block cipher. Is. That is, in the present embodiment, the Tweakable block cipher may be in the XEX * mode using the block cipher.
  • ⁇ 2 means multiplication with the origin (x in the polynomial representation) on the finite field GF (2 ⁇ n)
  • ⁇ 3 is the sum of the origin and the identity element (in a polynomial).
  • x + 1) means multiplication.
  • E (N), 2 ⁇ i, 3 ⁇ j E (N) is regarded as the element of GF (2 ⁇ n), which is multiplied by the i-time generator, and the j-time generator and the unit. It means to take the multiplication with the original sum.
  • Other methods for realizing the block cipher encryption function in the case of n are described in, for example, Non-Patent Document 3.
  • the checksum generation unit 103 generates the checksum S by compressing the plaintext M by a simple calculation. Specifically, the checksum generation unit 103 converts the plaintext M into a series of n-bit blocks M [1], M [2] ,. .. .. , M [m]. Then, the checksum generation unit 103 uses the divided n-bit block series M [1], M [2] ,. .. .. , M [m] is subjected to a simple compression process to generate a checksum S. The checksum generation unit 103 outputs the generated checksum S to the addition unit 106.
  • the checksum S is generated by calculating.
  • the checksum generation unit 103 is not limited to the exclusive OR, and may generate the checksum S by using an arbitrary group or ring operation such as arithmetic addition.
  • the header hash unit 104 acquires the hash value H of the header A by using the header A and the universal hash function. Specifically, the header hash unit 104 uses the header A as a series of n-bit blocks A [1], A [2] ,. .. .. , A [a]. Then, the header hash unit 104 includes a series of divided n-bit blocks A [1], A [2] ,. .. .. , A [a] is applied with a universal hash function to acquire the hash value H of the header. The header hash unit 104 outputs the hash value H of the acquired header to the addition unit 106.
  • the header hash unit 104 may use a polynomial hash function using multiplication as described in Non-Patent Document 6 as the universal hash function.
  • the header hash unit 104 may generate the hash value H of the header by a method using a block cipher or a Tweakable block cipher.
  • the header hash unit 104 uses the method described in Non-Patent Document 2, for example, and uses the TE function used in the encryption unit 102 with Twake as the universal hash function
  • the hash value H is calculated by the following equation 5. May be obtained.
  • the constant is an arbitrary n-bit constant.
  • the Tweakable block cipher may be in the XEX * mode using the block cipher.
  • the header hash unit 104 puts appropriate padding on the header A, and then sets the header A to A [1], A [2] ,. .. .. , A [a].
  • the header hash unit 104 may set the hash value H to an arbitrary constant (for example, all zeros; a constant in which all bit values are 0).
  • the nonce encryption unit 105 encrypts the nonce N and acquires an encrypted nonce V having the same length as the checksum. Specifically, the nonce encryption unit 105 generates an encrypted nonce V by encrypting an arbitrary n-bit constant using the nonce N as an auxiliary variable (Tweak). That is, the nonce encryption unit 105 generates the encrypted nonce V by encrypting with the Tweakable block cipher in which the plaintext of one block is an arbitrary constant by using the Tweak including the nonce N. The nonce encryption unit 105 outputs the generated encrypted nonce V to the addition unit 106. Further, as described above, the Tweakable block cipher may be in the XEX * mode using the block cipher.
  • the addition unit 106 generates the non-abbreviated authentication tag U by summing the checksum S, the encryption nonce V, and the hash value H of the header. Specifically, the addition unit 106 adds the hash value H of the header, the checksum S, and the encryption nonce V. The addition unit 106 acquires this sum as an n-bit non-abbreviated authentication tag U.
  • the addition method may be an exclusive OR, or may be an addition operation of an arbitrary group.
  • the addition unit 106 outputs the obtained non-abbreviated authentication tag U to the shortening unit 107.
  • the shortening unit 107 generates the authentication tag T by shortening the non-shortening authentication tag U generated by the addition unit 106 to t bits by an arbitrary method for a predetermined t (t is an integer of 1 or more and n or less). .. Specifically, the shortening unit 107 generates the authentication tag T by shortening the non-shortening authentication tag U to a predetermined t bit by an arbitrary method. For example, the shortening unit 107 may use the most significant t-bit of the non-shortening authentication tag U as the authentication tag T.
  • the output unit 108 controls to output the ciphertext C and the authentication tag T.
  • the output unit 108 may connect the ciphertext C and the authentication tag T for output.
  • the output unit 108 may control the output device such as a display to display the ciphertext C and the authentication tag T, for example. Further, the output unit 108 may control to output the ciphertext C and the authentication tag T to, for example, an external device connected via a network. Further, the output unit 108 may control to output the nonce N and the header A.
  • the authentication / decryption device 20 includes an input unit 200, a decryption unit 201 with a Twake, a checksum generation unit 202, a nonce encryption unit 203, a header hash unit 204, an addition unit 205, a shortening unit 206, and tag verification. It has a part 207. It can be realized by the authentication decryption device 20, for example, a computer. That is, the authentication / decryption device 20 has an arithmetic unit such as a CPU and a storage device such as a memory or an optical disk. The authentication / decryption device 20 realizes each of the above components by, for example, the arithmetic unit executing a program stored in the storage device.
  • the input unit 200 has a function as an input means.
  • the decoding unit 201 with Twake has a function as a decoding means with Twake (plaintext decoding means or plaintext generating means).
  • the checksum generation unit 202 has a function as a checksum generation means.
  • the nonce encryption unit 203 has a function as a nonce encryption means.
  • the header hash unit 204 has a function as a header hash means (hash means).
  • the adding unit 205 has a function as an adding means (additive means).
  • the shortening unit 206 has a function as a shortening means (verification tag generation means).
  • the tag verification unit 207 has a function as a tag verification means (verification means and output means).
  • the input unit 200 accepts the input of the ciphertext C, the nonce N, the header A, and the authentication tag T to be decrypted.
  • the input unit 200 may be realized by a character input device such as a keyboard, for example.
  • the input unit 200 is realized by an input device such as a keyboard, for example.
  • the input unit 200 may accept the ciphertext C, the nonce N, the header A, and the authentication tag T from, for example, an external device connected via a network. In some cases, the header does not exist. In this case, the header A is not input.
  • the input unit 200 outputs the ciphertext C to the decryption unit 201 with Twake. Further, the input unit 200 outputs the header A to the header hash unit 204. Further, the input unit 200 outputs the nonce N to the decryption unit 201 with Twake and the nonce encryption unit 203. Further, the input unit 200 outputs the authentication tag T to the tag verification unit 207.
  • the decryption unit 201 with Twake performs the decryption process corresponding to the encryption unit 102 with Twake described above.
  • the decryption unit 201 with Twake divides the ciphertext C for each n-bit block for a predetermined n, uses the nonce N as an auxiliary variable (Tweak), and decodes each block in parallel to generate the plaintext M.
  • the decryption unit 201 with Twake has a sequence of m blocks C [1], C [2], generated by dividing the ciphertext C into n-bit blocks. .. .. , C [m] is obtained.
  • the division of the ciphertext C does not need to be performed by the decryption unit 201 with Twake.
  • a series of m blocks C [1], C [2] ,. .. .. , C [m] may be divided.
  • the input unit 200 may divide the ciphertext C.
  • the Week may include an index j indicating the type of processing (difference in whether the encryption target is plaintext or nonce).
  • index j 1 and the decryption function of the Tweakable block cipher is TD (Tweak, message block)
  • M [m] TD ((N, m, j + 1), C [m]) It can be expressed as.
  • the Twake-attached decryption unit 201 may use an existing Tweakable block cipher algorithm such as SKINNY described in Non-Patent Document 5 as the Tweakable block cipher (TBC). .. Alternatively, the decryption unit 201 with Tweak may realize the Tweakable block cipher (TBC) in a mode using a block cipher such as AES. In this case, the decryption unit 201 with Twake can use the XEX * mode described in Non-Patent Document 2 or the mode described in Non-Patent Document 4, which is a variant thereof, as the mode of the Tweakable block cipher. be. That is, in the present embodiment, the Tweakable block cipher may be in the XEX * mode using the block cipher.
  • the checksum generation unit 202 performs substantially the same processing as the checksum generation unit 103 described above. That is, the checksum generation unit 202 generates the checksum S by compressing the plaintext M by a simple calculation. The checksum generation unit 202 outputs the generated checksum S to the addition unit 205.
  • the nonce encryption unit 203 performs substantially the same processing as the nonce encryption unit 105 described above. That is, the nonce encryption unit 203 encrypts the nonce N and acquires an encrypted nonce V having the same length as the checksum. Specifically, the nonce encryption unit 203 generates an encrypted nonce V by encrypting an arbitrary n-bit constant using the nonce N as an auxiliary variable (Tweak). That is, the nonce encryption unit 203 generates the encrypted nonce V by encrypting with the Tweakable block cipher in which the plaintext of one block is an arbitrary constant by using the Tweak including the nonce N. The nonce encryption unit 203 outputs the acquired encrypted nonce V to the addition unit 205. Further, as described above, the Tweakable block cipher may be in the XEX * mode using the block cipher.
  • the header hash unit 204 performs substantially the same processing as the header hash unit 104 described above. That is, the header hash unit 204 acquires the hash value H of the header A by using the header A and the universal hash function. The header hash unit 204 outputs the acquired hash value H to the addition unit 205. When the header A does not exist, the header hash unit 204 may set the hash value H to an arbitrary constant (for example, all zeros; a constant in which all bit values are 0).
  • the addition unit 205 performs substantially the same processing as the above-mentioned addition unit 106. That is, the addition unit 205 generates the non-abbreviated authentication tag U by summing the checksum S, the encryption nonce V, and the hash value H of the header. The addition unit 205 outputs the generated non-abbreviated authentication tag U to the shortening unit 206.
  • the shortening unit 206 uses an estimated authentication tag by shortening the non-shortening authentication tag U generated by the addition unit 205 to t bits by an arbitrary method for a predetermined t (t is an integer of 1 or more and n or less). Generate a verification tag T'.
  • the specific processing of the shortening unit 206 is substantially the same as the processing of the shortening unit 107.
  • the shortening unit 206 outputs the generated verification tag T'to the tag verification unit 207.
  • the tag verification unit 207 compares the authentication tag T output by the input unit 200 with the verification tag T'output by the shortening unit 206 to verify the presence or absence of tampering. Then, the tag verification unit 207 controls to output information based on the verification result.
  • the tag verification unit 207 may perform control for displaying information on an output device such as a display, for example. Further, the tag verification unit 207 may control to output information to, for example, an external device connected via a network.
  • the tag verification unit 207 controls to output the plaintext M generated by the decryption unit 201 with Twake. In the case where the length of the plaintext is not a multiple of n, the tag verification unit 207 may control to output the plaintext M by removing the predetermined padding. On the other hand, when the authentication tag T and the verification tag T'do not match, the tag verification unit 207 controls to output an error symbol indicating that the authentication tag T and the verification tag T'do not match. ..
  • FIG. 4 is a flowchart showing an authentication encryption method executed by the authentication encryption device 10 according to the first embodiment.
  • the nonce generation unit 101 generates nonce N as described above (step S102).
  • the encryption unit 102 with Twake encrypts the plaintext M for each block using the nonce N as the auxiliary variable Tweek, and acquires the ciphertext C (step S104).
  • the checksum generation unit 103 generates the checksum S of the plaintext M as described above (step S106).
  • the header hash unit 104 acquires the hash value H of the header A as described above (step S108).
  • the nonce encryption unit 105 encrypts the nonce N and acquires the encrypted nonce V as described above (step S110).
  • the authentication encryption device 10 acquires the authentication tag T (step S112). Specifically, as described above, the addition unit 106 takes the sum of the checksum S, the encryption nonce V, and the hash value H of the header. The shortening unit 107 acquires the authentication tag T by shortening the sum (non-shortening authentication tag U) to a predetermined t bit. Then, as described above, the output unit 108 controls to output the ciphertext C and the authentication tag T (step S114).
  • FIG. 5 is a flowchart showing an authentication / decryption method executed by the authentication / decryption device 20 according to the first embodiment.
  • the input unit 200 inputs the ciphertext C, the nonce N, the header A, and the authentication tag T to be decrypted (step S202).
  • the nonce encryption unit 203 encrypts the nonce N and acquires the encrypted nonce V as described above (step S204).
  • the decryption unit 201 with Tweek decrypts the ciphertext C for each block using the nonce N as the auxiliary variable Twoak, and acquires the plaintext M (step S206).
  • the header hash unit 204 acquires the hash value H of the header A as described above (step S208).
  • the checksum generation unit 202 generates the checksum S of the plaintext M as described above (step S210).
  • the authentication / decryption device 20 acquires the estimated authentication tag T'(verification tag) (step S212). Specifically, as described above, the addition unit 205 takes the sum of the encryption nonce V, the hash value H of the header, and the checksum S. The shortening unit 206 acquires the estimated authentication tag T'(verification tag T') by shortening the sum (non-shortening authentication tag U) to a predetermined t-bit.
  • the tag verification unit 207 determines whether or not the authentication tag T and the verification tag T'match (step S214). As a result, the presence or absence of tampering is verified. When the authentication tag T and the verification tag T'match (YES in S214), the tag verification unit 207 controls to output the plaintext M as a verification result indicating that the authentication was successful (step S216). ). On the other hand, when the authentication tag T and the verification tag T'do not match (NO in S214), the tag verification unit 207 controls to output an error symbol as a verification result indicating that the authentication has failed (NO). Step S218).
  • the delay in encryption is small, but the delay in decryption is larger than the delay in encryption.
  • the decoding delay is 3
  • the decoding delay is 2.
  • FIG. 6 is a simplified diagram showing an encryption routine using the authenticated encryption method ThetaCB3 method described in Non-Patent Document 4.
  • TE (N, i, j) is a function TE ((N, i, j), in which Tweak (N, i, j) is applied to the first argument of the encryption function of the Tweakable block cipher. *) Represents.
  • trunc is a function for shortening the input.
  • FIG. 7 is a simplified diagram showing a decryption routine using the authentication encryption method ThetaCB3 method described in Non-Patent Document 4.
  • TD (N, i, j) is a function TD ((N, i, j), *) in which Tweak (N, i, j) is applied to the first argument of the decryption function of the Tweakable block cipher. ).
  • the authentication tag T encrypts the sum of plaintext blocks (exclusive OR) called the checksum S with the TE function (TE (Nm2)) of the Tweakable block cipher. Obtained by.
  • TE TE
  • Nm2 the TE function of the Tweakable block cipher.
  • encryption can be executed in parallel for all TE functions when the input of the values required for encryption (nance N, header A, and plaintext M) is determined. Therefore, the delay in encryption is 1.
  • the decryption process shown in FIG. 7 in order to obtain the plaintext block, the corresponding ciphertext block is decrypted by the decryption function TD of the Tweakable block cipher. Then, after the plaintext block is obtained by decryption, the checksum S is generated, and the checksum S is encrypted with the TE function (TE (Nm.2)) to obtain the value of the authentication tag T'and the value of the authentication tag T'. By confirming that the value of the transmitted authentication tag T matches, the presence or absence of tampering is verified.
  • TE TE
  • the delay in decryption is 2. That is, in FIG. 7, the TE function surrounded by the broken line is the plaintext block M [1] ,. .. .. , M [m] cannot be executed unless it is determined. Therefore, the delay is incremented by 1 with the TE function surrounded by the broken line.
  • the nonce in addition to the above processing, in order to realize the TE function and TD function by block cipher, the nonce (realized by the public value used for encryption, counter, etc.) is encrypted by block cipher. Is required. Specifically, in the case of OCB2 or OCB2f described in Non-Patent Document 2 and Non-Patent Document 3, the delay is increased by 1 in encryption and decryption. Therefore, in the case of OCB, the encryption delay is 2 and the decryption delay is 3. That is, in both OCB and ThetaCB3, the decryption delay is increased by 1 as compared with the encryption delay.
  • the method according to the first embodiment has an effect of suppressing the decoding delay regardless of the length of the authentication tag, as compared with the above-mentioned technique. That is, the method according to the first embodiment has an effect that the encryption delay and the decryption delay are both one time of the Tweakable block cipher regardless of the tag length.
  • FIG. 8 is a diagram illustrating an encryption process when the authentication encryption method according to the first embodiment is implemented by a Tweakable block cipher.
  • FIG. 9 is a diagram illustrating a decryption process when the authentication encryption method according to the first embodiment is performed by a Tweakable block cipher.
  • the TE and TD function dependencies do not exist in either encryption (FIG. 8) or decryption (FIG. 9), and the TE and TD functions are completely parallel.
  • the encryption delay and the decryption delay are both 1.
  • the encryption delay is 1, whereas the decryption delay is 2. ..
  • the decoding delay can be set to 1 by changing the decoding procedure.
  • tag length t is less than n bits, it is conceivable to shorten the output of the TE function and TD function related to the generation of the checksum and the generation of the hash value of the header to t bits in advance. This makes it possible to reduce the amount of memory required for encryption or decryption without changing the overall algorithm.
  • ThetaCB3 since the checksum cannot be shortened before being input to the Tweakable block cipher, such a memory amount reduction cannot be performed.
  • the Tweakable block cipher when the Tweakable block cipher is realized in some block cipher use mode (for example, the XEX * mode used in OCB of Non-Patent Document 2), a calculation overhead occurs in the block cipher use mode part. This increases both encryption and decryption delays. Specifically, when XEX * is used, one time due to nonce encryption always occurs as an overhead. However, this is also the case with the existing OCB, and if the method for realizing the Tweakable block cipher is the same, the overhead is the same, and as a result, the decoding in the present embodiment for the technique described in the non-patent document. The advantage of low delay will be preserved.
  • some block cipher use mode for example, the XEX * mode used in OCB of Non-Patent Document 2
  • a calculation overhead occurs in the block cipher use mode part. This increases both encryption and decryption delays. Specifically, when XEX * is used, one time
  • both the encryption delay and the decryption delay are 2.
  • both the encryption delay and the decryption delay are reduced by about 1 as compared with the case where the XEX * mode is used in both OCB3 and the present embodiment. Therefore, in OCB3, the encryption delay is approximately 1, and the decryption delay is approximately 2. On the other hand, in the present embodiment, both the encryption delay and the decryption delay are substantially 1.
  • the rate of encryption and decryption is 1, parallel execution is possible, and provable security is provided. Retains the benefits. Therefore, in the present embodiment, high-speed and low-delay authentication encryption can be realized.
  • the second embodiment shows the outline of the configuration according to the first embodiment.
  • FIG. 11 is a diagram showing an authentication encryption device 30 according to the second embodiment.
  • the authentication encryption device 30 according to the second embodiment corresponds to the authentication encryption device 10 according to the first embodiment.
  • the authentication encryption device 30 according to the second embodiment includes an input unit 31, a nonce generation unit 32, a plaintext encryption unit 33, a checksum generation unit 34, a hash unit 35, a nonce encryption unit 36, and the like. It has an authentication tag generation unit 37 and an output unit 38.
  • the input unit 31 has a function as an input means (first input means).
  • the nonce generating unit 32 has a function as a nonce generating means.
  • the plaintext encryption unit 33 has a function as a plaintext encryption means (encryption means with Twake or ciphertext generation means).
  • the checksum generation unit 34 has a function as a checksum generation means (first checksum generation means).
  • the hash unit 35 has a function as a hash means (first hash means).
  • the nonce encryption unit 36 has a function as a nonce encryption means (first nonce encryption means).
  • the authentication tag generation unit 37 has a function as an authentication tag generation means (addition means and shortening means).
  • the output unit 38 has a function as an output means.
  • the input unit 31 can be realized by substantially the same function as the function of the input unit 100 shown in FIG.
  • the input unit 31 accepts plaintext input. Further, the input unit 31 may accept the input of the header.
  • the nonce generation unit 32 can be realized by a function substantially similar to the function of the nonce generation unit 101 shown in FIG.
  • the nonce generation unit 32 generates a nonce different from the value generated in the past.
  • the plaintext encryption unit 33 can be realized by substantially the same function as the function of the Tweek-attached encryption unit 102 shown in FIG.
  • the plaintext encryption unit 33 generates a ciphertext corresponding to the plaintext by encrypting each block in which the plaintext is divided by using a nonce as an auxiliary variable.
  • the checksum generation unit 34 can be realized by substantially the same function as the function of the checksum generation unit 103 shown in FIG.
  • the checksum generation unit 34 generates a checksum using plain text.
  • the hash unit 35 can be realized by a function substantially similar to the function of the header hash unit 104 shown in FIG.
  • the hash unit 35 acquires the hash value.
  • the hash unit 35 may acquire the hash value by using the header and the hash function (universal hash function).
  • the nonce encryption unit 36 can be realized by a function substantially similar to the function of the nonce encryption unit 105 shown in FIG.
  • the nonce encryption unit 36 encrypts the nonce and acquires the encrypted nonce.
  • the authentication tag generation unit 37 can be realized by substantially the same functions as those of the addition unit 106 and the shortening unit 107 shown in FIG.
  • the authentication tag generation unit 37 generates an authentication tag using a checksum, a hash value, and an encrypted nonce.
  • the authentication tag generation unit 37 may generate an authentication tag based on the sum of the checksum, the hash value, and the encryption nonce. Further, the authentication tag generation unit 37 may generate an authentication tag by shortening this sum.
  • the output unit 38 can be realized by a function substantially similar to the function of the output unit 108 shown in FIG. The output unit 38 controls to output the ciphertext and the authentication tag.
  • FIG. 12 is a diagram showing the authentication / decryption device 40 according to the second embodiment.
  • the authentication / decryption device 40 according to the second embodiment corresponds to the authentication / decryption device 20 according to the first embodiment.
  • the authentication / decryption device 40 according to the second embodiment includes an input unit 41, a plaintext decryption unit 43, a checksum generation unit 44, a hash unit 45, a nonce encryption unit 46, a verification tag generation unit 47, and the like. It has a verification unit 48.
  • the input unit 41 has a function as an input means (second input means).
  • the plaintext decoding unit 43 has a function as a plaintext decoding means (decoding means with Twake or plaintext generating means).
  • the checksum generation unit 44 has a function as a checksum generation means (second checksum generation means).
  • the hash unit 45 has a function as a hash means (second hash means).
  • the nonce encryption unit 46 has a function as a nonce encryption means (second nonce encryption means).
  • the verification tag generation unit 47 has a function as a verification tag generation means (addition means and shortening means).
  • the verification unit 48 has a function as a verification means (tag verification means and output means).
  • the input unit 41 can be realized by substantially the same function as the function of the input unit 200 shown in FIG.
  • the input unit 41 accepts input of a ciphertext, an authentication tag, and a nonce.
  • the input unit 41 may accept header input.
  • the plaintext decoding unit 43 can be realized by substantially the same function as the function of the decryption unit 201 with Twake shown in FIG.
  • the plaintext decryption unit 43 generates the plaintext corresponding to the ciphertext by decrypting each block in which the ciphertext is divided by using the nonce as an auxiliary variable.
  • the checksum generation unit 44 can be realized by substantially the same function as the function of the checksum generation unit 202 shown in FIG.
  • the checksum generation unit 44 generates a checksum using plain text.
  • the hash unit 45 can be realized by a function substantially similar to the function of the header hash unit 204 shown in FIG.
  • the hash unit 45 acquires the hash value.
  • the hash unit 45 may acquire the hash value by using the header and the hash function (universal hash function).
  • the nonce encryption unit 46 can be realized by substantially the same function as the function of the nonce encryption unit 203 shown in FIG.
  • the nonce encryption unit 46 encrypts the nonce and acquires the encrypted nonce.
  • the verification tag generation unit 47 can be realized by substantially the same functions as those of the addition unit 205 and the shortening unit 206 shown in FIG.
  • the verification tag generation unit 47 generates a verification tag, which is an estimated authentication tag, by using the checksum, the hash value, and the encryption nonce.
  • the verification tag generation unit 47 may generate a verification tag based on the sum of the checksum, the hash value, and the encryption nonce. Further, the verification tag generation unit 47 may generate a verification tag by shortening this sum.
  • the verification unit 48 can be realized by substantially the same function as the function of the tag verification unit 207 shown in FIG.
  • the verification unit 48 verifies the presence or absence of tampering by comparing the authentication tag and the verification tag, and controls for outputting the verification result. If the authentication tag and the verification tag match, the verification unit 48 may perform control to output a plain text as a verification result. On the other hand, if the authentication tag and the verification tag do not match, the verification unit 48 may perform control to output an error symbol as a verification result.
  • the authentication encryption device 30 and the authentication decryption device 40 according to the second embodiment can suppress delays in encryption and decryption by the above-described configuration.
  • a delay in encryption and decryption can also be suppressed by an authentication encryption system having an authentication encryption device 30 and an authentication decryption device 40.
  • the authentication encryption method executed by the authentication encryption device 30 and the program that executes the authentication encryption method can also suppress delays in encryption and decryption.
  • the authentication / decryption method executed by the authentication / decryption device 40 and the program that executes the authentication / decryption method can also suppress delays in encryption and decryption.
  • the devices (authentication encryption device and authentication decryption device) according to each embodiment may be physically or functionally realized by using at least two calculation processing devices. Further, the device according to each embodiment may be realized as a dedicated device or a general-purpose information processing device.
  • FIG. 13 is a block diagram schematically showing a hardware configuration example of a calculation processing device capable of realizing the devices and systems according to each embodiment.
  • the calculation processing device 120 includes a CPU 121, a volatile storage device 122, a disk 123, a non-volatile recording medium 124, and a communication IF 127 (IF: Interface). Therefore, it can be said that the device according to each embodiment has a CPU 121, a volatile storage device 122, a disk 123, a non-volatile recording medium 124, and a communication IF 127.
  • the calculation processing device 120 may be connectable to the input device 125 and the output device 126.
  • the calculation processing device 120 may include an input device 125 and an output device 126. Further, the calculation processing device 120 can transmit / receive information to / from other calculation processing devices and the communication device via the communication IF 127.
  • the non-volatile recording medium 124 is, for example, a compact disc (Compact Disc) or a digital versatile disc (Digital Versatile Disc) that can be read by a computer. Further, the non-volatile recording medium 124 may be a USB (Universal Serial Bus) memory, a solid state drive (Solid State Drive), or the like. The non-volatile recording medium 124 holds the program and makes it portable without supplying power. The non-volatile recording medium 124 is not limited to the above-mentioned medium. Further, the program may be supplied via the communication IF 127 and the communication network instead of the non-volatile recording medium 124.
  • the program may be supplied via the communication IF 127 and the communication network instead of the non-volatile recording medium 124.
  • the volatile storage device 122 is readable by a computer and can temporarily store data.
  • the volatile storage device 122 is a memory such as a DRAM (dynamic random Access memory) or a SRAM (static random Access memory).
  • the CPU 121 copies the software program (computer program: hereinafter, simply referred to as "program") stored in the disk 123 to the volatile storage device 122 when executing the software program, and executes arithmetic processing.
  • the CPU 121 reads the data necessary for executing the program from the volatile storage device 122. When display is required, the CPU 121 displays the output result on the output device 126.
  • the CPU 121 acquires the program from the input device 125.
  • the CPU 121 interprets and executes a program corresponding to the function (processing) of each component shown in FIGS. 2, 3, 11, and 12 described above.
  • the CPU 121 executes the processes described in each of the above-described embodiments. In other words, the functions of the respective components shown in FIGS. 2, 3, 11, and 12 described above can be realized by the CPU 121 executing the program stored in the disk 123 or the volatile storage device 122. ..
  • each embodiment can be achieved by the above-mentioned program. Further, it can be considered that each of the above-described embodiments can be achieved by using a non-volatile recording medium in which the above-mentioned program is recorded and which can be read by a computer.
  • the processing order of S104 to S110 is not limited to the order shown in FIG. Further, the processes of S104 to S110 can be executed in parallel.
  • the processing order of S204, S206, and S208 is not limited to the order shown in FIG. Further, the processes of S204, S206, and S208 can be executed in parallel.
  • Non-temporary computer-readable media include various types of tangible storage media.
  • Examples of non-temporary computer-readable media include magnetic recording media (eg flexible disks, magnetic tapes, hard disk drives), magneto-optical recording media (eg magneto-optical disks), CD-ROMs, CD-Rs, CD-R / Ws. , Semiconductor memory (for example, mask ROM, PROM (Programmable ROM), EPROM (Erasable PROM), flash ROM, RAM).
  • the program may also be supplied to the computer by various types of temporary computer readable medium. Examples of temporary computer-readable media include electrical, optical, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • (Appendix 1) Input means for accepting plaintext input and A nonce generating means that generates a nonce different from the value generated in the past,
  • a plaintext encryption means that generates a ciphertext corresponding to the plaintext by encrypting each block in which the plaintext is divided by using the nonce as an auxiliary variable.
  • a checksum generation means for generating a checksum using the plaintext
  • Hash means to get the hash value
  • a nonce encryption means that encrypts the nonce and obtains an encrypted nonce
  • An authentication tag generation means that generates an authentication tag using the checksum, the hash value, and the encryption nonce.
  • the authentication tag generation means generates the authentication tag based on the sum of the checksum, the hash value, and the encryption nonce.
  • the authentication encryption device according to Appendix 1. (Appendix 3) The authentication tag generation means generates the authentication tag by shortening the sum.
  • the authentication encryption device according to Appendix 2. (Appendix 4)
  • the nonce encryption means obtains the encrypted nonce having the same length as the checksum.
  • the authentication encryption device according to any one of Appendix 1 to 3. (Appendix 5)
  • the input means accepts a header and
  • the hash means obtains the hash value by using the header and the hash function.
  • the authentication encryption device according to any one of Appendix 1 to 4.
  • the plaintext encryption means sets the plaintext encryption means, which is an auxiliary variable including the nonce and the index i of the plaintext block, with respect to the i-th plaintext block of the block when the plaintext is divided into blocks having a predetermined length.
  • the plaintext is encrypted in parallel for each block with the Tweakable block cipher.
  • the authentication encryption device according to any one of Appendix 1 to 5.
  • the input means accepts a header and
  • the hash means uses Tweek, which is an auxiliary variable including the index i of the header block, with respect to the i-th header block of the block when the header is divided into blocks of a predetermined length, to use the header.
  • the hash value is acquired by encrypting each block in parallel with the Header block cipher.
  • the authentication encryption device according to Appendix 6. The hash means obtains the hash value by adding blocks in which the header is encrypted.
  • the authentication encryption device according to Appendix 7. (Appendix 9)
  • the nonce encryption means obtains the encrypted nonce by performing encryption with a Tweakable block cipher using the auxiliary variable Tweak including the nonce.
  • the authentication encryption device according to any one of Appendix 6 to 8. (Appendix 10)
  • the Tweakable block cipher is an XEX * mode using a block cipher.
  • a verification tag generation means for generating a verification tag, which is an estimated authentication tag, using the checksum, the hash value, and the encryption nonce.
  • a verification that verifies the presence or absence of tampering by comparing the authentication tag and the verification tag and controls for outputting the verification result.
  • the verification tag generation means generates the verification tag based on the sum of the checksum, the hash value, and the encryption nonce.
  • the verification tag generation means generates the verification tag by shortening the sum.
  • the nonce encryption means obtains the encrypted nonce having the same length as the checksum.
  • the input means accepts a header and The hash means obtains the hash value by using the header and the hash function.
  • the authentication decryption device according to any one of Appendix 11 to 14.
  • the plaintext decryption means is the auxiliary variable including the nonce and the index i of the ciphertext block with respect to the i-th ciphertext block of the block when the ciphertext is divided into blocks of a predetermined length. Using Tweak, the ciphertext is decrypted in parallel for each block by the Tweakable block cipher.
  • the authentication decryption device according to any one of Appendix 11 to 15.
  • the input means accepts a header and
  • the hash means uses Tweek, which is an auxiliary variable including the index i of the header block, with respect to the i-th header block of the block when the header is divided into blocks of a predetermined length, to use the header.
  • the hash value is acquired by encrypting each block in parallel with the Header block cipher.
  • the hash means obtains the hash value by adding blocks in which the header is encrypted.
  • the nonce encryption means obtains the encrypted nonce by performing encryption with a Tweakable block cipher using the auxiliary variable Tweak including the nonce.
  • the authentication decryption device according to any one of Appendix 16 to 18.
  • the Tweakable block cipher is an XEX * mode using a block cipher.
  • the authentication decryption device according to any one of Appendix 16 to 19.
  • the authentication encryption device is The first input means that accepts plaintext input, A nonce generating means that generates a nonce different from the value generated in the past, A plaintext encryption means that generates a ciphertext corresponding to the plaintext by encrypting each block in which the plaintext is divided by using the nonce as an auxiliary variable.
  • a first checksum generation means for generating a checksum using the plaintext, The first hashing method to get the hash value and A first nonce encryption means for encrypting the nonce and obtaining an encrypted nonce,
  • An authentication tag generation means that generates an authentication tag using the checksum, the hash value, and the encryption nonce.
  • An output means that controls the output of the ciphertext and the authentication tag, and Have,
  • the authentication decryption device is A second input means that accepts ciphertext, authentication tag and nonce input, The plaintext corresponding to the ciphertext is decrypted by using the nonce input by the second input means as an auxiliary variable for each block obtained by dividing the ciphertext input by the second input means.
  • the plaintext decryption means to generate A second checksum generating means for generating a checksum using the plaintext generated by the plaintext decoding means, and a second checksum generating means.
  • a second hashing method to get the hash value
  • a second nonce encryption means that encrypts the nonce input by the second input means to obtain an encrypted nonce
  • the verification tag generation means to generate the verification tag, which is the estimated authentication tag
  • a verification means that verifies the presence or absence of tampering by comparing the authentication tag generated by the authentication tag generation means with the verification tag, and controls for outputting the verification result.
  • (Appendix 23) Accepts ciphertext, authentication tag and nonce input, By decrypting the ciphertext using the nonce as an auxiliary variable for each divided block, a plaintext corresponding to the ciphertext is generated. Generate a checksum using the plaintext Get the hash value and Encrypt the nonce to obtain the encrypted nonce, Using the checksum, the hash value, and the encryption nonce, a verification tag, which is an estimated authentication tag, is generated. By comparing the authentication tag with the verification tag, the presence or absence of tampering is verified, and control is performed to output the verification result. Authentication decryption method.
  • Steps to accept ciphertext, authentication tag and nonce input A step of generating a plaintext corresponding to the ciphertext by decrypting the ciphertext for each divided block using the nonce as an auxiliary variable. The step of generating a checksum using the plaintext and Steps to get the hash value and The step of encrypting the nonce and obtaining the encrypted nonce, A step of generating a verification tag, which is an estimated authentication tag, using the checksum, the hash value, and the encryption nonce. A step of verifying the presence or absence of tampering by comparing the authentication tag and the verification tag and performing control for outputting the verification result, and A non-transitory computer-readable medium containing a program that causes a computer to execute.
  • Authentication encryption system 10 Authentication encryption device 100 Input unit 101 Nance generation unit 102 Twake encryption unit 103 Check sum generation unit 104 Header hash unit 105 Nance encryption unit 106 Addition unit 107 Shortening unit 108 Output unit 20 Authentication decryption device 200 Input unit 201 Decryption unit with Twake 202 Check sum generation unit 203 Nance encryption unit 204 Header hash unit 205 Addition unit 206 Shortening unit 207 Tag verification unit 30 Authentication encryption device 31 Input unit 32 Nance generation unit 33 Plain text encryption unit 34 Check Thumb generation unit 35 Hash unit 36 Nance encryption unit 37 Authentication tag generation unit 38 Output unit 40 Authentication decryption device 41 Input unit 43 Plain text decryption unit 44 Check sum generation unit 45 Hash unit 46 Nance encryption unit 47 Verification tag generation unit 48 Verification department

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

暗号化及び復号における遅延を抑制することが可能な認証暗号化装置を提供する。ナンス生成部（３２）は、過去に生成された値とは異なるナンスを生成する。平文暗号化部（３３）は、平文を分割したブロックごとに、ナンスを補助変数として用いて暗号化することで、平文に対応する暗号文を生成する。チェックサム生成部（３４）は、平文を用いてチェックサムを生成する。ハッシュ部（３５）は、ハッシュ値を取得する。ナンス暗号化部（３６）は、ナンスを暗号化して暗号化ナンスを取得する。認証タグ生成部（３７）は、チェックサムとハッシュ値と暗号化ナンスとを用いて認証タグを生成する。

Description

認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
　本発明は、認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体に関する。
　事前に共有された秘密鍵を用いて、平文メッセージに対して暗号化と改ざん検知用の認証タグ計算とを同時に適用する認証暗号（Authenticated Encryption；ＡＥ）という技術が知られている。通信路に認証暗号ＡＥを適用することにより、盗聴に対する内容の秘匿と、不正な改ざんに対する検知とが可能となり、結果として通信内容に対する強力な保護が実現される。認証暗号技術としては、例えば、非特許文献１に開示された技術が知られている。
　また、このような認証暗号を効率的に行う技術の１つとして、例えば、特許文献１及び非特許文献２に示すようなＯＣＢ（Offset Code Book）モードと呼ばれる認証暗号方式が知られている。ＯＣＢモードは、暗号化と復号の際に、Ｔｗｅａｋ（トウィーク）と呼ばれる補助変数（調整値）を導入するＴｗｅａｋａｂｌｅブロック暗号と呼ばれるブロック暗号を拡張したものである。具体的には、ＯＣＢモードでは、非特許文献２に記載されているＸＥＸモードによる暗号化を行うことで、Ｔｗｅａｋを用いた暗号化を行っている。また、ＯＣＢモードでは、平文を分割した各ブロックの排他的論理和に上記暗号化を行う際と同様の処理を行うことでタグを生成している。
　また、非特許文献３は、非特許文献２に記載されたバージョンのＯＣＢへ修正を施したバージョンであるＯＣＢ２ｆに関する方式を開示している。また、非特許文献４は、ブロック暗号の拡張であるＴｗｅａｋａｂｌｅブロック暗号（Tweakable block cipher；ＴＢＣ；可撚ブロック暗号）をプリミティブとして用いてＯＣＢを抽象化したΘＣＢ３（以下ＴｈｅｔａＣＢ３）方式を開示している。
米国特許第８３２１６７５号明細書
NIST Special Publication 800-38D、"Recommendation for Block Cipher Modes of Operation:  Galois/Counter Mode (GCM) and GMAC"、http://csrc.nist.gov/publications/nistpubs/800-38D/SP-800-38D.pdf "Efficient Instantiations of Tweakable Blockciphers and Refinements to Modes OCB and PMAC"、Phillip Rogaway、ASIACRYPT 2004、http://web.cs.ucdavis.edu/~rogaway/papers/offsets.pdf Akiko Inoue, Tetsu Iwata, Kazuhiko Minematsu, Bertram Poettering、"Cryptanalysis of OCB2: Attacks on Authenticity and Confidentiality"、IACR Cryptology ePrint Archive 2019: 311 (2019) Ted Krovetz, Phillip Rogaway、"The Software Performance of Authenticated-Encryption Modes"、FSE 2011: 306-327 Christof Beierle, Jeremy Jean, Stefan Kolbl, Gregor Leander, Amir Moradi, Thomas Peyrin, Yu Sasaki, Pascal Sasdrich, Siang Meng Sim、"The SKINNY Family of Block Ciphers and Its Low-Latency Variant MANTIS"、CRYPTO (2) 2016: 123-153 Daniel J. Bernstein、"The Poly1305-AES Message-Authentication Code"、FSE 2005: 32-49
　認証暗号を含む一般の暗号化方式について、遅延という評価指標がある。これは処理を開始してから最初の出力結果が出るまでの時間を指すものであり、小さいほうが望ましい。一方、上述した特許文献及び非特許文献にかかる技術では、暗号化及び復号における遅延を抑制することは困難である。
　本開示の目的は、このような課題を解決するためになされたものであり、暗号化及び復号における遅延を抑制することが可能な認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体を提供することにある。
　本開示にかかる認証暗号化装置は、平文の入力を受け付ける入力手段と、過去に生成された値とは異なるナンスを生成するナンス生成手段と、前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成する平文暗号化手段と、前記平文を用いてチェックサムを生成するチェックサム生成手段と、ハッシュ値を取得するハッシュ手段と、前記ナンスを暗号化して暗号化ナンスを取得するナンス暗号化手段と、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成する認証タグ生成手段と、前記暗号文及び前記認証タグを出力するための制御を行う出力手段と、有する。
　また、本開示にかかる認証復号装置は、暗号文、認証タグ及びナンスの入力を受け付ける入力手段と、前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成する平文復号手段と、前記平文を用いてチェックサムを生成するチェックサム生成手段と、ハッシュ値を取得するハッシュ手段と、前記ナンスを暗号化して暗号化ナンスを取得するナンス暗号化手段と、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する検証用タグ生成手段と、前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、を有する。
　また、本開示にかかる認証暗号システムは、認証暗号化装置と、前記認証暗号化装置との間で通信を行う認証復号装置と、を有し、前記認証暗号化装置は、平文の入力を受け付ける第１の入力手段と、過去に生成された値とは異なるナンスを生成するナンス生成手段と、前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成する平文暗号化手段と、前記平文を用いてチェックサムを生成する第１のチェックサム生成手段と、ハッシュ値を取得する第１のハッシュ手段と、前記ナンスを暗号化して暗号化ナンスを取得する第１のナンス暗号化手段と、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成する認証タグ生成手段と、前記暗号文及び前記認証タグを出力するための制御を行う出力手段と、を有し、前記認証復号装置は、暗号文、認証タグ及びナンスの入力を受け付ける第２の入力手段と、前記第２の入力手段によって入力された前記暗号文を分割したブロックごとに、前記第２の入力手段によって入力された前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成する平文復号手段と、前記平文復号手段によって生成された前記平文を用いてチェックサムを生成する第２のチェックサム生成手段と、ハッシュ値を取得する第２のハッシュ手段と、前記第２の入力手段によって入力された前記ナンスを暗号化して暗号化ナンスを取得する第２のナンス暗号化手段と、前記第２のチェックサム生成手段によって生成された前記チェックサムと、前記第２のハッシュ手段によって取得された前記ハッシュ値と、前記第２のナンス暗号化手段によって取得された前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する検証用タグ生成手段と、前記認証タグ生成手段によって生成された前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、を有する。
　また、本開示にかかる認証暗号化方法は、平文の入力を受け付け、過去に生成された値とは異なるナンスを生成し、前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成し、前記平文を用いてチェックサムを生成し、ハッシュ値を取得し、前記ナンスを暗号化して暗号化ナンスを取得し、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成し、前記暗号文及び前記認証タグを出力するための制御を行う。
　また、本開示にかかる認証復号方法は、暗号文、認証タグ及びナンスの入力を受け付け、前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成し、前記平文を用いてチェックサムを生成し、ハッシュ値を取得し、前記ナンスを暗号化して暗号化ナンスを取得し、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成し、前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う。
　また、本開示にかかるプログラムは、平文の入力を受け付けるステップと、過去に生成された値とは異なるナンスを生成するステップと、前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成するステップと、前記平文を用いてチェックサムを生成するステップと、ハッシュ値を取得するステップと、前記ナンスを暗号化して暗号化ナンスを取得するステップと、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成し、前記暗号文及び前記認証タグを出力するための制御を行うステップと、をコンピュータに実行させる。
　また、本開示にかかるプログラムは、暗号文、認証タグ及びナンスの入力を受け付けるステップと、前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成するステップと、前記平文を用いてチェックサムを生成するステップと、ハッシュ値を取得するステップと、前記ナンスを暗号化して暗号化ナンスを取得するステップと、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成するステップと、前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、をコンピュータに実行させる。
　本開示によれば、暗号化及び復号における遅延を抑制することが可能な認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体を提供できる。
実施の形態１にかかる認証暗号システムの構成を示す図である。 実施の形態１にかかる認証暗号化装置の構成を示す図である。 実施の形態１にかかる認証復号装置の構成を示す図である。 実施の形態１にかかる認証暗号化装置で実行される認証暗号化方法を示すフローチャートである。 実施の形態１にかかる認証復号装置で実行される認証復号方法を示すフローチャートである。 非特許文献４に記載された認証暗号方式ＴｈｅｔａＣＢ３方式を用いた暗号化ルーチンを簡略化して示した図である。 非特許文献４に記載された認証暗号方式ＴｈｅｔａＣＢ３方式を用いた復号ルーチンを簡略化して示した図である。 実施の形態１にかかる認証暗号化方法をＴｗｅａｋａｂｌｅブロック暗号で実施する場合の暗号化処理を例示する図である。 実施の形態１にかかる認証暗号化方法をＴｗｅａｋａｂｌｅブロック暗号で実施する場合の復号処理を例示する図である。 非特許文献２に記載された暗号化関数及び復号関数を例示する図である。 実施の形態２にかかる認証暗号化装置を示す図である。 実施の形態２にかかる認証復号装置を示す図である。 各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。
（本開示にかかる実施形態の概要）
　本開示の実施の形態の説明に先立って、本開示にかかる実施の形態の概要について説明する。なお、以下、本開示の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
　認証暗号（ＡＥ）の基本的な入出力について説明する。なお、以下の説明では、秘密鍵Ｋを共有する２者としてＡｌｉｃｅとＢｏｂとの間の通信を考え、ＡｌｉｃｅからＢｏｂへ認証暗号による暗号化を行ったメッセージを通信するものとする。また、以下の説明にかかる方式は、例えば、非特許文献１に記載されたＧＣＭ（Galois/Counter Mode）というアルゴリズムによって実現される。
　認証暗号の暗号化関数をＡＥｎｃとし、復号関数をＡＤｅｃとする。また、暗号化したい平文をＭとし、さらにナンス（Ｎｏｎｃｅ（ノンス））と呼ばれる変数Ｎを導入する。また、ヘッダ（ａｓｓｏｃｉａｔｅｄ　ｄａｔａ；ＡＤ）をＡとする。ここで、ヘッダＡは、暗号化は行われないが改ざん検知は行われる値である。
　まず、Ａｌｉｃｅ側の暗号化処理について説明する。Ａｌｉｃｅは、ナンスＮを生成後、（Ｃ，Ｔ）＝ＡＥｎｃ＿Ｋ（Ｎ，Ａ，Ｍ）で表される処理を実行する。ここで、ＡＥｎｃ＿Ｋは、鍵Ｋをパラメータとした暗号化関数であり、Ｃは暗号文である。また、Ｔは、タグ（認証タグ）と呼ばれる、固定長の改ざん検出用の変数である。Ａｌｉｃｅは、ナンスＮ、ヘッダＡ、暗号文Ｃ及びタグＴの組（Ｎ，Ａ，Ｃ，Ｔ）を、Ｂｏｂに送信する。
　次に、Ｂｏｂ側の復号処理について説明する。Ｂｏｂが受信した情報を（Ｎ’，Ａ’，Ｃ’，Ｔ’）とする。この場合、Ｂｏｂは、復号処理としてＡＤｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）を実行する。なお、ＡＤｅｃ＿Ｋは、鍵Ｋをパラメータとした復号関数である。通信の途中で改ざんがあり、（Ｎ’，Ａ’，Ｃ’，Ｔ’）≠（Ｎ，Ａ，Ｃ，Ｔ）である場合、ＡＤｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）について、改ざんがあったことを示すエラーメッセージ（エラーシンボル）が出力される。つまり、この場合、改ざんが検出される。一方、通信の途中で改ざんがなく、（Ｎ’，Ａ’，Ｃ’，Ｔ’）＝（Ｎ，Ａ，Ｃ，Ｔ）である場合、ＡＤｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）について、Ａｌｉｃｅが暗号化した平文Ｍが正しく復号される。
　また、上記の処理においては、通常、暗号化においてナンスＮが過去の値と偶然一致してしまわないようにすることが重要である。このために、暗号化側では、カウンタなどの何らかの状態変数を用いて、ナンスの一致を防ぐ。すなわち、典型的には、状態変数として直前に使ったＮを記憶しておき、毎回Ｎをインクリメントすることで、ナンスＮが過去の値と重複しないことが、実現される。
　ここで、認証暗号を含む一般の暗号化方式について、遅延（レイテンシ；latency）という評価指標がある。これは処理を開始してから最初の出力結果が出るまでの時間を指すものであり、小さいほうが望ましい。例えば、コンピュータ内部のメモリバスの暗号化、又は、例えばオンラインゲームや無人機の制御といったリアルタイム処理が求められる通信の暗号化では、特に遅延の発生が問題となる。したがって、このような場合では、低遅延であることが望ましい。なお、暗号化の場合、遅延は、複数ブロックからなる平文を入力した際に、最初の暗号文ブロックが出力されるまでの時間又は処理量のことを指す。
　認証暗号で用いるコアとなる暗号部品のことをプリミティブと称する場合、認証暗号における暗号化の遅延は、最初の暗号文ブロックが出力されるまでに必要なプリミティブのコール回数とするのが一般的である。復号の遅延も同様に定義される。なお、遅延の他の指標として、速度（スループット；throughput）がある。速度は、１プリミティブコールあたりで処理可能なメッセージブロック数とするのが一般的である。この数値はレートとも呼ばれる。ただし、一般に、メッセージによらず発生する定数回の呼び出しは、レートの計算に含まれない。つまり、レートは、メッセージが十分長いときの漸近的速度を反映するものである。一方、遅延は、定義上、上記のような定数回呼び出しを含み得る。
　ブロック暗号をプリミティブとする認証暗号方式として、特許文献１及び非特許文献１に記載されたＯＣＢが知られている。ＯＣＢについては、特に、遅延が少ないことが知られている。また、例えば、非特許文献２に記載されたＯＣＢの方式、及び、非特許文献３に記載されたＯＣＢ２ｆでは、暗号化における遅延は、ブロック暗号２回となっている。さらに、非特許文献４に記載されたＴｈｅｔａＣＢ３方式では、暗号化における遅延はＴＢＣ１回となっており、ＴＢＣを用いた方式としては理論的に最良となっている。言い換えると、ＯＣＢ及びＴｈｅｔａＣＢ３においては、暗号化における遅延が小さい。なお、速度については、ＯＣＢ及びＴｈｅｔａＣＢ３のいずれについても、暗号化および復号のレートが１であり、メッセージのブロック単位で並列に実行可能である。したがって、ＯＣＢ及びＴｈｅｔａＣＢ３においては、高速な処理が可能であるといえる。
　ここで、ＯＣＢ及びＴｈｅｔａＣＢ３においては、暗号化における遅延は小さいものの、後述するように、復号における遅延は、暗号化における遅延よりも大きくなる。これに対し、本実施の形態における認証暗号では、以下に説明するように、ＯＣＢ及びＴｈｅｔａＣＢ３と同等の速度（すなわちレート１）を達成しつつ、遅延をさらに小さくすることができる。つまり、本実施の形態においては、高速かつ低遅延な認証暗号を実現することができる。
（実施の形態１）
　以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。
　図１は、実施の形態１にかかる認証暗号システム１の構成を示す図である。認証暗号システム１は、認証暗号化装置１０と、認証復号装置２０とを有する。認証暗号化装置１０及び認証復号装置２０は、物理的に一体であってもよいし、別個であってもよい。また、図２～図３を用いて後述する各装置の構成要素が、別の装置で実現されてもよい。なお、以下の説明では、特に断りのない限り、平文又は暗号文等を分割して得られた複数のブロックのうちの１ブロックの長さを所定長であるｎビットとする。また、上述したＡｌｉｃｅとＢｏｂとの間の通信の例において、認証暗号化装置１０は、Ａｌｉｃｅに対応し、認証復号装置２０はＢｏｂに対応する。つまり、認証暗号化装置１０及び認証復号装置２０との間で通信が行われる。
　なお、本実施の形態においては、平文の長さが常にブロック長ｎの倍数であることが好ましい。仮に、ブロック長ｎの倍数でない平文を扱う場合には、パディングが必要となり、暗号文の長さが増える。しかしながら、平文の長さがブロック長の倍数であるという制限は、多くのアプリケーションでは問題とならない。例えば後述するＡＥＳ（Advanced Encryption Standard）を用いてメモリ、キャッシュ又はハードディスクセクタの暗号化を行うことを考える場合、平文の標準的な長さは、ＡＥＳのブロック長（１６バイト）の倍数である。
　図２は、実施の形態１にかかる認証暗号化装置１０の構成を示す図である。図３は、実施の形態１にかかる認証復号装置２０の構成を示す図である。また、図４は、実施の形態１にかかる認証暗号化装置１０で実行される認証暗号化方法を示すフローチャートである。また、図５は、実施の形態１にかかる認証復号装置２０で実行される認証復号方法を示すフローチャートである。また、図６は、非特許文献４に記載された認証暗号方式ＴｈｅｔａＣＢ３方式を用いた暗号化ルーチンを簡略化して示した図である。また、図７は、非特許文献４に記載された認証暗号方式ＴｈｅｔａＣＢ３方式を用いた復号ルーチンを簡略化して示した図である。また、図８は、実施の形態１にかかる認証暗号化方法をＴｗｅａｋａｂｌｅブロック暗号で実施する場合の暗号化処理を例示する図である。また、図９は、実施の形態１にかかる認証暗号化方法をＴｗｅａｋａｂｌｅブロック暗号で実施する場合の復号処理を例示する図である。また、図１０は、非特許文献２に記載された暗号化関数及び復号関数を例示する図である。
　図２に示した認証暗号化装置１０について説明する。認証暗号化装置１０は、入力部１００と、ナンス生成部１０１と、Ｔｗｅａｋ付き暗号化部１０２と、チェックサム生成部１０３と、ヘッダハッシュ部１０４と、ナンス暗号化部１０５と、加算部１０６と、短縮部１０７と、出力部１０８とを有する。認証暗号化装置１０は、例えばコンピュータによって実現可能である。つまり、認証暗号化装置１０は、ＣＰＵ（Central Processing Unit）などの演算装置と、メモリ又はディスクなどの記憶装置とを有している。認証暗号化装置１０は、例えば、記憶装置に格納されたプログラムを演算装置が実行することで、上記の各構成要素を実現する。
　入力部１００は、入力手段としての機能を有する。ナンス生成部１０１は、ナンス生成手段としての機能を有する。Ｔｗｅａｋ付き暗号化部１０２は、Ｔｗｅａｋ付き暗号化手段（平文暗号化手段又は暗号文生成手段）としての機能を有する。チェックサム生成部１０３は、チェックサム生成手段としての機能を有する。ヘッダハッシュ部１０４は、ヘッダハッシュ手段（ハッシュ手段）としての機能を有する。ナンス暗号化部１０５は、ナンス暗号化手段としての機能を有する。加算部１０６は、加算手段（加法手段）としての機能を有する。短縮部１０７は、短縮手段（認証タグ生成手段）としての機能を有する。出力部１０８は、出力手段としての機能を有する。
　入力部１００は、暗号化の対象となる平文ＭおよびヘッダＡの入力を受け付ける。入力部１００は、例えば、キーボードなどの入力装置により実現されてもよい。入力部１００は、例えば、ネットワークを介して接続された外部装置などから、平文Ｍ及びヘッダＡの入力を受け付けてもよい。なお、ヘッダが存在しない場合もあり、この場合は、ヘッダＡは入力されない。入力部１００は、平文Ｍを、Ｔｗｅａｋ付き暗号化部１０２及びチェックサム生成部１０３に出力する。また、入力部１００は、ヘッダＡを、ヘッダハッシュ部１０４に出力する。
　ナンス生成部１０１は、過去の値と重複がないようにナンスＮを生成する。つまり、ナンス生成部１０１は、過去に生成された値とは異なるナンスＮを生成する。具体的には、例えば、ナンス生成部１０１は、最初に任意の固定値を出力する。また、ナンス生成部１０１は、直前に生成したナンスの値を記憶している。そして、ナンス生成部１０１は、２回目以降にナンスＮを生成する際に、記憶された直前の値に１を加えた値を出力する。このように、ナンス生成部１０１は、１つ前に既に出力した値に１を加えた値を出力することで、過去に生成した値とは異なるナンスＮを生成する。なお、ナンス生成部１０１は、過去に生成した値とは異なる値を生成可能ならば、上述した例とは異なる方法でナンスを生成してもよい。ナンス生成部１０１は、生成されたナンスＮを、Ｔｗｅａｋ付き暗号化部１０２及びナンス暗号化部１０５に出力する。また、ナンス生成部１０１は、生成されたナンスＮを、出力部１０８に出力してもよい。
　Ｔｗｅａｋ付き暗号化部１０２は、平文Ｍを所定のｎについてｎビットブロックごとに分割し、ナンスＮを補助変数（Ｔｗｅａｋ）として用いて、平文Ｍをブロックごとに並列に暗号化することで、暗号文Ｃを生成する。具体的には、Ｔｗｅａｋ付き暗号化部１０２は、平文Ｍをｎビットブロックごとに（つまり所定長のブロックに）分割することで生成されたｍ個のブロックの系列Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］を得る。そして、Ｔｗｅａｋ付き暗号化部１０２は、ｉ番目のＭ［ｉ］（ｉ＝１，２，．．．，ｍ）それぞれに対して、ナンスＮ及びブロックのインデックスｉをＴｗｅａｋと呼ばれる補助変数に含めて、ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化する。これにより、Ｔｗｅａｋ付き暗号化部１０２は、平文Ｍを分割したｍ個のブロックと同じ長さの暗号文Ｃ＝（Ｃ［１］，Ｃ［２］，．．．，Ｃ［ｍ］）を得る。なお、平文Ｍの分割は、Ｔｗｅａｋ付き暗号化部１０２によって行われる必要はない。入力部１００に平文Ｍが入力されたときに予めｍ個のブロックの系列Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］に分割されていてもよい。あるいは、入力部１００が平文Ｍを分割してもよい。
　なお、Ｔｗｅａｋには、処理の種類（暗号化対象が平文かナンスか、などの違い）を表すインデックスｊを含めてもよい。ここで、インデックスｊを１とし、Ｔｗｅａｋａｂｌｅブロック暗号の暗号化関数をＴＥ（Ｔｗｅａｋ，ｍｅｓｓａｇｅ　ｂｌｏｃｋ）とすると、
（式１）
　Ｃ［ｉ］＝ＴＥ（（Ｎ，ｉ，ｊ），Ｍ［ｉ］）　ｆｏｒ　ｉ＝１，．．．，ｍ－１
　Ｃ［ｍ］＝ＴＥ（（Ｎ，ｍ，ｊ＋１），Ｍ［ｍ］）
と表すことができる。
　Ｔｗｅａｋ付き暗号化部１０２は、得られたＣ［１］，．．．，Ｃ［ｍ］を連結して、暗号文Ｃを得る。そして、Ｔｗｅａｋ付き暗号化部１０２は、得られた暗号文Ｃを、出力部１０８に出力する。
　なお、式１に示すように、安全性の観点から、最後のブロック（ｉ＝ｍのブロック）のみ、処理の種類を表すインデックスｊを、他のブロックにおけるインデックスｊから変更する必要がある。したがって、Ｃ［ｍ］では、このインデックスをｊ＋１としている。また、平文Ｍの長さがｎの倍数でない場合は、Ｔｗｅａｋ付き暗号化部１０２は、適当な一意の復号可能なパディングを施してから、Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］を得る。
　Ｔｗｅａｋ付き暗号化部１０２は、Ｔｗｅａｋａｂｌｅブロック暗号（ＴＢＣ）として、例えば、非特許文献５に記載されているＳＫＩＮＮＹ等の既存のアルゴリズムを用いてもよい。あるいは、Ｔｗｅａｋ付き暗号化部１０２は、Ｔｗｅａｋａｂｌｅブロック暗号（ＴＢＣ）を、ＡＥＳ（Advanced Encryption Standard）などのブロック暗号を用いたブロック暗号利用モード（以下モード）で実現してもよい。この場合、Ｔｗｅａｋ付き暗号化部１０２は、Ｔｗｅａｋａｂｌｅブロック暗号のモードとして、非特許文献２に記載されたＸＥＸ＊モードや、その変種である非特許文献４に記載されているモードを用いることが可能である。つまり、本実施の形態において、Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードであってもよい。
　ここで、ブロック暗号の暗号化関数をＥとする。また、Ｔｗｅａｋを（Ｎ，ｉ，ｊ）とし、平文をＭとし、暗号文をＣとする。この場合、ＸＥＸ＊モードの暗号化は、以下の式２で表される。この式は、図１０の上図で表される。
（式２）
　Ｃ＝ｇ（Ｎ，ｉ，ｊ）＋Ｅ（Ｍ＋ｇ（Ｎ，ｉ，ｊ）），
　ｇ（Ｎ，ｉ，ｊ）＝Ｅ（Ｎ）・２＾ｉ・３＾ｊ
　ここで、「・２」は、有限体ＧＦ（２＾ｎ）上の生成元（多項式表現におけるｘ）との乗算を意味し、「・３」は、生成元と単位元の和（多項式で表現するとｘ＋１）との乗算を意味する。また、「Ｅ（Ｎ）・２＾ｉ・３＾ｊ」は、Ｅ（Ｎ）をＧＦ（２＾ｎ）の元とみて、それをｉ回生成元と乗算し、ｊ回生成元と単位元の和との乗算をとることを意味する。なお、これらのＧＦ（２＾ｎ）上の定数乗算は、極めて簡単な処理で実現される。また、上記の方式は、ｎ＝１２８のときに安全性が保証されている。そのほかのｎの場合のブロック暗号の暗号化関数の実現方法は、例えば非特許文献３に記載されている。
　なお、Ｔｗｅａｋａｂｌｅブロック暗号を用いて行う処理が上述した暗号化処理でなく、メッセージのハッシュ処理を行う場合などであれば、上記式２における暗号化関数Ｅの外側のｇ（Ｎ，ｉ，ｊ）を省略して、
（式３）
　Ｃ＝Ｅ（Ｍ＋ｇ（Ｎ，ｉ，ｊ））
としてもよい。例えば、後述するヘッダハッシュ部１０４で行われる処理がこれに相当する。
　チェックサム生成部１０３は、平文Ｍを簡単な計算により圧縮することによって、チェックサムＳを生成する。具体的には、チェックサム生成部１０３は、平文Ｍをｎビットブロックの系列Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］に分割する。そして、チェックサム生成部１０３は、分割されたｎビットブロックの系列Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］に対して簡便な圧縮処理を施すことによって、チェックサムＳを生成する。チェックサム生成部１０３は、生成されたチェックサムＳを、加算部１０６に出力する。
　チェックサム生成部１０３は、例えば、排他的論理和＋を用いる場合は、
（式４）
　Ｓ＝Ｍ［１］＋Ｍ［２］＋．．．＋Ｍ［ｍ］
を計算することによって、チェックサムＳを生成する。なお、チェックサム生成部１０３は、排他的論理和に限らず、例えば算術加算など任意の群ないし環演算を用いて、チェックサムＳを生成してもよい。
　ヘッダハッシュ部１０４は、ヘッダＡとユニバーサルハッシュ関数とを用いることによって、ヘッダＡのハッシュ値Ｈを取得する。具体的には、ヘッダハッシュ部１０４は、ヘッダＡをｎビットブロックの系列Ａ［１］，Ａ［２］，．．．，Ａ［ａ］に分割する。そして、ヘッダハッシュ部１０４は、分割されたｎビットブロックの系列Ａ［１］，Ａ［２］，．．．，Ａ［ａ］にユニバーサルハッシュ関数を適用することによって、ヘッダのハッシュ値Ｈを取得する。ヘッダハッシュ部１０４は、取得されたヘッダのハッシュ値Ｈを、加算部１０６に出力する。
　ここで、ヘッダハッシュ部１０４は、ユニバーサルハッシュ関数として、非特許文献６に記載されたような、乗算を用いた多項式ハッシュ関数（polynomial hash function）を用いてもよい。あるいは、ヘッダハッシュ部１０４は、ブロック暗号又はＴｗｅａｋａｂｌｅブロック暗号を用いた方式によって、ヘッダのハッシュ値Ｈを生成してもよい。ヘッダハッシュ部１０４は、例えば、非特許文献２に記載された方式を用いて、ユニバーサルハッシュ関数として、Ｔｗｅａｋ付き暗号化部１０２で用いられたＴＥ関数を用いると、以下の式５によってハッシュ値Ｈを取得してもよい。
（式５）
　Ｈ＝ＴＥ（（ｃｏｎｓｔ，１，ｊ’），Ａ［１］）＋ＴＥ（（ｃｏｎｓｔ，２，ｊ’），Ａ［２］）＋．．．＋ＴＥ（（ｃｏｎｓｔ，ａ，ｊ’），Ａ［ａ］）
　ここで、ｃｏｎｓｔは、任意のｎビット定数である。また、ｊ’は、Ｔｗｅａｋ付き暗号化部１０２で用いられたインデックスｊと異なる任意の整数（例えばｊ’＝３）である。また、上述したように、Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードであってもよい。
　上記の式５から、ヘッダハッシュ部１０４は、ｉ番目のヘッダブロックＡ［ｉ］に対して、ヘッダのブロックのインデックスｉを含めたＴｗｅａｋを用いて、ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化を行う。そして、ヘッダハッシュ部１０４は、暗号化を行った全てのｉ＝１，．．．，ａについてのブロックの加算を行うことで、ヘッダのハッシュ値Ｈを取得する。
　なお、Ａがｎの倍数の長さでない場合は、ヘッダハッシュ部１０４は、適切なパディングを施したのち、ヘッダＡをＡ［１］，Ａ［２］，．．．，Ａ［ａ］に分割する。なお、ヘッダＡが存在しない場合は、ヘッダハッシュ部１０４は、ハッシュ値Ｈを任意の定数（例えばオールゼロ；全てのビット値が０の定数）としてもよい。
　ナンス暗号化部１０５は、ナンスＮを暗号化し、チェックサムと同じ長さの暗号化ナンスＶを取得する。具体的には、ナンス暗号化部１０５は、ナンスＮを補助変数（Ｔｗｅａｋ）として用いて任意のｎビット定数を暗号化することで、暗号化ナンスＶを生成する。つまり、ナンス暗号化部１０５は、ナンスＮを含めたＴｗｅａｋを用いて、１ブロックの平文を任意の定数としたＴｗｅａｋａｂｌｅブロック暗号で暗号化を行うことによって、暗号化ナンスＶを生成する。ナンス暗号化部１０５は、生成された暗号化ナンスＶを、加算部１０６に出力する。また、上述したように、Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードであってもよい。
　例えば、ナンス暗号化部１０５は、Ｔｗｅａｋ付き暗号化部１０２の処理で用いられたＴＥ関数を用いて、以下のようにして暗号化ナンスＶを生成できる。すなわち、ナンス暗号化部１０５は、処理の種類のインデックスとしてそれまでに使われていない値ｊ’’（例えばｊ’’＝４）を用いて、以下の式６を用いて、暗号化ナンスＶを生成できる。
（式６）
　Ｖ＝ＴＥ（（Ｎ，０，ｊ’’），００．．０）
　ここで、「００．．０」は、ｎビットのオールゼロを示す。
　加算部１０６は、チェックサムＳと暗号化ナンスＶとヘッダのハッシュ値Ｈとの和をとることで、非短縮認証タグＵを生成する。具体的には、加算部１０６は、ヘッダのハッシュ値ＨとチェックサムＳと暗号化ナンスＶとを加算する。加算部１０６は、この和を、ｎビットの非短縮認証タグＵとして取得する。なお、加算方法は、排他的論理和であってもよいし、あるいは、任意の群の加法演算であってもよい。加算部１０６は、得られた非短縮認証タグＵを、短縮部１０７に出力する。
　短縮部１０７は、所定のｔ（ｔは１以上ｎ以下の整数）について、加算部１０６によって生成された非短縮認証タグＵを任意の方法によってｔビットに短縮して、認証タグＴを生成する。具体的には、短縮部１０７は、任意の方法によって非短縮認証タグＵを短縮して所定のｔビットとすることによって、認証タグＴを生成する。例えば、短縮部１０７は、非短縮認証タグＵの最上位のｔビットを、認証タグＴとしてもよい。
　出力部１０８は、暗号文Ｃと認証タグＴとを出力するための制御を行う。このとき、出力部１０８は、暗号文Ｃと認証タグＴとを連結して出力するようにしてもよい。出力部１０８は、例えば、ディスプレイなどの出力装置に暗号文Ｃと認証タグＴとを表示させるための制御を行ってもよい。また、出力部１０８は、例えば、ネットワークを介して接続された外部装置などに対して、暗号文Ｃ及び認証タグＴを出力するように制御を行ってもよい。また、出力部１０８は、ナンスＮ及びヘッダＡを出力するように制御を行ってもよい。
　次に、図３に示した認証復号装置２０について説明する。認証復号装置２０は、入力部２００と、Ｔｗｅａｋ付き復号部２０１と、チェックサム生成部２０２と、ナンス暗号化部２０３と、ヘッダハッシュ部２０４と、加算部２０５と、短縮部２０６と、タグ検証部２０７とを有する。認証復号装置２０、例えばコンピュータによって実現可能である。つまり、認証復号装置２０は、ＣＰＵなどの演算装置と、メモリ又はディスクなどの記憶装置とを有している。認証復号装置２０は、例えば、記憶装置に格納されたプログラムを演算装置が実行することで、上記の各構成要素を実現する。
　入力部２００は、入力手段としての機能を有する。Ｔｗｅａｋ付き復号部２０１は、Ｔｗｅａｋ付き復号手段（平文復号手段又は平文生成手段）としての機能を有する。チェックサム生成部２０２は、チェックサム生成手段としての機能を有する。ナンス暗号化部２０３は、ナンス暗号化手段としての機能を有する。ヘッダハッシュ部２０４は、ヘッダハッシュ手段（ハッシュ手段）としての機能を有する。加算部２０５は、加算手段（加法手段）としての機能を有する。短縮部２０６は、短縮手段（検証用タグ生成手段）としての機能を有する。タグ検証部２０７は、タグ検証手段（検証手段及び出力手段）としての機能を有する。
　入力部２００は、復号の対象となる暗号文Ｃ、ナンスＮ、ヘッダＡ及び認証タグＴの入力を受け付ける。入力部２００は、例えば、キーボードなどの文字入力装置により実現されてもよい。入力部２００は、例えば、キーボードなどの入力装置により実現される。入力部２００は、例えば、ネットワークを介して接続された外部装置などから、暗号文Ｃ、ナンスＮ、ヘッダＡ及び認証タグＴを受け付けてもよい。なお、ヘッダが存在しない場合もあり、この場合は、ヘッダＡは入力されない。入力部２００は、暗号文Ｃを、Ｔｗｅａｋ付き復号部２０１に出力する。また、入力部２００は、ヘッダＡを、ヘッダハッシュ部２０４に出力する。また、入力部２００は、ナンスＮを、Ｔｗｅａｋ付き復号部２０１及びナンス暗号化部２０３に出力する。また、入力部２００は、認証タグＴを、タグ検証部２０７に出力する。
　Ｔｗｅａｋ付き復号部２０１は、上述したＴｗｅａｋ付き暗号化部１０２に対応した復号処理を行う。Ｔｗｅａｋ付き復号部２０１は、暗号文Ｃを所定のｎについてｎビットブロックごとに分割し、ナンスＮを補助変数（Ｔｗｅａｋ）として用い、ブロックごとに並列に復号することで、平文Ｍを生成する。具体的には、Ｔｗｅａｋ付き復号部２０１は、暗号文Ｃをｎビットブロックごとに分割することで生成されたｍ個のブロックの系列Ｃ［１］，Ｃ［２］，．．．，Ｃ［ｍ］を得る。そして、Ｔｗｅａｋ付き復号部２０１は、ｉ番目のＣ［ｉ］（ｉ＝１，２，．．．，ｍ）それぞれに対して、ナンスＮ及びブロックのインデックスｉをＴｗｅａｋと呼ばれる補助変数に含めて、ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で復号する。これにより、Ｔｗｅａｋ付き復号部２０１は、暗号文Ｃを分割したｍ個のブロックと同じ長さの平文Ｍ＝（Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］）を得る。なお、暗号文Ｃの分割は、Ｔｗｅａｋ付き復号部２０１によって行われる必要はない。入力部２００に暗号文Ｃが入力されたときに予めｍ個のブロックの系列Ｃ［１］，Ｃ［２］，．．．，Ｃ［ｍ］に分割されていてもよい。あるいは、入力部２００が暗号文Ｃを分割してもよい。
　なお、上述したように、Ｔｗｅａｋには、処理の種類（暗号化対象が平文かナンスか、などの違い）を表すインデックスｊを含めてもよい。上述のインデックスｊを１とし、Ｔｗｅａｋａｂｌｅブロック暗号の復号関数をＴＤ（Ｔｗｅａｋ，ｍｅｓｓａｇｅ　ｂｌｏｃｋ）とすると、
（式７）
　Ｍ［ｉ］＝ＴＤ（（Ｎ，ｉ，ｊ），Ｃ［ｉ］）　ｆｏｒ　ｉ＝１，．．．，ｍ－１
　Ｍ［ｍ］＝ＴＤ（（Ｎ，ｍ，ｊ＋１），Ｃ［ｍ］）
と表すことができる。
　Ｔｗｅａｋ付き復号部２０１は、得られたＭ［１］，．．．，Ｍ［ｍ］を連結して、平文Ｍを出力する。そして、Ｔｗｅａｋ付き復号部２０１は、得られた平文Ｍを、タグ検証部２０７及びチェックサム生成部２０２に出力する。なお、式７に示すように、安全性の観点から、最後のブロック（ｉ＝ｍのブロック）のみ、処理の種類を表すインデックスｊを、他のブロックにおけるインデックスｊから変更する必要がある。したがって、Ｍ［ｍ］では、このインデックスをｊ＋１としている。
　なお、Ｔｗｅａｋ付き暗号化部１０２と同様に、Ｔｗｅａｋ付き復号部２０１は、Ｔｗｅａｋａｂｌｅブロック暗号（ＴＢＣ）として非特許文献５に記載されているＳＫＩＮＮＹ等の既存のＴｗｅａｋａｂｌｅブロック暗号のアルゴリズムを用いてもよい。あるいは、Ｔｗｅａｋ付き復号部２０１は、Ｔｗｅａｋａｂｌｅブロック暗号（ＴＢＣ）を、ＡＥＳなどのブロック暗号を用いたモードで実現してもよい。この場合、Ｔｗｅａｋ付き復号部２０１は、Ｔｗｅａｋａｂｌｅブロック暗号のモードとして、非特許文献２に記載されたＸＥＸ＊モードや、その変種である非特許文献４に記載されているモードを用いることが可能である。つまり、本実施の形態において、Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードであってもよい。
　なお、Ｔｗｅａｋａｂｌｅブロック暗号のモードとして非特許文献２のＸＥＸ＊モードを用いた場合を考える。ブロック暗号の暗号化関数をＥとし、復号関数をＤとする。また、Ｔｗｅａｋを（Ｎ，ｉ，ｊ）とし、平文をＭとし、暗号文をＣとする。この場合、ＸＥＸ＊モードの復号は、以下の式８で表される。この式は、図１０の下図で表される。
（式８）
　Ｍ＝ｇ（Ｎ，ｉ，ｊ）＋Ｄ（Ｃ＋ｇ（Ｎ，ｉ，ｊ）），
　ｇ（Ｎ，ｉ，ｊ）＝Ｅ（Ｎ）・２＾ｉ・３＾ｊ
　なお、関数ｇの定義等については、上述した式２（Ｔｗｅａｋ付き暗号化部１０２）におけるものと実質的に同様である。また、上記の方式は、ｎ＝１２８のときに安全性が保証されている。
　チェックサム生成部２０２は、上述したチェックサム生成部１０３と実質的に同様の処理を行う。つまり、チェックサム生成部２０２は、平文Ｍを簡単な計算により圧縮することによって、チェックサムＳを生成する。チェックサム生成部２０２は、生成されたチェックサムＳを、加算部２０５に出力する。
　ナンス暗号化部２０３は、上述したナンス暗号化部１０５と実質的に同様の処理を行う。つまり、ナンス暗号化部２０３は、ナンスＮを暗号化し、チェックサムと同じ長さの暗号化ナンスＶを取得する。具体的には、ナンス暗号化部２０３は、ナンスＮを補助変数（Ｔｗｅａｋ）として用いて任意のｎビット定数を暗号化することで、暗号化ナンスＶを生成する。つまり、ナンス暗号化部２０３は、ナンスＮを含めたＴｗｅａｋを用いて、１ブロックの平文を任意の定数としたＴｗｅａｋａｂｌｅブロック暗号で暗号化を行うことによって、暗号化ナンスＶを生成する。ナンス暗号化部２０３は、取得された暗号化ナンスＶを、加算部２０５に出力する。また、上述したように、Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードであってもよい。
　ヘッダハッシュ部２０４は、上述したヘッダハッシュ部１０４と実質的に同様の処理を行う。つまり、ヘッダハッシュ部２０４は、ヘッダＡとユニバーサルハッシュ関数とを用いることによって、ヘッダＡのハッシュ値Ｈを取得する。ヘッダハッシュ部２０４は、取得されたハッシュ値Ｈを、加算部２０５に出力する。なお、ヘッダＡが存在しない場合は、ヘッダハッシュ部２０４は、ハッシュ値Ｈを任意の定数（例えばオールゼロ；全てのビット値が０の定数）としてもよい。
　具体的には、ヘッダハッシュ部２０４は、ヘッダＡをｎビットブロックの系列Ａ［１］，Ａ［２］，．．．，Ａ［ａ］に分割する。そして、ヘッダハッシュ部２０４は、分割されたｎビットブロックの系列Ａ［１］，Ａ［２］，．．．，Ａ［ａ］にユニバーサルハッシュ関数を適用することによって、ヘッダのハッシュ値Ｈを取得する。そして、上記の式５から、ヘッダハッシュ部２０４は、ｉ番目のヘッダブロックＡ［ｉ］に対して、ヘッダのブロックのインデックスｉを含めたＴｗｅａｋを用いて、ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化を行う。そして、ヘッダハッシュ部２０４は、暗号化を行った全てのｉ＝１，．．．，ａについてのブロックの加算を行うことで、ヘッダのハッシュ値Ｈを取得する。また、上述したように、Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードであってもよい。
　加算部２０５は、上述した加算部１０６と実質的に同様の処理を行う。つまり、加算部２０５は、チェックサムＳと暗号化ナンスＶとヘッダのハッシュ値Ｈとの和をとることで、非短縮認証タグＵを生成する。加算部２０５は、生成された非短縮認証タグＵを、短縮部２０６に出力する。
　短縮部２０６は、所定のｔ（ｔは１以上ｎ以下の整数）について、加算部２０５によって生成された非短縮認証タグＵを任意の方法によってｔビットに短縮して、推定された認証タグである検証用タグＴ’を生成する。なお、短縮部２０６の具体的な処理は、短縮部１０７の処理と実質的に同様である。短縮部２０６は、生成された検証用タグＴ’を、タグ検証部２０７に出力する。
　タグ検証部２０７は、入力部２００によって出力された認証タグＴと、短縮部２０６によって出力された検証用タグＴ’とを比較して、改ざんの有無を検証する。そして、タグ検証部２０７は、検証結果に基づいて、情報を出力するための制御を行う。なお、タグ検証部２０７は、例えば、ディスプレイなどの出力装置に情報を表示させるための制御を行ってもよい。また、タグ検証部２０７は、例えば、ネットワークを介して接続された外部装置などに対して、情報を出力するように制御を行ってもよい。
　具体的には、認証タグＴと検証用タグＴ’とが一致する場合に、タグ検証部２０７は、Ｔｗｅａｋ付き復号部２０１によって生成された平文Ｍを出力するための制御を行う。なお、平文の長さがｎの倍数でないケースでは、タグ検証部２０７は、所定のパディングを取り除いて、平文Ｍを出力するように制御を行ってもよい。一方、認証タグＴと検証用タグＴ’とが一致しない場合に、タグ検証部２０７は、認証タグＴと検証用タグＴ’とが一致しないことを示すエラーシンボルを出力するように制御を行う。
　次に、図４及び図５を用いて、実施の形態１にかかる認証暗号システム１にかかる動作について説明する。図４は、実施の形態１にかかる認証暗号化装置１０で実行される認証暗号化方法を示すフローチャートである。
　入力部１００は、平文Ｍ及びヘッダＡを入力する（ステップＳ１００）。具体的には、入力部１００は、上述したように、暗号化の対象となる平文Ｍ＝（Ｍ［１］，Ｍ［２］，．．．，Ｍ［ｍ］）と、ヘッダＡとを入力する。ナンス生成部１０１は、上述したように、ナンスＮを生成する（ステップＳ１０２）。
　次に、Ｔｗｅａｋ付き暗号化部１０２は、上述したように、ナンスＮを補助変数Ｔｗｅａｋとして用いて、ブロックごとに平文Ｍを暗号化して、暗号文Ｃを取得する（ステップＳ１０４）。次に、チェックサム生成部１０３は、上述したように、平文ＭのチェックサムＳを生成する（ステップＳ１０６）。次に、ヘッダハッシュ部１０４は、上述したように、ヘッダＡのハッシュ値Ｈを取得する（ステップＳ１０８）。次に、ナンス暗号化部１０５は、上述したように、ナンスＮを暗号化して、暗号化ナンスＶを取得する（ステップＳ１１０）。
　次に、認証暗号化装置１０は、認証タグＴを取得する（ステップＳ１１２）。具体的には、加算部１０６は、上述したように、チェックサムＳと暗号化ナンスＶとヘッダのハッシュ値Ｈとの和をとる。短縮部１０７は、和（非短縮認証タグＵ）を所定のｔビットに短縮することで、認証タグＴを取得する。そして、出力部１０８は、上述したように、暗号文Ｃと認証タグＴとを出力するための制御を行う（ステップＳ１１４）。
　図５は、実施の形態１にかかる認証復号装置２０で実行される認証復号方法を示すフローチャートである。入力部２００は、上述したように、復号の対象となる暗号文Ｃ、ナンスＮ、ヘッダＡ及び認証タグＴを入力する（ステップＳ２０２）。次に、ナンス暗号化部２０３は、上述したように、ナンスＮを暗号化し、暗号化ナンスＶを取得する（ステップＳ２０４）。次に、Ｔｗｅａｋ付き復号部２０１は、上述したように、ナンスＮを補助変数Ｔｗｅａｋとして用いて、ブロックごとに暗号文Ｃを復号して、平文Ｍを取得する（ステップＳ２０６）。次に、ヘッダハッシュ部２０４は、上述したように、ヘッダＡのハッシュ値Ｈを取得する（ステップＳ２０８）。次に、チェックサム生成部２０２は、上述したように、平文ＭのチェックサムＳを生成する（ステップＳ２１０）。
　次に、認証復号装置２０は、推定された認証タグＴ’（検証用タグ）を取得する（ステップＳ２１２）。具体的には、加算部２０５は、上述したように、暗号化ナンスＶとヘッダのハッシュ値ＨとチェックサムＳとの和をとる。短縮部２０６は、和（非短縮認証タグＵ）を所定のｔビットに短縮することで、推定された認証タグＴ’（検証用タグＴ’）を取得する。
　タグ検証部２０７は、認証タグＴと検証用タグＴ’とが一致するか否かを判定する（ステップＳ２１４）。これにより、改ざんの有無が検証される。認証タグＴと検証用タグＴ’とが一致する場合（Ｓ２１４のＹＥＳ）、タグ検証部２０７は、認証が成功したことを示す検証結果として、平文Ｍを出力するための制御を行う（ステップＳ２１６）。一方、認証タグＴと検証用タグＴ’とが一致しない場合（Ｓ２１４のＮＯ）、タグ検証部２０７は、認証が失敗したことを示す検証結果として、エラーシンボルを出力するための制御を行う（ステップＳ２１８）。
　次に、実施の形態１にかかる認証暗号システム１の効果を説明する。
　上述したように、ＯＣＢ及びＴｈｅｔａＣＢ３においては、暗号化における遅延は小さいものの、復号における遅延は、暗号化における遅延より大きくなる。具体的には、ＯＣＢでは、復号遅延は３であり、ＴｈｅｔａＣＢ３では、復号遅延は２である。このように、復号遅延が暗号化における遅延よりも大きくなる要因は、改ざん検知用の認証タグの計算方法にある。以下、ＴｈｅｔａＣＢ３について説明する。
　図６は、非特許文献４に記載された認証暗号方式ＴｈｅｔａＣＢ３方式を用いた暗号化ルーチンを簡略化して示した図である。図６において、「ＴＥ（Ｎ，ｉ，ｊ）」は、Ｔｗｅａｋａｂｌｅブロック暗号の暗号化関数の第一引数にＴｗｅａｋ（Ｎ，ｉ，ｊ）を適用した関数ＴＥ（（Ｎ，ｉ，ｊ），＊）を表す。また、「ｔｒｕｎｃ」は入力の短縮を行う関数である。
　また、図７は、非特許文献４に記載された認証暗号方式ＴｈｅｔａＣＢ３方式を用いた復号ルーチンを簡略化して示した図である。図７において、「ＴＤ（Ｎ，ｉ，ｊ）」は、Ｔｗｅａｋａｂｌｅブロック暗号の復号関数の第一引数にＴｗｅａｋ（Ｎ，ｉ，ｊ）を適用した関数ＴＤ（（Ｎ，ｉ，ｊ），＊）を表す。
　図６に示すように、認証タグＴは、チェックサムＳと呼ばれる平文ブロックの和（排他的論理和）を、Ｔｗｅａｋａｂｌｅブロック暗号のＴＥ関数（ＴＥ（Ｎ．ｍ．２））で暗号化することにより得られている。また、暗号化は、全てのＴＥ関数について、暗号化に必要な値の入力（ナンスＮ、ヘッダＡ及び平文Ｍ）が決定した段階で、並列に実行され得る。したがって、暗号化における遅延は１である。
　一方、図７に示す復号処理では、平文ブロックを得るために、対応する暗号文ブロックをＴｗｅａｋａｂｌｅブロック暗号の復号関数ＴＤで復号する。そして、復号により平文ブロックが得られた後でチェックサムＳを生成し、チェックサムＳをＴＥ関数（ＴＥ（Ｎ．ｍ．２））で暗号化して得られた認証タグＴ’の値と、送信された認証タグＴの値との一致を確認することで、改ざんの有無の検証が行われる。したがって、Ｔｗｅａｋａｂｌｅブロック暗号の復号関数ＴＤと暗号化関数ＴＥ（破線で囲まれたもの）とを直列に呼び出すこととなるため、復号における遅延は２となる。つまり、図７において、破線で囲まれたＴＥ関数は、平文ブロックＭ［１］，．．．，Ｍ［ｍ］が決定されないと実行できない。したがって、この破線で囲まれたＴＥ関数で、遅延が１増加していることになる。
　また、ＯＣＢの場合は、上記の処理に加えて、ＴＥ関数及びＴＤ関数をブロック暗号で実現するために、ブロック暗号によりナンス（暗号化で用いる公開値、カウンタなどで実現）を暗号化することが必要となる。具体的には、非特許文献２及び非特許文献３に記載されたＯＣＢ２又はＯＣＢ２ｆの場合で、暗号化及び復号において、遅延が１増加する。したがって、ＯＣＢの場合、暗号化の遅延が２、復号の遅延が３となる。すなわち、ＯＣＢ及びＴｈｅｔａＣＢ３ともに、復号の遅延は、暗号化の遅延と比べて１増加している。
　また、認証タグによる通信帯域の増加を抑えるために、認証タグの長さは１ブロックよりも短くすることが多い。そして、後述するように、実施の形態１にかかる方法は、上述した技術と比較して、認証タグの長さによらないで、復号遅延を抑制する効果がある。つまり、実施の形態１にかかる方法は、タグの長さによらず、暗号化の遅延及び復号の遅延が、いずれも、Ｔｗｅａｋａｂｌｅブロック暗号の１回となる、という効果を奏する。
　図８は、実施の形態１にかかる認証暗号化方法をＴｗｅａｋａｂｌｅブロック暗号で実施する場合の暗号化処理を例示する図である。また、図９は、実施の形態１にかかる認証暗号化方法をＴｗｅａｋａｂｌｅブロック暗号で実施する場合の復号処理を例示する図である。図８及び図９に示すように、ＴＥ関数及びＴＤ関数の依存関係が、暗号化（図８）でも復号（図９）でも存在せず、ＴＥ関数及びＴＤ関数は、完全に並列となっている。すなわち、暗号化では、図８に示した全てのＴＥ関数を、並列に実行することができる。また、復号では、図９に示した全てのＴＥ関数及びＴＤ関数を、並列に実行することができる。したがって、暗号化の遅延及び復号の遅延が、ともに１となっている。
　上述したように、特に効率のよいＴｗｅａｋａｂｌｅブロック暗号ベースの認証暗号方式であるＴｈｅｔａＣＢ３（図６及び図７）では、暗号化の遅延が１であるのに対して、復号遅延は２となっている。なお、ＴｈｅｔａＣＢ３においても、タグの長さｔをｎビット（つまり短縮を行わない）とすれば、復号手順の変更により復号遅延を１とすることができる。しかしながら、認証タグによる通信帯域の増加を抑えるために、タグの短縮を行うことが一般的である。したがって、タグの長さによらず遅延を抑制できることが望ましい。
　また、タグの長さｔがｎビット未満の場合には、チェックサムの生成及びヘッダのハッシュ値の生成にかかわるＴＥ関数及びＴＤ関数の出力を予めｔビットに短縮しておくことも考えられる。これにより、全体のアルゴリズムを変えることなく、暗号化又は復号に必要なメモリ量を削減することが可能である。一方、ＴｈｅｔａＣＢ３では、チェックサムをＴｗｅａｋａｂｌｅブロック暗号に入力する前に短縮することができないため、このようなメモリ量削減はできない。
　また、Ｔｗｅａｋａｂｌｅブロック暗号を何らかのブロック暗号利用モード（例えば非特許文献２のＯＣＢで用いられるＸＥＸ＊モード）で実現した場合には、ブロック暗号利用モードの部分で計算のオーバーヘッドが生じる。これにより、暗号化と復号の両方の遅延が増加する。具体的にＸＥＸ＊を用いる場合は、ナンスの暗号化による１回が常にオーバーヘッドとして発生する。しかし、これは既存のＯＣＢでも同様であり、Ｔｗｅａｋａｂｌｅブロック暗号を実現する方法が同じであれば、オーバーヘッドは同じであり、結果として、非特許文献に記載された技術に対する、本実施の形態における復号遅延の少なさというメリットは保存されることになる。
　具体的には、非特許文献２及び非特許文献３のＯＣＢ２又はＯＣＢ２ｆでは、ＸＥＸ＊モードを用いており、暗号化遅延が２となり、復号遅延が３となる。これに対し、本実施の形態では、同じＸＥＸ＊モードを用いたときは、暗号化遅延及び復号遅延はともに２となる。また、非特許文献４のＯＣＢ３では、ＸＥＸ＊モードの変種（variant）を用いて、ナンスがカウンタの場合に限定されるが、上記の計算オーバーヘッドをほぼなくすことが可能である。この変種を用いた場合には、ＯＣＢ３及び本実施の形態のいずれも、ＸＥＸ＊モードを使ったときと比べ、暗号化遅延と復号遅延の両方が、約１減ることになる。よって、ＯＣＢ３では、暗号化遅延がほぼ１であり、復号遅延がほぼ２となる。これに対し、本実施の形態では、暗号化遅延及び復号遅延の両方が、ほぼ１となる。
　また、本実施の形態では、ＴｈｅｔａＣＢ３に対応する方式を採用した場合でも、暗号化及び復号のレートが１であること、並列実行可能、証明可能安全性（provable security）を持つ、などのＴｈｅｔａＣＢ３の利点を保持している。したがって、本実施の形態においては、高速かつ低遅延な認証暗号を実現することができる。
（実施の形態２）
　次に、実施の形態２について説明する。実施の形態２は、実施の形態１にかかる構成の概要を示している。
　図１１は、実施の形態２にかかる認証暗号化装置３０を示す図である。実施の形態２にかかる認証暗号化装置３０は、実施の形態１にかかる認証暗号化装置１０に対応する。実施の形態２にかかる認証暗号化装置３０は、入力部３１と、ナンス生成部３２と、平文暗号化部３３と、チェックサム生成部３４と、ハッシュ部３５と、ナンス暗号化部３６と、認証タグ生成部３７と、出力部３８とを有する。
　入力部３１は、入力手段（第１の入力手段）としての機能を有する。ナンス生成部３２は、ナンス生成手段としての機能を有する。平文暗号化部３３は、平文暗号化手段（Ｔｗｅａｋ付き暗号化手段又は暗号文生成手段）としての機能を有する。チェックサム生成部３４は、チェックサム生成手段（第１のチェックサム生成手段）としての機能を有する。ハッシュ部３５は、ハッシュ手段（第１のハッシュ手段）としての機能を有する。ナンス暗号化部３６は、ナンス暗号化手段（第１のナンス暗号化手段）としての機能を有する。認証タグ生成部３７は、認証タグ生成手段（加算手段及び短縮手段）としての機能を有する。出力部３８は、出力手段としての機能を有する。
　入力部３１は、図２に示した入力部１００が有している機能と実質的に同様の機能によって実現できる。入力部３１は、平文の入力を受け付ける。また、入力部３１は、ヘッダの入力を受け付けてもよい。ナンス生成部３２は、図２に示したナンス生成部１０１が有している機能と実質的に同様の機能によって実現できる。ナンス生成部３２は、過去に生成された値とは異なるナンスを生成する。平文暗号化部３３は、図２に示したＴｗｅａｋ付き暗号化部１０２が有している機能と実質的に同様の機能によって実現できる。平文暗号化部３３は、平文を分割したブロックごとに、ナンスを補助変数として用いて暗号化することで、平文に対応する暗号文を生成する。
　チェックサム生成部３４は、図２に示したチェックサム生成部１０３が有している機能と実質的に同様の機能によって実現できる。チェックサム生成部３４は、平文を用いてチェックサムを生成する。ハッシュ部３５は、図２に示したヘッダハッシュ部１０４が有している機能と実質的に同様の機能によって実現できる。ハッシュ部３５は、ハッシュ値を取得する。なお、ヘッダが入力される場合、ハッシュ部３５は、ヘッダとハッシュ関数（ユニバーサルハッシュ関数）とを用いてハッシュ値を取得してもよい。ナンス暗号化部３６は、図２に示したナンス暗号化部１０５が有している機能と実質的に同様の機能によって実現できる。ナンス暗号化部３６は、ナンスを暗号化して暗号化ナンスを取得する。
　認証タグ生成部３７は、図２に示した加算部１０６及び短縮部１０７が有している機能と実質的に同様の機能によって実現できる。認証タグ生成部３７は、チェックサムとハッシュ値と暗号化ナンスとを用いて認証タグを生成する。なお、認証タグ生成部３７は、チェックサムとハッシュ値と暗号化ナンスとの和に基づいて、認証タグを生成してもよい。また、認証タグ生成部３７は、この和を短縮することによって、認証タグを生成してもよい。出力部３８は、図２に示した出力部１０８が有している機能と実質的に同様の機能によって実現できる。出力部３８は、暗号文及び認証タグを出力するための制御を行う。
　図１２は、実施の形態２にかかる認証復号装置４０を示す図である。実施の形態２にかかる認証復号装置４０は、実施の形態１にかかる認証復号装置２０に対応する。実施の形態２にかかる認証復号装置４０は、入力部４１と、平文復号部４３と、チェックサム生成部４４と、ハッシュ部４５と、ナンス暗号化部４６と、検証用タグ生成部４７と、検証部４８とを有する。
　入力部４１は、入力手段（第２の入力手段）としての機能を有する。平文復号部４３は、平文復号手段（Ｔｗｅａｋ付き復号手段又は平文生成手段）としての機能を有する。チェックサム生成部４４は、チェックサム生成手段（第２のチェックサム生成手段）としての機能を有する。ハッシュ部４５は、ハッシュ手段（第２のハッシュ手段）としての機能を有する。ナンス暗号化部４６は、ナンス暗号化手段（第２のナンス暗号化手段）としての機能を有する。検証用タグ生成部４７は、検証用タグ生成手段（加算手段及び短縮手段）としての機能を有する。検証部４８は、検証手段（タグ検証手段及び出力手段）としての機能を有する。
　入力部４１は、図３に示した入力部２００が有している機能と実質的に同様の機能によって実現できる。入力部４１は、暗号文、認証タグ及びナンスの入力を受け付ける。なお、入力部４１は、ヘッダの入力を受け付けてもよい。平文復号部４３は、図３に示したＴｗｅａｋ付き復号部２０１が有している機能と実質的に同様の機能によって実現できる。平文復号部４３は、暗号文を分割したブロックごとに、ナンスを補助変数として用いて復号することで、暗号文に対応する平文を生成する。
　チェックサム生成部４４は、図３に示したチェックサム生成部２０２が有している機能と実質的に同様の機能によって実現できる。チェックサム生成部４４は、平文を用いてチェックサムを生成する。ハッシュ部４５は、図３に示したヘッダハッシュ部２０４が有している機能と実質的に同様の機能によって実現できる。ハッシュ部４５は、ハッシュ値を取得する。なお、ヘッダが入力される場合、ハッシュ部４５は、ヘッダとハッシュ関数（ユニバーサルハッシュ関数）とを用いてハッシュ値を取得してもよい。ナンス暗号化部４６は、図３に示したナンス暗号化部２０３が有している機能と実質的に同様の機能によって実現できる。ナンス暗号化部４６は、ナンスを暗号化して暗号化ナンスを取得する。
　検証用タグ生成部４７は、図３に示した加算部２０５及び短縮部２０６が有している機能と実質的に同様の機能によって実現できる。検証用タグ生成部４７は、チェックサムとハッシュ値と暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する。なお、検証用タグ生成部４７は、チェックサムとハッシュ値と暗号化ナンスとの和に基づいて、検証用タグを生成してもよい。また、検証用タグ生成部４７は、この和を短縮することによって、検証用タグを生成してもよい。
　検証部４８は、図３に示したタグ検証部２０７が有している機能と実質的に同様の機能によって実現できる。検証部４８は、認証タグと検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う。なお、検証部４８は、認証タグと検証用タグとが一致する場合、検証結果として、平文を出力するための制御を行ってもよい。一方、検証部４８は、認証タグと検証用タグとが一致しない場合、検証結果として、エラーシンボルを出力するための制御を行ってもよい。
　実施の形態２にかかる認証暗号化装置３０及び認証復号装置４０は、上述した構成によって、暗号化及び復号における遅延を抑制することが可能である。なお、認証暗号化装置３０及び認証復号装置４０を有する認証暗号システムによっても、暗号化及び復号における遅延を抑制することが可能である。また、認証暗号化装置３０によって実行される認証暗号化方法及び認証暗号化方法を実行するプログラムによっても、暗号化及び復号における遅延を抑制することが可能である。また、認証復号装置４０によって実行される認証復号方法及び認証復号方法を実行するプログラムによっても、暗号化及び復号における遅延を抑制することが可能である。
（ハードウェア構成例）
　上述した各実施形態に係る装置およびシステムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、各実施形態に係る装置（認証暗号化装置及び認証復号装置）は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、各実施形態に係る装置は、専用の装置として実現されてもよいし、汎用の情報処理装置で実現されてもよい。
　図１３は、各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。計算処理装置１２０は、ＣＰＵ１２１、揮発性記憶装置１２２、ディスク１２３、不揮発性記録媒体１２４、及び、通信ＩＦ１２７（ＩＦ：Interface）を有する。したがって、各実施形態に係る装置は、ＣＰＵ１２１、揮発性記憶装置１２２、ディスク１２３、不揮発性記録媒体１２４、及び、通信ＩＦ１２７を有しているといえる。計算処理装置１２０は、入力装置１２５及び出力装置１２６に接続可能であってもよい。計算処理装置１２０は、入力装置１２５及び出力装置１２６を備えていてもよい。また、計算処理装置１２０は、通信ＩＦ１２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。
　不揮発性記録媒体１２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Compact Disc)、デジタルバーサタイルディスク（Digital Versatile Disc）である。また、不揮発性記録媒体１２４は、ＵＳＢ（Universal Serial Bus）メモリ、ソリッドステートドライブ（Solid State Drive）等であってもよい。不揮発性記録媒体１２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。なお、不揮発性記録媒体１２４は、上述した媒体に限定されない。また、不揮発性記録媒体１２４の代わりに、通信ＩＦ１２７及び通信ネットワークを介して、係るプログラムが供給されてもよい。
　揮発性記憶装置１２２は、コンピュータが読み取り可能であって、一時的にデータを記憶することができる。揮発性記憶装置１２２は、ＤＲＡＭ（dynamic random Access memory）、ＳＲＡＭ（static random Access memory）等のメモリ等である。
　すなわち、ＣＰＵ１２１は、ディスク１２３に格納されているソフトウェアプログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際に揮発性記憶装置１２２にコピーし、演算処理を実行する。ＣＰＵ１２１は、プログラムの実行に必要なデータを揮発性記憶装置１２２から読み取る。表示が必要な場合、ＣＰＵ１２１は、出力装置１２６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ１２１は、入力装置１２５からプログラムを取得する。ＣＰＵ１２１は、上述した図２，図３，図１１，図１２に示される各構成要素の機能（処理）に対応するプログラムを解釈し実行する。ＣＰＵ１２１は、上述した各実施形態において説明した処理を実行する。言い換えると、上述した図２，図３，図１１，図１２に示される各構成要素の機能は、ディスク１２３又は揮発性記憶装置１２２に格納されたプログラムを、ＣＰＵ１２１が実行することによって実現され得る。
　すなわち、各実施形態は、上述したプログラムによっても成し得ると捉えることができる。さらに、上述したプログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、上述した各実施形態は成し得ると捉えることができる。
（変形例）
　なお、本発明は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートにおいて、各処理（ステップ）の順序は、適宜、変更可能である。また、複数ある処理（ステップ）のうちの１つ以上は、省略されてもよい。
　例えば、図４に示したフローチャートにおいて、Ｓ１０４～Ｓ１１０の処理の順序は、図４に示した順序に限定されない。さらに、Ｓ１０４～Ｓ１１０の処理は、並行して実行され得る。同様に、図５に示したフローチャートにおいて、Ｓ２０４，Ｓ２０６，Ｓ２０８の処理の順序は、図５に示した順序に限定されない。さらに、Ｓ２０４，Ｓ２０６，Ｓ２０８の処理は、並行して実行され得る。
　上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　平文の入力を受け付ける入力手段と、
　過去に生成された値とは異なるナンスを生成するナンス生成手段と、
　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成する平文暗号化手段と、
　前記平文を用いてチェックサムを生成するチェックサム生成手段と、
　ハッシュ値を取得するハッシュ手段と、
　前記ナンスを暗号化して暗号化ナンスを取得するナンス暗号化手段と、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成する認証タグ生成手段と、
　前記暗号文及び前記認証タグを出力するための制御を行う出力手段と、
　を有する認証暗号化装置。
　（付記２）
　前記認証タグ生成手段は、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとの和に基づいて、前記認証タグを生成する、
　付記１に記載の認証暗号化装置。
　（付記３）
　前記認証タグ生成手段は、前記和を短縮することによって、前記認証タグを生成する、
　付記２に記載の認証暗号化装置。
　（付記４）
　前記ナンス暗号化手段は、前記チェックサムと同じ長さの前記暗号化ナンスを取得する、
　付記１から３のいずれか１項に記載の認証暗号化装置。
　（付記５）
　前記入力手段は、ヘッダを受け付け、
　前記ハッシュ手段は、前記ヘッダとハッシュ関数とを用いて、前記ハッシュ値を取得する、
　付記１から４のいずれか１項に記載の認証暗号化装置。
　（付記６）
　前記平文暗号化手段は、前記平文を所定長のブロックに分割した際のブロックのｉ番目の平文ブロックに対して、前記ナンスと前記平文ブロックのインデックスｉとを含めた前記補助変数であるＴｗｅａｋを用いて、前記平文を前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化する、
　付記１から５のいずれか１項に記載の認証暗号化装置。
　（付記７）
　前記入力手段は、ヘッダを受け付け、
　前記ハッシュ手段は、前記ヘッダを所定長のブロックに分割した際のブロックのｉ番目のヘッダブロックに対して、前記ヘッダブロックのインデックスｉを含めた前記補助変数であるＴｗｅａｋを用いて、前記ヘッダを前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化することで、前記ハッシュ値を取得する、
　付記６に記載の認証暗号化装置。
　（付記８）
　前記ハッシュ手段は、前記ヘッダを暗号化したブロックを加算することで、前記ハッシュ値を取得する、
　付記７に記載の認証暗号化装置。
　（付記９）
　前記ナンス暗号化手段は、前記ナンスを含めた前記補助変数であるＴｗｅａｋを用いて、Ｔｗｅａｋａｂｌｅブロック暗号で暗号化を行うことによって、前記暗号化ナンスを取得する、
　付記６から８のいずれか１項に記載の認証暗号化装置。
　（付記１０）
　前記Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードである、
　付記６から９のいずれか１項に記載の認証暗号化装置。
　（付記１１）
　暗号文、認証タグ及びナンスの入力を受け付ける入力手段と、
　前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成する平文復号手段と、
　前記平文を用いてチェックサムを生成するチェックサム生成手段と、
　ハッシュ値を取得するハッシュ手段と、
　前記ナンスを暗号化して暗号化ナンスを取得するナンス暗号化手段と、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する検証用タグ生成手段と、
　前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
　を有する認証復号装置。
　（付記１２）
　前記検証用タグ生成手段は、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとの和に基づいて、前記検証用タグを生成する、
　付記１１に記載の認証復号装置。
　（付記１３）
　前記検証用タグ生成手段は、前記和を短縮することによって、前記検証用タグを生成する、
　付記１２に記載の認証復号装置。
　（付記１４）
　前記ナンス暗号化手段は、前記チェックサムと同じ長さの前記暗号化ナンスを取得する、
　付記１１から１３のいずれか１項に記載の認証復号装置。
　（付記１５）
　前記入力手段は、ヘッダを受け付け、
　前記ハッシュ手段は、前記ヘッダとハッシュ関数とを用いて、前記ハッシュ値を取得する、
　付記１１から１４のいずれか１項に記載の認証復号装置。
　（付記１６）
　前記平文復号手段は、前記暗号文を所定長のブロックに分割した際のブロックのｉ番目の暗号文ブロックに対して、前記ナンスと前記暗号文ブロックのインデックスｉとを含めた前記補助変数であるＴｗｅａｋを用いて、前記暗号文を前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で復号する、
　付記１１から１５のいずれか１項に記載の認証復号装置。
　（付記１７）
　前記入力手段は、ヘッダを受け付け、
　前記ハッシュ手段は、前記ヘッダを所定長のブロックに分割した際のブロックのｉ番目のヘッダブロックに対して、前記ヘッダブロックのインデックスｉを含めた前記補助変数であるＴｗｅａｋを用いて、前記ヘッダを前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化することで、前記ハッシュ値を取得する、
　付記１６に記載の認証復号装置。
　（付記１８）
　前記ハッシュ手段は、前記ヘッダを暗号化したブロックを加算することで、前記ハッシュ値を取得する、
　付記１７に記載の認証復号装置。
　（付記１９）
　前記ナンス暗号化手段は、前記ナンスを含めた前記補助変数であるＴｗｅａｋを用いて、Ｔｗｅａｋａｂｌｅブロック暗号で暗号化を行うことによって、前記暗号化ナンスを取得する、
　付記１６から１８のいずれか１項に記載の認証復号装置。
　（付記２０）
　前記Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードである、
　付記１６から１９のいずれか１項に記載の認証復号装置。
　（付記２１）
　認証暗号化装置と、
　前記認証暗号化装置との間で通信を行う認証復号装置と、
　を有し、
　前記認証暗号化装置は、
　平文の入力を受け付ける第１の入力手段と、
　過去に生成された値とは異なるナンスを生成するナンス生成手段と、
　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成する平文暗号化手段と、
　前記平文を用いてチェックサムを生成する第１のチェックサム生成手段と、
　ハッシュ値を取得する第１のハッシュ手段と、
　前記ナンスを暗号化して暗号化ナンスを取得する第１のナンス暗号化手段と、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成する認証タグ生成手段と、
　前記暗号文及び前記認証タグを出力するための制御を行う出力手段と、
　を有し、
　前記認証復号装置は、
　暗号文、認証タグ及びナンスの入力を受け付ける第２の入力手段と、
　前記第２の入力手段によって入力された前記暗号文を分割したブロックごとに、前記第２の入力手段によって入力された前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成する平文復号手段と、
　前記平文復号手段によって生成された前記平文を用いてチェックサムを生成する第２のチェックサム生成手段と、
　ハッシュ値を取得する第２のハッシュ手段と、
　前記第２の入力手段によって入力された前記ナンスを暗号化して暗号化ナンスを取得する第２のナンス暗号化手段と、
　前記第２のチェックサム生成手段によって生成された前記チェックサムと、前記第２のハッシュ手段によって取得された前記ハッシュ値と、前記第２のナンス暗号化手段によって取得された前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する検証用タグ生成手段と、
　前記認証タグ生成手段によって生成された前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
　を有する、
　認証暗号システム。
　（付記２２）
　平文の入力を受け付け、
　過去に生成された値とは異なるナンスを生成し、
　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成し、
　前記平文を用いてチェックサムを生成し、
　ハッシュ値を取得し、
　前記ナンスを暗号化して暗号化ナンスを取得し、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成し、
　前記暗号文及び前記認証タグを出力するための制御を行う、
　認証暗号化方法。
　（付記２３）
　暗号文、認証タグ及びナンスの入力を受け付け、
　前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成し、
　前記平文を用いてチェックサムを生成し、
　ハッシュ値を取得し、
　前記ナンスを暗号化して暗号化ナンスを取得し、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成し、
　前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う、
　認証復号方法。
　（付記２４）
　平文の入力を受け付けるステップと、
　過去に生成された値とは異なるナンスを生成するステップと、
　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成するステップと、
　前記平文を用いてチェックサムを生成するステップと、
　ハッシュ値を取得するステップと、
　前記ナンスを暗号化して暗号化ナンスを取得するステップと、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成し、
　前記暗号文及び前記認証タグを出力するための制御を行うステップと、
　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
　（付記２５）
　暗号文、認証タグ及びナンスの入力を受け付けるステップと、
　前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成するステップと、
　前記平文を用いてチェックサムを生成するステップと、
　ハッシュ値を取得するステップと、
　前記ナンスを暗号化して暗号化ナンスを取得するステップと、
　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成するステップと、
　前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、
　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
１　認証暗号システム
１０　認証暗号化装置
１００　入力部
１０１　ナンス生成部
１０２　Ｔｗｅａｋ付き暗号化部
１０３　チェックサム生成部
１０４　ヘッダハッシュ部
１０５　ナンス暗号化部
１０６　加算部
１０７　短縮部
１０８　出力部
２０　認証復号装置
２００　入力部
２０１　Ｔｗｅａｋ付き復号部
２０２　チェックサム生成部
２０３　ナンス暗号化部
２０４　ヘッダハッシュ部
２０５　加算部
２０６　短縮部
２０７　タグ検証部
３０　認証暗号化装置
３１　入力部
３２　ナンス生成部
３３　平文暗号化部
３４　チェックサム生成部
３５　ハッシュ部
３６　ナンス暗号化部
３７　認証タグ生成部
３８　出力部
４０　認証復号装置
４１　入力部
４３　平文復号部
４４　チェックサム生成部
４５　ハッシュ部
４６　ナンス暗号化部
４７　検証用タグ生成部
４８　検証部

Claims (25)

  1. 　平文の入力を受け付ける入力手段と、
    　過去に生成された値とは異なるナンスを生成するナンス生成手段と、
    　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成する平文暗号化手段と、
    　前記平文を用いてチェックサムを生成するチェックサム生成手段と、
    　ハッシュ値を取得するハッシュ手段と、
    　前記ナンスを暗号化して暗号化ナンスを取得するナンス暗号化手段と、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成する認証タグ生成手段と、
    　前記暗号文及び前記認証タグを出力するための制御を行う出力手段と、
    　を有する認証暗号化装置。
  2. 　前記認証タグ生成手段は、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとの和に基づいて、前記認証タグを生成する、
    　請求項１に記載の認証暗号化装置。
  3. 　前記認証タグ生成手段は、前記和を短縮することによって、前記認証タグを生成する、
    　請求項２に記載の認証暗号化装置。
  4. 　前記ナンス暗号化手段は、前記チェックサムと同じ長さの前記暗号化ナンスを取得する、
    　請求項１から３のいずれか１項に記載の認証暗号化装置。
  5. 　前記入力手段は、ヘッダを受け付け、
    　前記ハッシュ手段は、前記ヘッダとハッシュ関数とを用いて、前記ハッシュ値を取得する、
    　請求項１から４のいずれか１項に記載の認証暗号化装置。
  6. 　前記平文暗号化手段は、前記平文を所定長のブロックに分割した際のブロックのｉ番目の平文ブロックに対して、前記ナンスと前記平文ブロックのインデックスｉとを含めた前記補助変数であるＴｗｅａｋを用いて、前記平文を前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化する、
    　請求項１から５のいずれか１項に記載の認証暗号化装置。
  7. 　前記入力手段は、ヘッダを受け付け、
    　前記ハッシュ手段は、前記ヘッダを所定長のブロックに分割した際のブロックのｉ番目のヘッダブロックに対して、前記ヘッダブロックのインデックスｉを含めた前記補助変数であるＴｗｅａｋを用いて、前記ヘッダを前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化することで、前記ハッシュ値を取得する、
    　請求項６に記載の認証暗号化装置。
  8. 　前記ハッシュ手段は、前記ヘッダを暗号化したブロックを加算することで、前記ハッシュ値を取得する、
    　請求項７に記載の認証暗号化装置。
  9. 　前記ナンス暗号化手段は、前記ナンスを含めた前記補助変数であるＴｗｅａｋを用いて、Ｔｗｅａｋａｂｌｅブロック暗号で暗号化を行うことによって、前記暗号化ナンスを取得する、
    　請求項６から８のいずれか１項に記載の認証暗号化装置。
  10. 　前記Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードである、
    　請求項６から９のいずれか１項に記載の認証暗号化装置。
  11. 　暗号文、認証タグ及びナンスの入力を受け付ける入力手段と、
    　前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成する平文復号手段と、
    　前記平文を用いてチェックサムを生成するチェックサム生成手段と、
    　ハッシュ値を取得するハッシュ手段と、
    　前記ナンスを暗号化して暗号化ナンスを取得するナンス暗号化手段と、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する検証用タグ生成手段と、
    　前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
    　を有する認証復号装置。
  12. 　前記検証用タグ生成手段は、前記チェックサムと前記ハッシュ値と前記暗号化ナンスとの和に基づいて、前記検証用タグを生成する、
    　請求項１１に記載の認証復号装置。
  13. 　前記検証用タグ生成手段は、前記和を短縮することによって、前記検証用タグを生成する、
    　請求項１２に記載の認証復号装置。
  14. 　前記ナンス暗号化手段は、前記チェックサムと同じ長さの前記暗号化ナンスを取得する、
    　請求項１１から１３のいずれか１項に記載の認証復号装置。
  15. 　前記入力手段は、ヘッダを受け付け、
    　前記ハッシュ手段は、前記ヘッダとハッシュ関数とを用いて、前記ハッシュ値を取得する、
    　請求項１１から１４のいずれか１項に記載の認証復号装置。
  16. 　前記平文復号手段は、前記暗号文を所定長のブロックに分割した際のブロックのｉ番目の暗号文ブロックに対して、前記ナンスと前記暗号文ブロックのインデックスｉとを含めた前記補助変数であるＴｗｅａｋを用いて、前記暗号文を前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で復号する、
    　請求項１１から１５のいずれか１項に記載の認証復号装置。
  17. 　前記入力手段は、ヘッダを受け付け、
    　前記ハッシュ手段は、前記ヘッダを所定長のブロックに分割した際のブロックのｉ番目のヘッダブロックに対して、前記ヘッダブロックのインデックスｉを含めた前記補助変数であるＴｗｅａｋを用いて、前記ヘッダを前記ブロックごとに並列にＴｗｅａｋａｂｌｅブロック暗号で暗号化することで、前記ハッシュ値を取得する、
    　請求項１６に記載の認証復号装置。
  18. 　前記ハッシュ手段は、前記ヘッダを暗号化したブロックを加算することで、前記ハッシュ値を取得する、
    　請求項１７に記載の認証復号装置。
  19. 　前記ナンス暗号化手段は、前記ナンスを含めた前記補助変数であるＴｗｅａｋを用いて、Ｔｗｅａｋａｂｌｅブロック暗号で暗号化を行うことによって、前記暗号化ナンスを取得する、
    　請求項１６から１８のいずれか１項に記載の認証復号装置。
  20. 　前記Ｔｗｅａｋａｂｌｅブロック暗号は、ブロック暗号を用いたＸＥＸ＊モードである、
    　請求項１６から１９のいずれか１項に記載の認証復号装置。
  21. 　認証暗号化装置と、
    　前記認証暗号化装置との間で通信を行う認証復号装置と、
    　を有し、
    　前記認証暗号化装置は、
    　平文の入力を受け付ける第１の入力手段と、
    　過去に生成された値とは異なるナンスを生成するナンス生成手段と、
    　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成する平文暗号化手段と、
    　前記平文を用いてチェックサムを生成する第１のチェックサム生成手段と、
    　ハッシュ値を取得する第１のハッシュ手段と、
    　前記ナンスを暗号化して暗号化ナンスを取得する第１のナンス暗号化手段と、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成する認証タグ生成手段と、
    　前記暗号文及び前記認証タグを出力するための制御を行う出力手段と、
    　を有し、
    　前記認証復号装置は、
    　暗号文、認証タグ及びナンスの入力を受け付ける第２の入力手段と、
    　前記第２の入力手段によって入力された前記暗号文を分割したブロックごとに、前記第２の入力手段によって入力された前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成する平文復号手段と、
    　前記平文復号手段によって生成された前記平文を用いてチェックサムを生成する第２のチェックサム生成手段と、
    　ハッシュ値を取得する第２のハッシュ手段と、
    　前記第２の入力手段によって入力された前記ナンスを暗号化して暗号化ナンスを取得する第２のナンス暗号化手段と、
    　前記第２のチェックサム生成手段によって生成された前記チェックサムと、前記第２のハッシュ手段によって取得された前記ハッシュ値と、前記第２のナンス暗号化手段によって取得された前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成する検証用タグ生成手段と、
    　前記認証タグ生成手段によって生成された前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
    　を有する、
    　認証暗号システム。
  22. 　平文の入力を受け付け、
    　過去に生成された値とは異なるナンスを生成し、
    　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成し、
    　前記平文を用いてチェックサムを生成し、
    　ハッシュ値を取得し、
    　前記ナンスを暗号化して暗号化ナンスを取得し、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成し、
    　前記暗号文及び前記認証タグを出力するための制御を行う、
    　認証暗号化方法。
  23. 　暗号文、認証タグ及びナンスの入力を受け付け、
    　前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成し、
    　前記平文を用いてチェックサムを生成し、
    　ハッシュ値を取得し、
    　前記ナンスを暗号化して暗号化ナンスを取得し、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成し、
    　前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行う、
    　認証復号方法。
  24. 　平文の入力を受け付けるステップと、
    　過去に生成された値とは異なるナンスを生成するステップと、
    　前記平文を分割したブロックごとに、前記ナンスを補助変数として用いて暗号化することで、前記平文に対応する暗号文を生成するステップと、
    　前記平文を用いてチェックサムを生成するステップと、
    　ハッシュ値を取得するステップと、
    　前記ナンスを暗号化して暗号化ナンスを取得するステップと、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて認証タグを生成し、
    　前記暗号文及び前記認証タグを出力するための制御を行うステップと、
    　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
  25. 　暗号文、認証タグ及びナンスの入力を受け付けるステップと、
    　前記暗号文を分割したブロックごとに、前記ナンスを補助変数として用いて復号することで、前記暗号文に対応する平文を生成するステップと、
    　前記平文を用いてチェックサムを生成するステップと、
    　ハッシュ値を取得するステップと、
    　前記ナンスを暗号化して暗号化ナンスを取得するステップと、
    　前記チェックサムと前記ハッシュ値と前記暗号化ナンスとを用いて、推定された認証タグである検証用タグを生成するステップと、
    　前記認証タグと前記検証用タグとを比較することによって改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、
    　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2020/017422 2020-04-23 2020-04-23 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体 WO2021214923A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
PCT/JP2020/017422 WO2021214923A1 (ja) 2020-04-23 2020-04-23 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
JP2022516562A JP7367860B2 (ja) 2020-04-23 2020-04-23 認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラム
US17/918,643 US20230139104A1 (en) 2020-04-23 2020-04-23 Authenticated encryption apparatus, authenticated decryption apparatus, authenticated encryption system, method, and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/017422 WO2021214923A1 (ja) 2020-04-23 2020-04-23 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2021214923A1 true WO2021214923A1 (ja) 2021-10-28

Family

ID=78270498

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/017422 WO2021214923A1 (ja) 2020-04-23 2020-04-23 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体

Country Status (3)

Country Link
US (1) US20230139104A1 (ja)
JP (1) JP7367860B2 (ja)
WO (1) WO2021214923A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114640547A (zh) * 2022-05-18 2022-06-17 深圳市研强物联技术有限公司 一种用于智能录音设备的语音处理方法
CN115118527A (zh) * 2022-08-26 2022-09-27 深圳市成为信息股份有限公司 超高频模组与pda的双向认证方法及相关设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015015702A1 (ja) * 2013-08-02 2015-02-05 日本電気株式会社 認証暗号装置、認証暗号方法および認証暗号用プログラム
JP2016075765A (ja) * 2014-10-03 2016-05-12 日本放送協会 認証暗号化装置および認証復号装置、ならびに、それらのプログラム
JP2019015918A (ja) * 2017-07-10 2019-01-31 日本電信電話株式会社 暗号化データ生成装置、復号データ生成装置、追加データ付き認証暗号システム、その方法、及びプログラム
WO2019163032A1 (ja) * 2018-02-21 2019-08-29 日本電気株式会社 暗号化装置、暗号化方法、プログラム、復号装置、復号方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015015702A1 (ja) * 2013-08-02 2015-02-05 日本電気株式会社 認証暗号装置、認証暗号方法および認証暗号用プログラム
JP2016075765A (ja) * 2014-10-03 2016-05-12 日本放送協会 認証暗号化装置および認証復号装置、ならびに、それらのプログラム
JP2019015918A (ja) * 2017-07-10 2019-01-31 日本電信電話株式会社 暗号化データ生成装置、復号データ生成装置、追加データ付き認証暗号システム、その方法、及びプログラム
WO2019163032A1 (ja) * 2018-02-21 2019-08-29 日本電気株式会社 暗号化装置、暗号化方法、プログラム、復号装置、復号方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114640547A (zh) * 2022-05-18 2022-06-17 深圳市研强物联技术有限公司 一种用于智能录音设备的语音处理方法
CN115118527A (zh) * 2022-08-26 2022-09-27 深圳市成为信息股份有限公司 超高频模组与pda的双向认证方法及相关设备
CN115118527B (zh) * 2022-08-26 2022-11-25 深圳市成为信息股份有限公司 超高频模组与pda的双向认证方法及相关设备

Also Published As

Publication number Publication date
US20230139104A1 (en) 2023-05-04
JP7367860B2 (ja) 2023-10-24
JPWO2021214923A1 (ja) 2021-10-28

Similar Documents

Publication Publication Date Title
JP6519473B2 (ja) 認証暗号装置、認証暗号方法および認証暗号用プログラム
JP6665204B2 (ja) データ暗号化装置及び方法、並びにデータ復号化装置及び方法
JP5447510B2 (ja) タグ生成装置、タグ検証装置、通信システム、タグ生成方法、タグ検証方法および記録媒体
JP5855696B2 (ja) 完全性検証を含むブロック暗号化方法およびブロック復号化方法
JP6740902B2 (ja) 認証暗号化方法、認証復号方法および情報処理装置
JP6035459B2 (ja) 暗号化装置、復号化装置、及びプログラム
US20150244518A1 (en) Variable-length block cipher apparatus and method capable of format preserving encryption
WO2014007347A1 (ja) 共有秘密鍵生成装置、暗号化装置、復号化装置、共有秘密鍵生成方法、暗号化方法、復号化方法、及びプログラム
JP5704159B2 (ja) ブロック暗号化装置、ブロック復号装置、ブロック暗号化方法、ブロック復号方法及びプログラム
KR20050027254A (ko) 데이터 처리 시스템을 위한 효율적인 암호화 및 인증
CN102664740B (zh) 一种基于远程授权的招投标文件加解密方法
JP7323196B2 (ja) 暗号化装置、暗号化方法、プログラム、復号装置、復号方法
WO2014136386A1 (ja) タグ生成装置、タグ生成方法およびタグ生成プログラム
WO2016067524A1 (ja) 認証付暗号化装置、認証付復号装置、認証付暗号システム、認証付暗号化方法、プログラム
WO2021214923A1 (ja) 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
KR20080072345A (ko) 암호화 장치 및 그 방법
US11108552B1 (en) Data encryption method and system
JP2015082077A (ja) 暗号化装置、制御方法、及びプログラム
KR20110042419A (ko) 멀티미디어 환경에 적용 가능한 블록암호 운용방법
WO2022237440A1 (en) Authenticated encryption apparatus with initialization-vector misuse resistance and method therefor
JP5293612B2 (ja) 暗号化装置、復号装置、暗号化方法、復号方法およびプログラム
JP2009175544A (ja) 暗号化方法および復号方法
Sadiq et al. Proposal for Scrambled Method based on NTRU
Strenzke Botan's implementation of the McEliece PKC

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20931825

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022516562

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 20931825

Country of ref document: EP

Kind code of ref document: A1