WO2023095249A1 - 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体 - Google Patents

認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体 Download PDF

Info

Publication number
WO2023095249A1
WO2023095249A1 PCT/JP2021/043216 JP2021043216W WO2023095249A1 WO 2023095249 A1 WO2023095249 A1 WO 2023095249A1 JP 2021043216 W JP2021043216 W JP 2021043216W WO 2023095249 A1 WO2023095249 A1 WO 2023095249A1
Authority
WO
WIPO (PCT)
Prior art keywords
random number
encryption
unit
tag
authentication
Prior art date
Application number
PCT/JP2021/043216
Other languages
English (en)
French (fr)
Inventor
明子 向井
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2023563415A priority Critical patent/JPWO2023095249A5/ja
Priority to PCT/JP2021/043216 priority patent/WO2023095249A1/ja
Publication of WO2023095249A1 publication Critical patent/WO2023095249A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • the present invention relates to an authenticated encryption device, an authenticated decryption device, an authenticated encryption system, a method, and a computer-readable medium.
  • AE Authenticated Encryption
  • Non-Patent Document 1 the technique disclosed in Non-Patent Document 1 is known.
  • the maximum security is generally b bits.
  • a security level of ⁇ b bits higher than bits can be realized.
  • Non-Patent Document 1 limits the number of plaintext blocks that can be processed in one authentication encryption. Therefore, although the technique according to Non-Patent Document 1 can improve security, it is difficult to encrypt a long plaintext at once due to the limitation on the number of plaintext blocks that can be processed.
  • An object is to provide an apparatus, an authenticated decryption apparatus, an authenticated encryption system, a method, and a computer-readable medium.
  • the authentication encryption device uses tweakable block cipher using a nonce as a tweak to encrypt plaintext divided into plaintext blocks of a predetermined length for each area of a predetermined length.
  • a random number calculation means for generating a set of random numbers for each section, and a set of random numbers generated in each section is encrypted using a Tweakable block cipher, and each encrypted random number is used as an initial value for processing in the next section.
  • a random number encryption means and a tag generation means for encrypting the set of random numbers generated in the final zone using a Tweakable block cipher to generate a tag for authentication.
  • the authentication/decryption device decrypts a ciphertext divided into ciphertext blocks of a predetermined length by using a tweakable block cipher using a nonce as a tweak for each section of a predetermined length.
  • decryption means first data derived from at least one of the input and output of a function related to the Tweakable block cipher in each area in the decryption, and a predetermined matrix having predetermined values as elements, A random number calculation means for generating a set of random numbers for each section, and a set of random numbers generated in each section is encrypted using a Tweakable block cipher, and each encrypted random number is used as an initial value for processing in the next section.
  • tag generation means for generating a tag for inspection by encrypting the set of random numbers generated in the last zone using a Tweakable block cipher; said tag for inspection; a tag inspection means for inspecting the presence or absence of tampering by comparing the tag with the tag for use, and performing control for outputting the inspection result.
  • an authenticated encryption system includes an authenticated encryption device and an authentication decryption device that communicates with the authenticated encryption device, and the authenticated encryption device uses a nonce as a Tweak.
  • encryption means for encrypting a plaintext divided into plaintext blocks of a predetermined length using a Tweakable block cipher, for each section of a predetermined length;
  • a first random number calculation means for generating a set of random numbers for each area using data derived from at least one of the input and output of the function related to and a predetermined matrix having predetermined values as elements;
  • a first random number encryption means for encrypting the set of random numbers generated by using a Tweakable block cipher and using each encrypted random number as an initial value for processing in the next section;
  • a first tag generating means for encrypting the set of random numbers obtained by using a Tweakable block cipher to generate a tag for authentication, wherein the authentication/decryption device uses the Tweakable block cipher using the
  • the authentication encryption method uses a tweakable block cipher using a nonce as a tweak to encrypt plaintext divided into plaintext blocks of a predetermined length for each area of a predetermined length,
  • a random number A set of random numbers generated in each section is encrypted using a Tweakable block cipher, each encrypted random number is used as an initial value for processing in the next section, and the set of random numbers generated in the last section is The set of random numbers is encrypted using a Tweakable block cipher to generate a tag for authentication.
  • the authentication/decryption method decrypts a ciphertext divided into ciphertext blocks of a predetermined length by using a tweakable block cipher using a nonce as a tweak for each section of a predetermined length.
  • a random number is generated for each area
  • a set of random numbers generated in each section is encrypted using a Tweakable block cipher, each encrypted random number is used as an initial value for processing in the next section, and the set of random numbers generated in the last section is
  • a set of random numbers is encrypted using a Tweakable block cipher to generate an inspection tag, and the inspection tag is compared with the input authentication tag to inspect for tampering, It controls the output of inspection results.
  • the program according to the present disclosure uses a tweakable block cipher using a nonce as a tweak to encrypt plaintext divided into plaintext blocks of a predetermined length for each section of a predetermined length;
  • a random number encrypting the set of random numbers generated in each zone using a Tweakable block cipher, and using each encrypted random number as an initial value for processing in the next zone; and encrypting the set of random numbers generated in the zone using a Tweakable block cipher to generate a tag for authentication.
  • the program according to the present disclosure uses a tweakable block cipher using a nonce as a tweak to decrypt a ciphertext divided into ciphertext blocks of a predetermined length for each section of a predetermined length.
  • a random number is generated for each area encrypting the set of random numbers generated in each zone using a Tweakable block cipher, and using each encrypted random number as an initial value for processing in the next zone; encrypting a set of random numbers generated in the zone using a Tweakable block cipher to generate a tag for inspection; and comparing the tag for inspection with an input tag for authentication, and a step of inspecting the presence or absence of falsification and performing control for outputting the inspection result.
  • an authenticated encryption device an authenticated decryption device, an authenticated encryption system, a method, and a computer-readable medium that can increase the number of plaintext blocks that can be processed in one authenticated encryption while realizing high security.
  • FIG. 10 is a diagram showing the configuration of an authentication encryption device according to a comparative example
  • 1 is a diagram showing a configuration of an authenticated encryption system according to Embodiment 1
  • FIG. 1 is a diagram showing a configuration of an authentication encryption device according to Embodiment 1
  • FIG. 4 is a diagram for explaining processing of a random number encryption unit and a tag generation unit of the authentication encryption device according to the first exemplary embodiment
  • FIG. 4 is a diagram showing an outline of computation in authentication encryption processing according to the first embodiment
  • FIG. 4 is a diagram showing an outline of computation in authentication encryption processing according to the first embodiment
  • FIG. 4 is a diagram showing an outline of computation in authentication encryption processing according to the first embodiment
  • FIG. 4 is a diagram showing an outline of computation in authentication encryption processing according to the first embodiment
  • FIG. 10 is a diagram showing the configuration of an authentication encryption device according to a comparative example
  • 1 is a diagram showing a configuration of an authenticated encryption system according to Embodiment 1
  • FIG. 1 is
  • FIG. 4 is a diagram showing an outline of computation in authentication encryption processing according to the first embodiment;
  • FIG. 4 is a diagram showing an outline of computation in authentication encryption processing according to the first embodiment;
  • FIG. 1 is a diagram showing a configuration of an authentication/decryption device according to Embodiment 1;
  • FIG. 4 is a diagram for explaining processing of a random number encryption unit and a tag generation unit of the authentication/decryption device according to the first exemplary embodiment;
  • FIG. FIG. 4 is a diagram showing an outline of computation in the authentication decryption process according to the first embodiment;
  • FIG. FIG. 4 is a diagram showing an outline of computation in the authentication decryption process according to the first embodiment;
  • FIG. 4 is a diagram showing an outline of computation in the authentication decryption process according to the first embodiment;
  • FIG. 4 is a flow chart showing an authentication encryption method executed by the authentication encryption device according to the first exemplary embodiment; 4 is a flow chart showing an authentication-decryption method executed by the authentication-decryption device according to the first embodiment;
  • FIG. 9 is a diagram showing the configuration of an authentication encryption device according to a second embodiment;
  • FIG. 10 is a diagram for explaining processing of a random number encryption unit and a tag generation unit of the authentication encryption device according to the second embodiment;
  • FIG. 10 is a diagram showing an outline of computation in authentication encryption processing according to the second embodiment;
  • FIG. FIG. 10 is a diagram showing an outline of computation in authentication encryption processing according to the second embodiment;
  • FIG. FIG. 10 is a diagram showing an outline of computation in authentication encryption processing according to the second embodiment;
  • FIG. 10 is a diagram showing an outline of computation in authentication encryption processing according to the second embodiment;
  • FIG. FIG. 10 is a diagram showing an outline of computation in authentication encryption processing according to the second embodiment;
  • FIG. FIG. 10 is a
  • FIG. 9 is a diagram showing the configuration of an authentication/decryption device according to a second exemplary embodiment
  • FIG. FIG. 10 is a diagram showing the configuration of an authentication encryption device according to a third embodiment
  • FIG. FIG. 11 is a diagram showing the configuration of an authentication-decryption device according to a third exemplary embodiment
  • FIG. It is a figure for demonstrating the 2nd comparative example. It is a figure for demonstrating the 2nd comparative example.
  • 1 is a block diagram schematically showing a hardware configuration example of a computing device capable of realizing the device and system according to each embodiment
  • Enc be the encryption function of the authentication cipher, and Dec be the decryption function.
  • M be a plaintext to be encrypted, and introduce a variable N (initial vector) called a nonce.
  • A be Associated Data (AD).
  • AD Associated Data
  • the related data A header is a value that is not encrypted but is tampered with.
  • Enc_K is an encryption function with a key K, which is a secret key, as a parameter
  • C is a ciphertext.
  • T is a fixed-length tampering detection variable called a tag (authentication tag). Alice sends the set (N,A,C,T) of nonce N, associated data A, ciphertext C and tag T to Bob.
  • Dec_K is a decryption function with the key K as a parameter. If there is tampering by a third party Eve in the middle of communication and (N', A', C', T') ⁇ (N, A, C, T), Dec_K(N', A', C' , T′), an error message (error symbol ⁇ ) indicating that there has been tampering is output. In other words, falsification is detected in this case.
  • the encryption side uses some state variable, such as a counter, to prevent nonce matching. That is, typically, by storing the last used N as a state variable and incrementing N each time, it is possible to prevent the nonce N from duplicating past values.
  • Non-Patent Document 1 uses a block cipher called Tweakable Block Cipher (TBC) that introduces a public adjustment value (auxiliary variable) called Tweak during encryption and decryption. . That is, in TBC, key permutation including Tweak is performed on the input of the block cipher. TBCs with different Tweaks can be regarded as independent block ciphers.
  • TBC Tweakable Block Cipher
  • Equation 1 the TBC function is represented by Equation 1 below. ... (1)
  • TBC function the left side (TBC function) of Equation 1 is expressed as "E_K ⁇ Tw ⁇ (M)", “E K Tw ⁇ (M)”, or simply “E K ⁇ " or “E_K ⁇ " and so on.
  • FIG. 1 is a diagram showing the configuration of an authentication encryption device 80 according to a comparative example.
  • FIG. 1 shows the configuration of an authentication encryption device 80 implemented using the encryption method in PFB ⁇ according to Non-Patent Document 1.
  • FIG. 1 is a diagram showing an outline of computation of the authentication encryption device 80 according to the comparative example.
  • the authentication encryption device 80 has an AD processing unit 82, an encryption unit 84, a calculation unit 86, and a tag generation unit 88.
  • the calculation unit 86 is depicted as being separated into a front-stage portion 86a and a rear-stage portion 86b, but the calculation unit 86 may be integrated.
  • the calculation section 86 may be configured such that the front-stage section 86a and the rear-stage section 86b are continuously formed.
  • the AD processing unit 82 processes related data (AD). Related data A is input to the AD processing unit 82 .
  • the AD processing unit 82 divides the input related data A into blocks (A_1, . . . , A_a) each having a length of b bits. That is, the data length of each associated data (AD) block A_1, . . . , A_a is b bits. Note that a indicates the number of AD blocks.
  • the AD processing unit 82 processes each AD block using the TBC function to which the key K and Tweak are input.
  • the AD processing unit 82 sets 0 ⁇ b(0 b ) as the initial value Z_0(Z 0 ).
  • 0 ⁇ b indicates all zeros of b bits.
  • a random number Z_1 is output from the TBC function E K ⁇ as the encryption result.
  • the AD processing unit 82 encrypts the value obtained by the exclusive OR of the output encryption result Z_1 and the AD block A_2 of the second block using the TBC function E K .
  • a random number Z_2 is output as the encryption result from the TBC function E K .
  • the AD processing unit 82 uses the value obtained by the exclusive OR of the output encryption result Z_i and the next (i+1)-th block AD block A_(i+1) as the TBC function E K Repeat the process of encrypting with Note that 1 ⁇ i ⁇ a.
  • the AD processing unit 82 outputs the value obtained by the exclusive OR of the last AD block A_a and the encryption result Z_(a-1) to the encryption unit 84 as H_1.
  • H_1 is a b-bit value.
  • the AD processing unit 82 outputs the result of encryption by the TBC function, that is, the random numbers Z_1, .
  • Z is a value generated in the middle of generating H_1, so it can be said to be an intermediate value.
  • the Tweak input to the TBC function is (0 ⁇ n, i, 0,0). Note that "0 ⁇ n(0 n )" indicates all zeros of n bits. Also, n indicates the data length (number of bits) of the nonce N.
  • Tweaks input to a plurality of TBC functions are different from each other, Tweaks input to each TBC function can be the same even when different plaintexts are encrypted. That is, each Tweak input to each TBC function can be a constant. For example, Tweak (0 n , 1, 0, 0) input to the first E k ⁇ is the same regardless of whether a certain plaintext Ma is encrypted or another plaintext Mb is encrypted. can be The same applies to the Tweak input to the TBC function in the encryption unit 84 and the tag generation unit 88, which will be described later, except for the nonce value.
  • the data length of related data A is a multiple of b bits.
  • AD processing can be performed on associated data of arbitrary length (that is, a length that is not a multiple of b bits).
  • the associated data (AD) may not be included (empty) as an input for the AE.
  • the AD processing section 82 is not required.
  • H_1 in the encryption unit 84 in FIG. 1 should be set to 0 ⁇ b.
  • the encryption unit 84 encrypts plaintext.
  • the nonce N, plaintext M, and H_1 output from the AD processing unit 82 are input to the encryption unit 84 .
  • the encryption unit 84 divides the input plaintext M into blocks (M_1, . . . , M_m) each having a length of b bits. That is, the data length of each of the plaintext blocks M_1, . . . , M_m is b bits. Note that m indicates the number of plaintext blocks.
  • the encryption unit 84 processes each plaintext block using the TBC function to which the key K, nonce N and Tweak are input.
  • the encryption unit 84 sets H_1 as the initial value.
  • the encryption unit 84 encrypts the initial value H_1 with the TBC function E K .
  • a random number Z_a is output from the TBC function E K ⁇ as the encryption result.
  • the encryption unit 84 obtains a ciphertext block C_1 by XORing the output encryption result Z_a and the first plaintext block M_1.
  • Z is a value generated in the course of generating a ciphertext block, so it can also be said to be an intermediate value.
  • the encryption unit 84 encrypts the plaintext block M_1 with the TBC function E K .
  • Z_(a+1) which is a random number, is output as the encryption result.
  • the encryption unit 84 obtains a ciphertext block C_2 by XORing the encryption result Z_(a+1) and the second plaintext block M_2.
  • the encryption unit 84 obtains the ciphertext by XORing the encryption result Z_(a+i) of the i-th block M_i and the next (i+1)-th block M_(i+1). Repeat the process of obtaining block C_(i+1). Note that 0 ⁇ i ⁇ m.
  • the encryption unit 84 outputs the encryption result Z_(a+m) to the tag generation unit 88 as T_1.
  • T_1 is a b-bit value and is part of the tag.
  • " indicates concatenation of bit strings.
  • the ciphertext C has the same length (bit length) as the plaintext M.
  • the encryption unit 84 also outputs the encryption result, that is, random numbers Z_a, .
  • the encryption unit 84 uses the encryption result of the TBC function in which (N, a, i, 0) is input as Tweak for the block index i (1 ⁇ i ⁇ m) of the plaintext M to convert M_i Encrypt to get C_i.
  • the Tweak input to the TBC function (which inputs M_m and obtains T_1) used at the end of the encryption unit 84 is (N, a, m, 1).
  • Tweaks input to a plurality of TBC functions are different from each other. can be the same. That is, each Tweak input to each TBC function can be a constant, except for the value of the nonce N. Note that this also applies to embodiments described later.
  • the data length of plaintext M is assumed to be a multiple of b bits.
  • Tweak By increasing Tweak, it becomes possible to process a plaintext of arbitrary length (that is, a length that is not a multiple of b bits).
  • H_1 when the related data (AD) is not included in the AE input, H_1 may be set to 0 ⁇ b.
  • the predetermined matrix AM is a matrix having a size of ( ⁇ 1) ⁇ (a+m) and having predetermined values ⁇ _(i, j) as elements.
  • ⁇ is a value indicating a predetermined security level and is an integer of 3 or more.
  • i here is the index of the number of rows in the matrix AM and corresponds to the index of the line. Note that 2 ⁇ i ⁇ .
  • j is the index of the number of columns in the matrix AM and corresponds to the index of the input random number Z, that is, the block index. Note that 1 ⁇ j ⁇ a+m. ... (2)
  • Equation 4 the following Equation 4 holds for each line i (2 ⁇ i ⁇ ). ... (4)
  • the element ⁇ _(i, j) of the matrix AM is an element of the finite field GF(2 ⁇ b). Also, the element ⁇ _(i,j) of the matrix AM is a specific value of b bits. Also, " ⁇ " of ⁇ _(i, j) ⁇ Z_j means multiplication on the finite field GF(2 ⁇ b), and in FIG. ing. A symbol with a "+" drawn in a circle indicates an exclusive OR (XOR).
  • the calculation unit 86 calculates H_i by performing an exclusive OR of the multiplied values of the random number Z_j and ⁇ _(i, j) for each of ⁇ 1 lines i (2 ⁇ i ⁇ ). do.
  • the number of random numbers Z_j is increased from 1 to ⁇ -1 in order to obtain high security. Therefore, ⁇ can also be said to mean an expansion number.
  • the calculator 86 outputs the obtained H_2, . . . , H_ ⁇ to the tag generator 88 .
  • the predetermined matrix AM shown in Equation 2 must satisfy certain conditions for security reasons. Details will be described later.
  • the tag generation unit 88 generates a tag T.
  • the tag generation unit 88 receives T_1 from the encryption unit 84 and H_2, . . . , H_ ⁇ from the calculation unit 86 . Further, a nonce N is input to the tag generator 88 .
  • the tag generator 88 outputs T_1 as it is as part of the tag.
  • the tag generation unit 88 encrypts H_2, .
  • T_2, . . . , T_ ⁇ are obtained as encryption results.
  • the Tweak input to the TBC function must be in the format shown in Fig. 1 for security reasons. That is, the tag generation unit 88 encrypts H_i using the encryption result of the TBC function in which (N, a, m, i) is input as Tweak for index i (2 ⁇ i ⁇ ) of H. to obtain T_i. Also, as described above, Tweaks input to a plurality of TBC functions are different from each other. can be the same. That is, each Tweak input to each TBC function can be a constant, except for the value of the nonce N.
  • the total number of AD blocks and plaintext blocks that can be processed at one time must be (2 ⁇ b ⁇ 1) or less.
  • the number of plaintext blocks that can be processed at one time must be (2 ⁇ b ⁇ 2) or less due to security restrictions. That is, due to security restrictions, if the sum of the number of AD blocks and the number of plaintext blocks or the sum of the number of plaintext blocks does not satisfy the above conditions, the ⁇ _ij matrix AM shown in Equation 2 may be changed under the conditions described below. This is because it becomes impossible to satisfy
  • the matrix AM must be an MDS (Maximum Distance Separable) matrix. That is, all submatrices of the matrix AM that are square matrices must be nonsingular.
  • a "submatrix” is a matrix formed by removing a specific row (singular or plural) and a specific column (singular or plural) from the matrix. And the safety when the matrix AM does not satisfy the above condition is currently unknown. Therefore, matrix AM needs to be an MDS matrix.
  • the AD block can be processed before and after the TBC function, as shown in FIG. That is, the first AD block A_1 is processed before the processing of the first TBC function, and the second AD block A_2 is processed after the TBC function. Also, the second AD block A_2 is processed before the processing of the second TBC function, and the third AD block A_3 is processed after the TBC function.
  • the a-1th AD block A_(a-1) is processed before the a-1th TBC function is processed, and the ath AD block A_(a-1) is processed after the TBC function.
  • the last AD block A_a is processed.
  • Non-Patent Document 1 if a+m ⁇ 2 ⁇ b ⁇ 1 in the matrix AM of Equation 2, AE processing is possible even in PFB ⁇ according to the comparative example (Non-Patent Document 1).
  • the associated data is empty, then m+1 ⁇ 2 ⁇ b-1, or m ⁇ 2 ⁇ b-2. That is, if m ⁇ 2 ⁇ b ⁇ 2 in the matrix AM of Equation 2, AE processing is possible even in PFB ⁇ according to the comparative example (Non-Patent Document 1).
  • Non-Patent Document 1 there is a limit to the number of blocks that can be processed at once (the number of plaintext blocks, or the sum of the number of AD blocks and the number of plaintext blocks).
  • the plaintext length that can be processed for the input in one AE process is preferably about 2 ⁇ ( ⁇ b) blocks.
  • the restriction on the number of input blocks is the same as in the case of b-bit security AE, which is inefficient.
  • the authenticated encryption according to the present embodiment as described below, it is possible to increase the number of plaintext blocks that can be processed in one authenticated encryption while achieving high security. That is, in the authenticated encryption according to the present embodiment, the b-bit input/output TBC function is used to achieve greater security than b-bits and to process (2 ⁇ b-1) or more blocks. It is possible. In this embodiment, a security level higher than 2b-bit security can be targeted.
  • FIG. 2 is a diagram showing the configuration of the authenticated encryption system 1 according to the first embodiment.
  • the authentication cryptosystem 1 has an authentication encryption device 10 and an authentication decryption device 20 .
  • the authentication encryption device 10 and the authentication decryption device 20 may be physically integrated or separate.
  • the authentication encryption device 10 and the authentication decryption device 20 are communicably connected via a wire or radio.
  • the constituent elements of the authentication encryption device 10, which will be described later may be realized by separate devices.
  • each component of the authentication/decryption device 20, which will be described later may be realized by a device different from each other.
  • the length of one block out of a plurality of blocks obtained by dividing related data A, plaintext M, ciphertext C, etc. is a predetermined length of b bits.
  • FIG. 3 is a diagram showing the configuration of the authentication encryption device 10 according to the first embodiment.
  • the authentication encryption device 10 includes an input unit 100, a division unit 102, a nonce generation unit 104, an AD processing unit 110, an encryption unit 120, a random number calculation unit 130, and a random number encryption unit. It has a conversion unit 140 , a tag generation unit 150 and an output unit 160 .
  • the authentication encryption device 10 can be realized by an information processing device such as a computer, for example. That is, the authentication encryption device 10 has an arithmetic device such as a CPU (Central Processing Unit) and a storage device such as a memory or a disk. The authentication encryption device 10 implements each of the components described above, for example, by having the arithmetic device execute a program stored in the storage device. This also applies to other embodiments described later.
  • an arithmetic device such as a CPU (Central Processing Unit)
  • a storage device such as a memory or a disk.
  • the authentication encryption device 10 implements each of the components described above, for example, by having the arithmetic device execute a program stored in the storage device. This also applies to other embodiments described later.
  • the input unit 100 has a function as input means.
  • the dividing unit 102 functions as dividing means.
  • the nonce generation unit 104 has a function as nonce generation means.
  • the AD processing unit 110 has a function as related data processing means.
  • the encryption unit 120 has a function as encryption means.
  • the random number calculator 130 has a function as a random number calculator (calculator).
  • the random number encryption unit 140 has a function as random number encryption means.
  • the tag generator 150 has a function as tag generator.
  • the output unit 160 has a function as output means.
  • the input unit 100 accepts input of plaintext M to be encrypted and related data A.
  • the input unit 100 may be realized by, for example, an input device such as a keyboard.
  • the input unit 100 may receive input of plaintext M and related data A from, for example, an external device connected via a network. In some cases, the related data A does not exist, and in this case, the related data A is not input.
  • the input unit 100 outputs the plaintext M and related data A to the dividing unit 102 .
  • the dividing unit 102 divides each of the plaintext M and related data A into blocks of a predetermined length. Specifically, the dividing unit 102 divides the plaintext M into b-bit plaintext blocks M_1, . . . , M_m. Note that m is the number of plaintext blocks. Division section 102 outputs plaintext blocks M_1, . . . , M_m to encryption section 120 . Further, the dividing unit 102 divides the related data A into AD blocks A_1, . . . , A_a each having a length of b bits. Note that a is the number of AD blocks. The dividing unit 102 outputs the AD blocks A_1, . . . , A_a to the AD processing unit 110 .
  • the dividing unit 102 divides the divided AD blocks A_1, . . . , A_a and the plaintext blocks M_1, . . That is, one area contains (2 ⁇ b ⁇ 2) blocks.
  • each zone is defined as zone #1, . . . , zone # ⁇ .
  • ⁇ is the number of zones.
  • Section #k indicates the k-th section. Note that 1 ⁇ k ⁇ .
  • the dividing unit 102 performs division so that all AD blocks A_1, . . . , A_a are included in the area #1. Then, if a ⁇ 2 ⁇ b ⁇ 2, the dividing unit 102 performs division so that m′ plaintext blocks are included in the area #1.
  • the (2 ⁇ b-2) blocks divided into the area #1 are all AD blocks.
  • the remaining AD blocks are then partitioned into zone #2.
  • all AD blocks A_1 .
  • the plaintext block is partitioned into area #2 so that there are .
  • Divide each area so that it is divided in order. At this time, assuming that the number of plaintext blocks divided into the area #1 is m', m' 2 ⁇ b-2.
  • the number of plaintext blocks included in area plaintext block M[k] other than at least M[1] and M[ ⁇ ] is (2 ⁇ b ⁇ 2).
  • the number of plaintext blocks included in the area plaintext block M[1] is also (2 ⁇ b ⁇ 2).
  • each region can perform encryption and random number calculations. This makes it possible to achieve safety in PFB ⁇ without being limited by the number of blocks, which poses a problem in PFB ⁇ .
  • the nonce generation unit 104 generates a nonce N so that there is no overlap with past values. That is, the nonce generation unit 104 generates a nonce N that is different from values generated in the past. Specifically, for example, the nonce generator 104 first outputs an arbitrary fixed value. The nonce generation unit 104 also stores the value of the nonce generated immediately before. Then, the nonce generation unit 104 outputs a value obtained by adding 1 to the previous stored value when generating a nonce N for the second time and thereafter. In this way, the nonce generation unit 104 may generate a nonce N different from the value generated in the past by outputting a value obtained by adding 1 to the value already output one before.
  • the nonce generation unit 104 may generate a nonce by a method different from the above-described example, as long as it can generate a value different from the value generated in the past.
  • the nonce generation unit 104 outputs the generated nonce N to the encryption unit 120 , the random number encryption unit 140 and the tag generation unit 150 . Further, the nonce generating section 104 may output the generated nonce N to the output section 160 .
  • the AD processing unit 110 processes the related data A in the same manner as the AD processing unit 82 shown in FIG. That is, the AD processing unit 110 processes the AD blocks A_1, . . . , A_a using the TBC function to which the key K and Tweak are input. At this time, the AD processing unit 110 processes the AD blocks for each of the areas described above. If a ⁇ 2 ⁇ b ⁇ 2, the processing of the AD processing unit 110 is substantially the same as the processing of the AD processing unit 82.
  • FIG. AD processing section 110 outputs H_1 to encryption section 120 .
  • AD processing unit 110 also outputs random numbers Z_1, .
  • Tweak input to each TBC function used in the AD processing unit 110 can be different from the Tweak input to each TBC function used in the AD processing unit 82. Details will be described later.
  • the encryption unit 120 processes the plaintext M in the same manner as the encryption unit 84 shown in FIG. That is, the encryption unit 120 processes the plaintext blocks M_1, . . . , M_m using the TBC function to which the key K and Tweak are input. Then, the encryption unit 120 generates a ciphertext block by XORing the plaintext block and the encryption result obtained by encrypting the plaintext block preceding this plaintext block using the TBC function. At this time, the encryption unit 120 encrypts the plaintext block (plaintext) for each zone described above. In other words, the encryption unit 120 encrypts the plaintext blocks included in the zone #1 in the same way as the encryption unit 84 does.
  • the encryption unit 120 encrypts the plaintext blocks included in the zone #2 in the same manner as the encryption unit 84 does. After that, the encryption unit 120 encrypts the plaintext blocks included in the area #k in the same manner as the encryption unit 84 does. That is, the encryption unit 120 encrypts the area plaintext block M[k] included in the area #k.
  • the encryption unit 120 also encrypts the area plaintext block M[k] included in the area #k to obtain the area ciphertext block C[k].
  • the area ciphertext block C[k] is composed of the same number of ciphertext blocks as the area plaintext block M[k].
  • the encryption unit 120 outputs the random number Z (output value of the TBC function) obtained in each zone to the random number calculation unit 130 .
  • the encryption unit 120 outputs the encryption result Z obtained by processing the last plaintext block with the TBC function in each area other than the last area # ⁇ to the random number encryption unit 140 as the random number S_1. do.
  • This random number S_1 is encrypted by the random number encryption unit 140 and becomes the initial value for the processing of the encryption unit 120 in the next zone.
  • the encryption unit 120 also outputs the encryption result Z obtained by processing the last plaintext block with the TBC function in the last section # ⁇ to the tag generation unit 150 as the random number S_1. Details of the processing of the encryption unit 120 will be described later.
  • the Tweak input to each TBC function used in the encryption unit 120 can be different from the Tweak input to each TBC function used in the encryption unit 84. Details will be described later.
  • the number of digits of Tweak according to the first embodiment is the number of digits of Tweak according to the comparative example. more than That is, in the comparative example, only one section is processed, whereas in the first embodiment, processing is executed for a plurality of sections. There is a need to.
  • the random number calculation unit 130 uses the random number Z generated by the AD processing unit 110 and the encryption unit 120 and the predetermined matrix AM to generate a tag, similar to the calculation unit 86 shown in FIG. Calculate a value (random number).
  • the matrix AM according to the first embodiment is shown in Equation 5 below.
  • the matrix AM is a matrix having a size of ( ⁇ 1) ⁇ (2 ⁇ b ⁇ 1) and having predetermined values ⁇ _(i, j) as elements. ... (5)
  • the random number calculation unit 130 calculates a random number S for each zone. Specifically, the random number calculation unit 130 uses the random number Z generated by the AD processing unit 110 and the encryption unit 120 and a predetermined matrix AM for each zone to obtain a set of ⁇ 1 random numbers S (S_2, . . . , S_ ⁇ ). Here, the set of random numbers S is used to generate initial values for processing in the next section, as described below. Also, the set of random numbers S generated in the processing in the last section is used to generate the tag T. Random number calculation unit 130 performs an exclusive OR of multiplied values of random number Z_j and ⁇ _(i, j) for each of ⁇ 1 lines i (2 ⁇ i ⁇ ) in each section, Calculate S_i.
  • random number calculation section 130 generates a set of random numbers using the same matrix AM shown in Equation 5 for each section #k. where k is the index of the number of zones. ... (6)
  • Equation 7 Equation 7 below holds for i (2 ⁇ i ⁇ ). ... (7)
  • the random number calculator 130 converts the initial value of each line of the exclusive OR of the multiplied values of Z and ⁇ into the previous section encrypted by the random number encryption unit 140 described later. Let be a set of generated random numbers. Details will be described later.
  • Random number calculation unit 130 outputs a set of random numbers S — 1 ⁇ (k), .
  • Random number calculation unit 130 also outputs a set of random numbers S — 1 ⁇ ( ⁇ ), .
  • the random number S — 1 ⁇ (k) in each zone #k is generated by the encryption section 120 and output to the random number encryption section 140 or the tag generation section 150 . Details of the processing of the random number calculation unit 130 will be described later.
  • the random number encryption unit 140 uses the nonce N to encrypt the set of random numbers S_1 ⁇ (k), . . Specifically, random number encryption section 140 receives nonce N from nonce generation section 104 . The random number encryption unit 140 converts the set of random numbers S — 1 ⁇ (k), . encrypted using
  • the random number encryption unit 140 encrypts the encryption result obtained by encrypting the set of random numbers S_1 ⁇ (k), . value (initial state). That is, the encrypted random number S_1 ⁇ (k) becomes the initial value for the processing of the encryption unit 120 in the next section #(k+1). Also, the encrypted random numbers S_2 ⁇ (k), . Initial value. Specific processing of the random number encryption unit 140 will be described later.
  • the tag generation unit 150 generates a tag T for authentication using the set of random numbers S_1 ⁇ ( ⁇ ), . .
  • the nonce N is input from the nonce generation unit 104 to the tag generation unit 150 .
  • the tag generator 150 uses the nonce N to encrypt the random number set S_1 ⁇ ( ⁇ ), . That is, the tag generation unit 150 converts the set of random numbers S_1 ⁇ ( ⁇ ), . encrypted using The tag generation unit 150 encrypts the set of random numbers S_1 ⁇ ( ⁇ ), . get Specific processing of the tag generation unit 150 will be described later.
  • FIG. 4 is a diagram for explaining the processing of the random number encryption unit 140 and the tag generation unit 150 of the authentication encryption device 10 according to the first embodiment. Note that related data is empty in FIG. 4 for clarity of explanation.
  • the authentication encryption device 10 converts plaintext blocks of plaintext M into area plaintext blocks M[1], M[2], M[2], M[1], M[2], . . . , M[ ⁇ ].
  • each regional plaintext block M[k] includes (2 ⁇ b ⁇ 2) plaintext blocks.
  • encryption section 120 and random number calculation section 130 use input nonce N and area plaintext block M[1] to generate area ciphertext block C[1] and random number set S_1 for area #1. Generate ⁇ (1), . . . , S_ ⁇ (1).
  • the random number encryption unit 140 encrypts the random number set S_1 ⁇ (1), . . . , S_ ⁇ (1) generated for the area #1.
  • the random number encryption unit 140 sets the encrypted random number set S — 1 ⁇ (1), . That is, the encrypted random number S_1 ⁇ (1) becomes the initial value for the processing of the encryption unit 120 in the next section #2. Also, the encrypted random numbers S — 2 ⁇ (1), .
  • the encryption unit 120 and the random number calculation unit 130 use the input nonce N and the area plaintext block M[2] to generate the area ciphertext block C[2] and the random number set S_1 for the area #2. Generate ⁇ (2), . . . , S_ ⁇ (2). At this time, the encryption unit 120 and the random number calculation unit 130 use the encryption result of S_1 ⁇ (1), . 140 encrypts the set of random numbers S_1 ⁇ (2), ..., S_ ⁇ (2) generated for area #2. Then, the random number encryption unit 140 sets the encrypted random number set S — 1 ⁇ (2), . That is, the encrypted random number S_1 ⁇ (2) becomes the initial value for the processing of the encryption unit 120 in the next section #3. Also, the encrypted random numbers S — 2 ⁇ (2), .
  • the encryption unit 120 and the random number calculation unit 130 use the input nonce N and the area plaintext block M[k] for each area #k to obtain the area ciphertext block C[k] and Generate a set of random numbers S_1 ⁇ (k), . . . , S_ ⁇ (k). At this time, the encryption unit 120 and the random number calculation unit 130 use the encryption result of S_1 ⁇ (k ⁇ 1), .
  • the random number encryption unit 140 encrypts a set of random numbers S — 1 ⁇ (k), . Then, the random number encryption unit 140 converts the set of random numbers S — 1 ⁇ (k), . ).
  • the encryption unit 120 can perform processing for each zone using, as a subroutine, substantially the same calculation as that of the encryption unit 84 according to the comparative example. Note that Tweak must be set appropriately at this time. Further, the random number calculation unit 130 can call the matrix AM shown in Equation 5 for each area, and perform processing using substantially the same calculation as the calculation of the calculation unit 86 according to the comparative example as a subroutine. can. These are the same for the decryption processing in the authentication decryption device 20, which will be described later.
  • the tag generation unit 150 uses the set of random numbers S_1 ⁇ ( ⁇ ), . 1], . . . , T[ ⁇ ].
  • the tag T for authentication is an encryption result obtained by encrypting a set of random numbers with a TBC function that inputs Tweak including a nonce N and the number m of plaintext blocks (plaintext length). be. Therefore, the security of the set of tags T is ensured.
  • FIG. 5 to 9 are diagrams showing outlines of calculations in the authentication encryption process according to the first embodiment.
  • FIG. 5 is a diagram showing an outline of calculations of the AD processing unit 110 and the random number calculation unit 130 for the first section, that is, section #1.
  • FIG. 6 is a diagram showing an outline of calculations of the encryption unit 120 and the random number calculation unit 130 for the first section, that is, section #1.
  • FIG. 7 is a diagram showing an outline of the calculation of the random number encryption unit 140.
  • FIG. 8 is a diagram showing an outline of calculations of the encryption section 120 and the random number calculation section 130 for the second section, that is, section #2.
  • FIG. 9 is a diagram showing an outline of the calculation of the tag generation unit 150. As shown in FIG.
  • the random number calculation section 130 is shown separately in the front stage section 130a and the rear stage section 130b, but the random number calculation section 130 may be integrated.
  • the random number calculation unit 130 may be configured such that the front-stage section 130a and the rear-stage section 130b are continuously configured.
  • the random number calculation unit 130 is depicted as one unit.
  • the AD processing unit 110 performs substantially the same processing as the AD processing unit 82 shown in FIG. 1 on the AD blocks A_1, . Then, the AD processing unit 110 outputs the encryption result, that is, the random numbers Z_1 ⁇ (1), . .
  • k in Z_ ⁇ (k) is the index of the number of zones, as described above. That is, "(1)" in random number Z_1 ⁇ (1) indicates that it is a random number generated in section #1 (first section).
  • AD processing unit 110 also outputs the value obtained by XORing last AD block A_a and encryption result Z_(a ⁇ 1) ⁇ (1) to encryption unit 120 as H_1. .
  • the AD processing unit 110 since a ⁇ 2 ⁇ b-2, the AD processing unit 110 processes only the area #1.
  • encryption section 120 encrypts M_1, . . . , M_m′ of plaintext blocks M_1, . Substantially the same processing as that of the transforming unit 84 is performed. Then, the encryption unit 120 obtains ciphertext blocks C_1, . . . , C_m' respectively corresponding to M_1, . The encryption unit 120 also outputs the encryption result, that is, the random numbers Z_â(1), . Note that the encryption unit 120 encrypts the last plaintext block M_m′ in the area #1 with the last TBC function in the area #1, thereby obtaining the final random number Z_(a+m′) ⁇ (1) in the area #1. get Further, when the final plaintext block M_m′ is encrypted by the TBC function, the encryption unit 120 sends the encryption result Z_(a+m′) ⁇ (1) to the random number calculation unit 130 as S_1 ⁇ (1). Output.
  • the Tweaks input to the TBC functions used in the AD processing unit 110 and the encryption unit 120 are the Tweaks input to the TBC functions used in the AD processing unit 82 and the encryption unit 84, respectively.
  • different from Tweak input to the TBC function used in AD processing unit 110 is (0 ⁇ n, i, 0, 0, 0) for block index i (1 ⁇ i ⁇ a) of related data A.
  • the Tweak input to the TBC function used in the encryption unit 120 is (N, a, i, 0, 0) for the block index i (1 ⁇ i ⁇ m') of the plaintext M. .
  • the Tweak input to the TBC function (input M_m' to obtain S_1 ⁇ (1)) used at the end of encryption section 120 is (N, a, m', 1, 0). By setting Tweaks in this manner, one Tweak will not match another Tweak.
  • the random number calculation unit 130 calculates the random numbers Z_1 ⁇ (1), . -1) ⁇ (1), Z_a ⁇ (1), ..., Z_(a+m') ⁇ (1). , Z_(a-1) ⁇ (1), Z_a ⁇ ( 1), . . . , Z_(a+m′) ⁇ (1). Thereby, the random number calculation unit 130 generates a set of random numbers S_2 ⁇ (1), . . . , S_ ⁇ (1) for the area #1. In other words, the random number calculation unit 130 calculates the exclusive OR of the multiplication values of the random numbers Z_1 ⁇ (1), ..., Z_(a+m') ⁇ (1) and the corresponding elements of the matrix AM. generates a set of random numbers S_2 ⁇ (1), . . . , S_ ⁇ (1). Random number calculation unit 130 outputs a set of random numbers S — 1 ⁇ (1), .
  • the random number encryption unit 140 sets the random number sets S_1 ⁇ (k), .
  • the Tweak is encrypted using the input TBC function E K ⁇ '.
  • a Tweak that is used only once is input to the TBC function used in the random number encryption unit 140 .
  • An example of Tweak input to the function E K ⁇ ' is shown on the upper right of "E K ⁇ '" in FIG.
  • the Tweak input to the TBC function E K ⁇ ′ that encrypts the random number S_î(k) includes the nonce N, the index k of region #k, and the line index i.
  • the Tweak input to the TBC function E K ⁇ ' that encrypts the random number S — 2 ⁇ (1) includes the nonce N, the index '1' for region #1, and the line index '2'.
  • the random number encryption unit 140 encrypts the set of random numbers S — 1 ⁇ (k), . become Then, the obtained encryption result is input to the encryption section 120 and the random number calculation section 130 during the processing in section #2.
  • the TBC function E K ⁇ ' is a TBC function to which a Tweak different from the Tweaks input to any of the TBC functions E K ⁇ described in FIGS. 5 to 6 and FIGS. .
  • the Tweaks input to the TBC functions E K ⁇ ' do not include the number of AD blocks a and the number m of plaintext blocks, and are set to be different from the Tweaks input to other TBC functions E K ⁇ .
  • the format of the Tweaks input to the TBC functions E K ⁇ ' may be different from or the same as the format of the Tweaks input to the TBC functions E K ⁇ .
  • Tweak input to the TBC function E K ⁇ ' that encrypts S_i ⁇ ( k ) is (N, k, i, 0 , 0, 1).
  • the Tweak input to the TBC function E K used in the AD processing unit 110 and the encryption unit 120 may be (N, a, m', 0, 0, 0). That is, while the final value of Tweak input to TBC function E K ⁇ ' is "1", Tweak input to TBC function E K ⁇ used in AD processing unit 110 and encryption unit 120 is The last value may be '0'.
  • the TBC function E K ⁇ and the TBC function E K ⁇ ' may differ in the final value of the input Tweak. Therefore, duplication of Tweaks can be avoided.
  • encryption section 120 encrypts (2 ⁇ b-2) M_(m'+1) pieces of plaintext blocks M_1, . ), .
  • the encryption unit 120 inputs the encryption result obtained by encrypting the random number S_1 ⁇ (1) in the random number encryption unit 140 as an initial value to the first TBC function for the area #2. That is, the random number S_1 ⁇ (1) generated in the area #1 is encrypted by the TBC function E K ⁇ ' to which the Tweak containing the nonce N, the index "1" of the area #1 and the line index "1" is input.
  • the encryption result obtained by the above corresponds to the initial value.
  • C_(m) corresponding to M_(m'+1), . '+2 ⁇ b-2) is obtained.
  • the encryption unit 120 sends the encryption result, that is, the random numbers Z_1 ⁇ (2), . Output.
  • the encryption unit 120 encrypts the last plaintext block M_(m′+2 ⁇ b ⁇ 2) in the area #2 with the last TBC function in the area #2, thereby obtaining the final random number Z_ in the area #2.
  • the encryption unit 120 converts the encryption result Z_(2 ⁇ b ⁇ 1) ⁇ (2) into S_1 ⁇ (2) is output to the random number calculation unit 130 .
  • the random number calculation unit 130 calculates the random numbers Z_1 ⁇ (2), . ). That is, the random number calculation unit 130 processes the random numbers Z_1 ⁇ (2), . do. Thereby, the random number calculator 130 generates a set of random numbers S_2 ⁇ (2), . . . , S_ ⁇ (2) for the area #2. In other words, the random number calculation unit 130 calculates the exclusive OR of the multiplied values of the random numbers Z_1 ⁇ (2), ..., Z_(2 ⁇ b-1) ⁇ (2) and the corresponding elements of the matrix AM. The calculation generates a set of random numbers S_2 ⁇ (2), . . . , S_ ⁇ (2).
  • the random number calculation unit 130 inputs the encryption result obtained by encrypting the random number S_i ⁇ (1) in the random number encryption unit 140 to each line i as an initial value. That is, the random number S_2 ⁇ (1) generated in the area #1 is encrypted by the TBC function E K ⁇ ' to which the Tweak including the nonce N, the index "1" of the area #1 and the line index "2" is input. , corresponds to the initial value of line "2". Similarly, the random number S_ ⁇ (1) generated in area #1 is encrypted by the TBC function E K ⁇ ' input with a Tweak containing the nonce N, the index '1' of area #1, and the line index ' ⁇ '. The encrypted result obtained by converting corresponds to the initial value of the line " ⁇ ". Random number calculation unit 130 outputs a set of random numbers S — 1 ⁇ (2), .
  • Tweak input to each TBC function used in the encryption unit 120 is different from the Tweak input to each TBC function used in the encryption unit 84.
  • Tweak input to the TBC function used in encryption unit 120 is (N, a, i, 0, 0).
  • the Tweak input to the TBC function (M_(m′+2 ⁇ b ⁇ 2) is input to obtain S_1 ⁇ (2)) used at the end of encryption unit 120 is (N , a, m′+2 ⁇ b ⁇ 2,1,0).
  • the Tweak input to each TBC function in area #2 is different from the Tweak input to each TBC function in area #1.
  • the encryption unit 120 repeatedly calls the TBC function to encrypt the plaintext block each time a certain area is processed.
  • the random number calculator 130 uses the encryption result obtained by encrypting the random number obtained for the previous area as the initial value of each line, and the same matrix shown in Equation 5 Repeatedly call AM (ie, the same element ⁇ ) to generate a set of random numbers.
  • the Tweak input to each TBC function used in the encryption unit 120 is set according to the rules described above using FIG. That is, in each area #k, the Tweak input to the 1st to (2 ⁇ b-2)th TBC functions is (N, a, i, 0, 0) for block index i of plaintext M. becomes. Note that the Tweak input to the TBC function used last (2 ⁇ b ⁇ 1) in the encryption unit 120 is (N, a, i, 1, 0). Note that here, since i is the index of the plaintext block number m, the Tweak input to each TBC function in a certain area #k is different from the Tweak input to each TBC function in another area. .
  • the tag generation unit 150 generates a set of random numbers S_1 ⁇ ( ⁇ ), .
  • a tag T for authentication is generated using Tweak including a and the number of plaintext blocks m.
  • a Tweak that is used only once is input to the TBC function used in the tag generator 150 .
  • An example of Tweak input to the function E K ⁇ is shown on the upper right of "E K ⁇ " in FIG.
  • the Tweak input to the TBC function E K that encrypts the random number S_i ⁇ ( ⁇ ) is the nonce N, the number of AD blocks a, the number of plaintext blocks m, the index “ ⁇ ” of the area # ⁇ , and line index i.
  • the tag T[i] is generated by encrypting the random number S_î( ⁇ ) using this TBC function E K ⁇ .
  • the Tweak input to the TBC function E K that encrypts the random number S_1 ⁇ ( ⁇ ) is the nonce N, the number of AD blocks a, the number of plaintext blocks m, the index " ⁇ " of the area # ⁇ , and the line index " 1”.
  • the random number encryption unit 140 uses the TBC function E K ⁇ ′
  • the tag generation unit 150 uses the TBC function E K ⁇ . Therefore, the Tweak input to the TBC function E K used in the tag generator 150 is different from the Tweak input to the TBC function used in the random number encryption unit 140 .
  • the Tweak input to the TBC function E K used in the tag generation unit 150 is the number of regions ⁇ and line index i. Therefore, the Tweaks input to the TBC functions E K used in the tag generation unit 150 are different from the Tweaks input to the TBC functions used in the AD processing unit 110 and encryption unit 120 . Therefore, duplication of Tweaks can be avoided. These are the same for the decryption processing in the authentication decryption device 20, which will be described later.
  • the Tweak input to the TBC function E K used in the tag generator 150 includes the AD block number a and the plaintext block number m. Therefore, the safety of the tag T can be ensured. That is, even if an attacker inputs tampered information with a different AD block count a or plaintext block count m, the tampered information can be immediately rejected (tampering can be detected). Therefore, it is clear that tag T is not easily tampered with. In other words, since this Tweak includes AD block number a and plaintext block number m, the security of tag T can be easily proved. In other words, the tag T can be safely generated from the random number S. These are the same for the decryption processing in the authentication decryption device 20, which will be described later. Moreover, these things are the same also in Embodiment 2 mentioned later.
  • the output unit 160 performs control for outputting the ciphertext C and the tag T.
  • the output unit 160 may concatenate the ciphertext C and the tag T and output them.
  • the output unit 160 may, for example, perform control for displaying the ciphertext C and the tag T on an output device such as a display.
  • the output unit 160 may also control, for example, an external device connected via a network to output the ciphertext C and the tag T.
  • the output unit 160 may perform control so as to output the nonce N and the related data A.
  • FIG. For example, the output unit 160 transmits (N, A, C, T) to the authentication/decryption device 20 .
  • FIG. 10 is a diagram showing the configuration of the authentication/decryption device 20 according to the first embodiment.
  • the authentication/decryption device 20 includes an input unit 200, a division unit 202, an AD processing unit 210, a decryption unit 220, a random number calculation unit 230, a random number encryption unit 240, and a tag generation unit. 250 and a tag inspection unit 260 .
  • the authentication/decryption device 20 can be realized by an information processing device such as a computer, for example. That is, the authentication/decryption device 20 has an arithmetic device such as a CPU and a storage device such as a memory or disk. The authentication/decryption device 20 implements each of the components described above, for example, by having the arithmetic device execute a program stored in the storage device. This also applies to other embodiments described later.
  • the input unit 200 has a function as input means.
  • the dividing unit 202 has a function as dividing means.
  • the AD processing unit 210 has a function as related data processing means.
  • the decoding unit 220 has a function as decoding means.
  • the random number calculator 230 functions as a random number calculator (calculator).
  • the random number encryption unit 240 has a function as random number encryption means.
  • the tag generator 250 has a function as tag generator.
  • the tag inspection unit 260 has a function as tag inspection means.
  • the input unit 200 receives inputs of the nonce N, the related data A, the ciphertext C to be decrypted, and the tag T output from the authentication encryption device 10 .
  • the input unit 200 may be implemented by, for example, an input device such as a keyboard.
  • the input unit 200 may receive inputs of the nonce N, the related data A, the ciphertext C, and the tag T from, for example, an external device connected via a network. In some cases, the related data A does not exist, and in this case, the related data A is not input.
  • the input unit 200 outputs the nonce N to the decryption unit 220 , the random number encryption unit 240 and the tag generation unit 250 .
  • the input unit 200 also outputs the ciphertext C and the related data A to the dividing unit 202 .
  • the input section 200 also outputs the tag T to the tag inspection section 260 .
  • the dividing unit 202 divides each of the ciphertext C and the related data A into blocks of a predetermined length. Specifically, the dividing unit 202 divides the ciphertext C into ciphertext blocks C_1, . . . , C_m of b bits each. Note that m is the number of ciphertext blocks (that is, plaintext blocks). The division unit 202 outputs the ciphertext blocks C_1, . . . , C_m to the decryption unit 220 . Further, the dividing unit 202 divides the related data A into AD blocks A_1, . . . , A_a each having a length of b bits. The dividing unit 202 outputs the AD blocks A_1, . . . , A_a to the AD processing unit 210 .
  • the bit string of the ciphertext block divided into the area #k is "area ciphertext block C[k]"
  • the number of ciphertext blocks included in at least area ciphertext blocks C[k] other than C[1] and C[ ⁇ ] is (2 ⁇ b ⁇ 2).
  • the number of ciphertext blocks included in the area ciphertext block C[1] is also (2 ⁇ b ⁇ 2).
  • the AD processing unit 210 performs substantially the same processing as the AD processing unit 110 described above. That is, the AD processing unit 210 processes the AD blocks A_1, . . . , A_a using the TBC function to which the key K and Tweak are input. At this time, the AD processing section 210 processes AD blocks for each of the above-described areas. The AD processing section 210 outputs H_1 to the decoding section 220 . AD processing unit 210 also outputs random numbers Z_1, . Note that the Tweak input to each TBC function used in AD processing section 210 may be set substantially the same as the Tweak input to each TBC function used in AD processing section 110 described above.
  • the decryption unit 220 performs decryption processing corresponding to the encryption processing in the encryption unit 120 described above.
  • the decryption unit 220 processes the ciphertext blocks C_1, . . . , C_m using the TBC function to which the key K and Tweak are input.
  • the decryption unit 220 decrypts the ciphertext block (ciphertext) for each zone described above. That is, the decryption unit 220 performs decryption processing corresponding to the encryption processing in the encryption unit 120 described above for the ciphertext blocks included in the zone #1.
  • the decryption unit 220 performs decryption processing corresponding to the above-described encryption processing in the encryption unit 120 for the ciphertext blocks included in the zone #2. After that, the decryption unit 220 performs decryption processing corresponding to the above-described encryption processing in the encryption unit 120 for the ciphertext blocks included in the zone #k. That is, the decryption unit 220 decrypts the area ciphertext block C[k] included in the area #k.
  • the decryption unit 220 also decrypts the area ciphertext block C[k] included in the area #k to obtain the area plaintext block M[k].
  • the decoding unit 220 also outputs the random number Z (output value of the TBC function) obtained in each area to the random number calculation unit 230 .
  • the decryption unit 220 outputs the encryption result Z obtained by processing the last ciphertext block with the TBC function in each area other than the last area # ⁇ to the random number encryption unit 240 as the random number S_1. do.
  • This random number S_1 is encrypted by the random number encryption unit 240 and becomes the initial value for the processing of the decryption unit 220 in the next section.
  • the decryption unit 220 outputs the encryption result Z obtained by processing the last ciphertext block with the TBC function in the last section # ⁇ to the tag generation unit 250 as the random number S_1. Details of the processing of the decoding unit 220 will be described later.
  • the Tweak input to each TBC function used in decryption section 220 may be set substantially the same as the Tweak input to each TBC function used in encryption section 120 described above.
  • the random number calculation unit 230 generates a tag using the random number Z generated by the AD processing unit 210 and the decoding unit 220 and the predetermined matrix AM shown in Equation 5, similarly to the random number calculation unit 130 described above. Calculate a random number S for At this time, the random number calculator 230 calculates the random number S for each zone. Specifically, the random number calculation unit 230 uses the random number Z generated by the AD processing unit 210 and the decoding unit 220 and a predetermined matrix AM for each zone to obtain a set of ⁇ 1 random numbers S ( S_2, . . . , S_ ⁇ ). Here, the set of random numbers S is used to generate initial values for processing in the next section, as described below.
  • Random number calculation unit 230 multiplies random number Z_j and ⁇ _(i, j) for each of ⁇ 1 lines i (2 ⁇ i ⁇ ) in each section.
  • S_i is calculated by performing exclusive OR of . That is, the random number calculation unit 230 calculates random numbers Z_1 ⁇ (k), ..., Z_(2 ⁇ b-1) ⁇ (k ) to generate a set of random numbers S_2 ⁇ (k), . . . , S_ ⁇ (k).
  • the random number calculator 230 converts the initial value of each line of the exclusive OR of the product of Z and ⁇ into the previous section encrypted by the random number encryption section 240, which will be described later. Let be a set of generated random numbers. Details will be described later.
  • the random number calculation unit 230 outputs to the random number encryption unit 240 a set of random numbers S — 1 ⁇ (k), . Random number calculation unit 230 also outputs a set of random numbers S — 1 ⁇ ( ⁇ ), . As described above, the random number S — 1 ⁇ (k) in each section #k is generated by the decryption section 220 and output to the random number encryption section 240 or the tag generation section 250 . Details of the processing of the random number calculation unit 230 will be described later.
  • the random number encryption unit 240 uses a nonce N to generate a random number set S_1 ⁇ (k), . . . , S_ ⁇ (k) are encrypted.
  • the calculation contents of the random number encryption unit 240 are substantially the same as those shown in FIG. Therefore, the random number encryption unit 240 converts the set of random numbers S_1 ⁇ (k), . Encrypt using a function. Then, the random number encryption unit 240 encrypts the encryption result obtained by encrypting the set of random numbers S_1 ⁇ (k), . value (initial state). Therefore, the encrypted random number S_1 ⁇ (k) becomes the initial value for the processing of the decryption unit 220 in the next section #(k+1). Also, the encrypted random numbers S_2 ⁇ (k), . Initial value.
  • the tag generation unit 250 uses the set of random numbers S_1 ⁇ ( ⁇ ), . to generate a tag T * for inspection.
  • FIG. 11 is a diagram for explaining the processing of the random number encryption unit 240 and the tag generation unit 250 of the authentication/decryption device 20 according to the first embodiment.
  • related data is empty in FIG. 11 .
  • the authentication/decryption device 20 converts the ciphertext blocks of the ciphertext C into area ciphertext blocks C[1] and C[2 corresponding to area #1, area #2, . . . area # ⁇ , respectively. ], . . . , C[ ⁇ ].
  • each area ciphertext block C[k] includes (2 ⁇ b ⁇ 2) ciphertext blocks.
  • the decryption unit 220 and the random number calculation unit 230 use the input nonce N and the area ciphertext block C[1] for the area #1 to generate the area plaintext block M[1] and the random number set S_1 ⁇ (1), . . . , S_ ⁇ (1) are generated.
  • Random number encryption unit 240 encrypts a set of random numbers S_1 ⁇ (1), . . . , S_ ⁇ (1) generated for area #1. Then, the random number encryption unit 240 sets the encrypted random number set S — 1 ⁇ (1), . That is, the encrypted random number S_1 ⁇ (1) becomes the initial value for the processing of the decryption unit 220 in the next section #2. Also, the encrypted random numbers S — 2 ⁇ (1), .
  • the decryption unit 220 and the random number calculation unit 230 use the input nonce N and the area ciphertext block C[2] to generate the area plaintext block M[2] and the random number set S_1 ⁇ for the area #2. (2), . . . , S_ ⁇ (2) are generated. At this time, the decryption unit 220 and the random number calculation unit 230 set the encryption result of S_1 ⁇ (1), . encrypts the set of random numbers S_1(2), . . . , S_ ⁇ (2) generated for area #2. Then, the random number encryption unit 240 sets the encrypted random number set S — 1 ⁇ (2), . That is, the encrypted random number S_1 ⁇ (2) becomes the initial value for the processing of the decryption unit 220 in the next section #3. Also, the encrypted random numbers S — 2 ⁇ (2), .
  • decryption unit 220 and random number calculation unit 230 generate area plaintext block M[k] and random number , S_ ⁇ (k). At this time, the decryption unit 220 and the random number calculation unit 230 use the encryption result of S_1 ⁇ (k ⁇ 1), .
  • the random number encryption unit 240 encrypts a set of random numbers S — 1 ⁇ (k), . Then, the random number encryption unit 240 converts the set of random numbers S — 1 ⁇ (k), . (initial state). Then, the tag generation unit 250 uses the set of random numbers S_1 ⁇ ( ⁇ ), . Obtain [1], . . . , T * [ ⁇ ].
  • the tag inspection unit 260 compares the authentication tag T generated by the authentication encryption device 10 with the inspection tag T * generated by the tag generation unit 250 to inspect whether or not there has been falsification. Then, the tag inspection section 260 performs control for outputting information based on the inspection result. Note that the tag inspection unit 260 may, for example, perform control for displaying information on an output device such as a display. Also, the tag inspection unit 260 may control, for example, an external device connected via a network so as to output information.
  • the tag inspection unit 260 determines that the authentication has failed, and issues an error message ⁇ indicating that the tag T and the tag T * do not match. Control for output.
  • FIG. 12 and 13 are diagrams showing the outline of calculations in the authentication decryption process according to the first embodiment.
  • FIG. 12 is a diagram showing an outline of calculations of the decoding unit 220 and the random number calculation unit 230 for the first section, that is, section #1. Note that the outline of the calculation of the AD processing unit 210 for the area #1 is substantially the same as that described in FIG. 5, so illustration is omitted.
  • FIG. 13 is a diagram showing an outline of calculations of the decoding unit 220 and the random number calculation unit 230 for the second section, that is, section #2.
  • the decryption unit 220 decrypts C_1, . . . , C_m′ of the ciphertext blocks C_1, . Specifically, the decoding unit 220 sets H_1 as the initial value. The decryption unit 220 encrypts the initial value H_1 with the TBC function E K . As a result, a random number Z_â(1) is output from the TBC function E K ⁇ as the encryption result. Then, the decryption unit 220 obtains the plaintext block M_1 by XORing the output encryption result Z_a and the first ciphertext block C_1.
  • the decryption unit 220 encrypts the plaintext block M_1 with the TBC function E K .
  • Z_(a+1) ⁇ (1) which is a random number, is output as the encryption result.
  • the decryption unit 220 obtains a plaintext block M_2 by XORing the encryption result Z_(a+1) ⁇ (1) and the second ciphertext block C_2.
  • the decryption unit 220 obtains the plaintext block M_(i+1) by XORing the encryption result Z_(a+i) of the plaintext block M_i decrypted using the ciphertext block C_i and the ciphertext block C_(i+1). Repeat the process of obtaining
  • the decoding unit 220 obtains plaintext blocks M_1, . . . , M_m' respectively corresponding to C_1, .
  • the decryption unit 220 also outputs the encryption result, that is, the random numbers Z_â(1), .
  • the decrypting unit 220 encrypts the last plaintext block M_m′ in the area #1 with the last TBC function in the area #1, thereby obtaining the last random number Z_(a+m′) ⁇ (1) in the area #1 as obtain.
  • the decryption unit 220 outputs the encryption result Z_(a+m′) ⁇ (1) to the random number calculation unit 230 as S_1 ⁇ (1). do.
  • the random number calculation unit 230 processes Z_a ⁇ (1), ..., Z_(a+m') ⁇ (1) generated by the decoding unit 220 for the area #1.
  • the AD processing unit 210 is not shown in FIG. 12, the random number calculation unit 230 calculates the random number Z_1 ⁇ (1 ), . . . , Z_(a ⁇ 1) ⁇ (1). , Z_(a-1) ⁇ (1), Z_a ⁇ ( 1), . . . , Z_(a+m′) ⁇ (1).
  • the random number calculation unit 230 generates a set of random numbers S_2 ⁇ (1), ..., S_ ⁇ (1) for the area #1.
  • the random number calculation unit 230 calculates the exclusive OR of the product of each of the random numbers Z_1 ⁇ (1), ..., Z_(a+m') ⁇ (1) and the corresponding elements of the matrix AM. generates a set of random numbers S_2 ⁇ (1), . . . , S_ ⁇ (1). Random number calculation unit 230 outputs a set of random numbers S — 1 ⁇ (1), .
  • Random number encryption unit 240 receives a set of random numbers S_1 ⁇ (1), . Encrypt using the modified TBC function E K ⁇ '. A set of random numbers S_1 ⁇ (1), ..., S_ ⁇ (1) encrypted using the TBC function E K ' is entered.
  • the decryption unit 220 decrypts (2 ⁇ b-2) C_(m'+1) pieces of ciphertext blocks C_1, . ), .
  • the decryption unit 220 inputs the encryption result obtained by encrypting the random number S_1 ⁇ (1) in the random number encryption unit 240 as an initial value to the first TBC function for the area #2. That is, the random number S_1 ⁇ (1) generated in the area #1 is encrypted by the TBC function E K ⁇ ' to which the Tweak containing the nonce N, the index "1" of the area #1 and the line index "1" is input.
  • the encryption result obtained by the above corresponds to the initial value.
  • M_(m'+2) corresponding to C_(m'+1), . . . , C_(m'+2 ⁇ b-2) respectively. ⁇ b-2) is obtained.
  • the decryption unit 220 outputs the encryption result, that is, the random numbers Z_1 ⁇ (2), . do. Note that the decrypting unit 220 encrypts the last plaintext block M_(m′+2 ⁇ b ⁇ 2) in the area #2 with the last TBC function in the area #2 to obtain the final random number Z_( 2 ⁇ b-1) ⁇ (2) is obtained.
  • the decryption unit 220 converts the encryption result Z_(2 ⁇ b-1) ⁇ (2) to S_1 ⁇ As (2), it is output to the random number calculation unit 230 .
  • the random number calculation unit 230 calculates the random numbers Z_1 ⁇ (2), . Process Z_(2 ⁇ b ⁇ 1) ⁇ (2). That is, the random number calculation unit 230 processes the random numbers Z_1 ⁇ (2), . do. Thereby, the random number calculation unit 230 generates a set of random numbers S_2 ⁇ (2), . . . , S_ ⁇ (2) for the area #2. In other words, the random number calculation unit 230 calculates the exclusive OR of the product of the random numbers Z_1 ⁇ (2), ..., Z_(2 ⁇ b-1) ⁇ (2) and the corresponding elements of the matrix AM. The calculation generates a set of random numbers S_2 ⁇ (2), . . . , S_ ⁇ (2).
  • the random number calculation unit 230 uses the encryption result obtained by encrypting the random number S_î(1) in the random number encryption unit 240 as an initial value for the area #2, and uses each line as an initial value.
  • the random number S_2 ⁇ (1) generated in the area #1 is encrypted by the TBC function E K ⁇ ' to which the Tweak including the nonce N, the index "1" of the area #1 and the line index "2" is input. , corresponds to the initial value of line "2".
  • the random number S_ ⁇ (1) generated in area #1 is encrypted by the TBC function E K ⁇ ' input with a Tweak containing the nonce N, the index '1' of area #1, and the line index ' ⁇ '.
  • the encrypted result obtained by converting corresponds to the initial value of the line " ⁇ ".
  • Random number calculation section 230 outputs a set of random numbers S — 1 ⁇ (2), .
  • the random number calculation unit 230 repeatedly calls the same matrix AM (that is, the same element ⁇ ) shown in Equation 5 each time a certain area is processed to generate a set of random numbers. .
  • FIG. 13 is a flow chart showing an authentication encryption method executed by the authentication encryption device 10 according to the first embodiment.
  • the input unit 100 inputs the plaintext M and the related data A as described above (step S102).
  • the dividing unit 102 divides each of the plaintext M and the related data A into blocks (plaintext blocks and AD blocks) of predetermined lengths (step S104). Further, as described above, the dividing unit 102 divides the divided AD blocks and plaintext blocks into sections (step S106).
  • the nonce generator 104 generates a nonce N as described above (step S108).
  • step S118 the random number encryption unit 140 encrypts the set of random numbers S as described above (step S120). Then, the random number encryption unit 140 uses the encrypted random number as the initial value for processing in the area #(k+1), that is, the area #2 (step S122). Then, the authentication encryption device 10 increments k by 1 (step S124) and advances the area to be processed by one. Then, the processing of S114 to S124 is repeated.
  • the tag generation unit 150 uses the set of random numbers S generated in the area # ⁇ to A tag T is generated (step S132).
  • the output unit 160 then outputs the nonce N, the related data A, the ciphertext C, and the tag T (step S134).
  • FIG. 15 is a flowchart showing an authentication-decryption method executed by the authentication-decryption device 20 according to the first embodiment.
  • the input unit 200 inputs the nonce N, the related data A, the ciphertext C, and the tag T (step S202).
  • the dividing unit 202 divides each of the ciphertext C and the related data A into blocks (ciphertext blocks and AD blocks) of predetermined lengths (step S204). Further, as described above, the dividing unit 202 divides the divided AD blocks and ciphertext blocks into sections (step S206).
  • the random number encryption unit 240 encrypts the set of random numbers S as described above (step S220). Then, the random number encryption unit 240 uses the encrypted random number as the initial value for processing in area #(k+1), that is, area #2 (step S222). Then, the authentication/decryption device 20 increments k by one (step S224) and advances the area to be processed by one. Then, the processing of S214 to S224 is repeated.
  • the tag generator 250 uses the set of random numbers S generated in the area # ⁇ to A tag T * is generated (step S232). As described above, the tag inspection unit 260 determines whether or not the authentication tag T and the inspection tag T * match (step S240). If the authentication tag T and the inspection tag T * match (YES in S240), the tag inspection unit 260 outputs the plaintext M (step S242). On the other hand, if the authentication tag T and the inspection tag T * do not match (NO in S240), the tag inspection unit 260 outputs an error message ⁇ (step S244).
  • the authentication encryption device 10 according to the first embodiment has a size (2 ⁇ b-2) that can process input blocks (AD blocks and plaintext blocks) by the method of PFB ⁇ according to the comparative example. subdivide into areas containing blocks.
  • the authentication encryption device 10 according to the first embodiment is configured to appropriately derive the tag T from a set of random numbers S generated in each zone.
  • the authenticated encryption system 1 according to the first embodiment can process (2 ⁇ b ⁇ 1) or more input blocks, which was impossible in terms of security with the method of PFB ⁇ according to the comparative example. becomes.
  • the limit on the number of input blocks is the same as in the case of b-bit security AE. Therefore, in the comparative example, if an attempt is made to transmit a plaintext of a size exceeding the limit of the number of input blocks (a size exceeding b ⁇ (2 ⁇ b ⁇ 2) bits), it is necessary to divide the plaintext into blocks that can be processed in advance. be. Then, it is necessary to encrypt each divided plaintext and transmit the obtained ciphertext. That is, in the comparative example, it is necessary to transmit a plurality of (N, A, C, T) for one plaintext.
  • the authenticated cryptosystem 1 since there is no limit on the number of blocks that can be processed, it is possible to transmit the ciphertext at once regardless of the size of the plaintext. That is, in Embodiment 1, only a single (N, A, C, T) transmission needs to be performed. Therefore, it is possible to suppress the communication load.
  • Embodiment 2 Next, Embodiment 2 will be described. For clarity of explanation, the following descriptions and drawings are omitted and simplified as appropriate. Moreover, in each drawing, the same elements are denoted by the same reference numerals, and redundant description is omitted as necessary. Note that the system configuration according to the second embodiment is substantially the same as the system configuration according to the first embodiment, so description thereof will be omitted. That is, the authentication cryptosystem 1 according to the second embodiment has an authentication encryption device 10A corresponding to the authentication encryption device 10 and an authentication decryption device 20A corresponding to the authentication decryption device 20. FIG.
  • Embodiment 2 corresponds to ⁇ CB ⁇ , which is an improvement when the PFB ⁇ method according to the comparative example described above is extended to the ⁇ CB method referred to in the comparative example. That is, in the second embodiment, processing (encryption or decryption and AD processing) using the TBC function of blocks in PFB ⁇ can be executed in parallel. Furthermore, in the second embodiment, as in the first embodiment, the plaintext block (and AD block) is divided into sections of a predetermined length, and processing is performed for each section.
  • FIG. 16 is a diagram showing the configuration of an authentication encryption device 10A according to the second embodiment.
  • the authentication encryption device 10A includes an input unit 100, a division unit 102A, a nonce generation unit 104, an AD processing unit 110A, an encryption unit 120A, a random number calculation unit 130A, and a random number encryption unit. 140A, a tag generation unit 150A, and an output unit 160.
  • FIG. 16 is a diagram showing the configuration of an authentication encryption device 10A according to the second embodiment.
  • the authentication encryption device 10A includes an input unit 100, a division unit 102A, a nonce generation unit 104, an AD processing unit 110A, an encryption unit 120A, a random number calculation unit 130A, and a random number encryption unit. 140A, a tag generation unit 150A, and an output unit 160.
  • the authentication encryption device 10A corresponds to the authentication encryption device 10 shown in FIGS.
  • a dividing unit 102A corresponds to the dividing unit 102 according to the first embodiment.
  • the AD processing section 110A corresponds to the AD processing section 110 according to the first embodiment.
  • the encryption unit 120A corresponds to the encryption unit 120 according to the first embodiment.
  • a random number calculation unit 130A corresponds to the random number calculation unit 130 according to the first embodiment.
  • a random number encryption unit 140A corresponds to the random number encryption unit 140 according to the first embodiment.
  • a tag generator 150A corresponds to the tag generator 150 according to the first embodiment.
  • the configuration of the authentication/encryption device 10A will be mainly described with respect to the portions that differ from the configuration of the authentication/encryption device 10A.
  • the division unit 102A divides each of the plaintext M and the related data A into blocks of a predetermined length, similar to the division unit 102 according to the first embodiment. Specifically, the dividing unit 102A divides the plaintext M into b-bit plaintext blocks M_1, . . . , M_m. Division unit 102A outputs plaintext blocks M_1, . . . , M_m to encryption unit 120A. Further, the dividing unit 102A divides the related data A into AD blocks A_1, . . . , A_a each having a length of b bits. The dividing unit 102A outputs the AD blocks A_1, . . . , A_a to the AD processing unit 110A.
  • the dividing unit 102A performs division so that all AD blocks A_1, . Then, when a ⁇ 2 ⁇ b ⁇ 1, the dividing unit 102A performs division so that m′ plaintext blocks are included in the area #1.
  • a ⁇ 2 ⁇ b ⁇ 1 is assumed to be satisfied.
  • Divide into each section so that it is divided in the order of At this time, assuming that the number of plaintext blocks divided into the area #1 is m', m' 2 ⁇ b-1.
  • the number of plaintext blocks included in area plaintext block M[k] other than at least M[1] and M[ ⁇ ] is (2 ⁇ b ⁇ 1).
  • the number of plaintext blocks included in the area plaintext block M[1] is also (2 ⁇ b ⁇ 1).
  • the AD processing unit 110A processes the related data A in the same manner as the AD processing unit 110 according to the first embodiment.
  • the AD processing unit 110A processes the AD blocks A_1, .
  • the AD processing section 110A processes AD blocks for each of the above-described areas.
  • the AD processing unit 110A obtains a random number Z by inputting each AD block into the TBC function to which the key K and Tweak are input.
  • the AD processing unit 110A outputs intermediate values Z_1, . Details of the processing of the AD processing unit 110A will be described later.
  • the encryption unit 120A processes the plaintext M in the same manner as the encryption unit 120 according to the first embodiment.
  • the encryption unit 120A parallelly processes the plaintext blocks M_1, .
  • the encryption unit 120A encrypts plaintext blocks (plaintext) in parallel using the TBC function for each of the areas described above. That is, the encryption unit 120A encrypts the plaintext blocks included in the area #1 in parallel using the TBC function. Then, the encryption unit 120A encrypts the plaintext blocks included in the area #2 in parallel using the TBC function. Thereafter, the encryption unit 120A encrypts plaintext blocks included in the area #k in parallel using the TBC function.
  • the encryption unit 120A encrypts the area plaintext blocks M[k] included in the area #k in parallel for each plaintext block.
  • the encryption unit 120A obtains a ciphertext block as an output value of the TBC function by inputting each plaintext block into the TBC function to which the key K and Tweak are input. That is, the encryption unit 120A generates a ciphertext block by encrypting a plurality of plaintext blocks in parallel using the TBC function for each area.
  • the encryption unit 120A also encrypts the area plaintext block M[k] included in the area #k to obtain the area ciphertext block C[k].
  • the area ciphertext block C[k] is composed of the same number of ciphertext blocks as the area plaintext block M[k].
  • the encryption unit 120A also outputs the plaintext block (the input value of the TBC function) input to the TBC function in each zone as the intermediate value Z to the random number calculation unit 130A. Details of the processing of the encryption unit 120A will be described later.
  • the Tweak input to each TBC function used in the encryption unit 120A can be different from the Tweak input to each TBC function used in the encryption unit 84. Details will be described later.
  • the number of digits of Tweaks according to Embodiment 2 is the same as in Embodiment 1.
  • the number of digits of Tweak according to the comparative example is larger. That is, in the comparative example, only one segment is processed, whereas in the second embodiment, multiple segments are processed. There is a need to.
  • the random number calculation unit 130A calculates random numbers for generating tags, similarly to the random number calculation unit 130 according to the first embodiment.
  • the random number calculation unit 130A uses the random number (intermediate value) Z generated by the AD processing unit 110A, the plaintext block output from the encryption unit 120A, and a predetermined matrix AM to calculate a value for generating a tag. calculate.
  • the matrix AM according to the second embodiment is shown in Equation 8 below.
  • the matrix AM is a matrix of size ⁇ (2 ⁇ b ⁇ 1) whose elements are predetermined values ⁇ _(i, j). ... (8)
  • the random number calculation unit 130A calculates a random number S for each zone. Random number calculator 130A performs substantially the same processing as random number calculator 130 to generate a set of random numbers S for each zone. Specifically, for each zone, the random number calculation unit 130A generates a random number (intermediate value) Z generated by the AD processing unit 110A, a plaintext block (intermediate value Z) output from the encryption unit 120A, and a predetermined A set of ⁇ random numbers S (S_1, . . . , S_ ⁇ ) is generated using the matrix AM.
  • the set of random numbers S is used to generate initial values for processing in the next section, as described below.
  • the set of random numbers S generated in the processing in the last section is used to generate the tag T.
  • the random number calculation unit 130A calculates the exclusive OR of the product of the median value Z_j and ⁇ _(i, j) for each of the ⁇ lines i (1 ⁇ i ⁇ ) in each section. Calculate S_i. Details will be described later.
  • Random number calculation unit 130A uses matrix AM to obtain intermediate values Z_1 ⁇ (k), . to generate a set of random numbers S_1 ⁇ (k), . . . , S_ ⁇ (k). That is, random number calculation section 130A generates a set of random numbers using the same matrix AM shown in Equation 8 for each area #k. ... (9)
  • Equation 10 Equation 10 below holds for i (1 ⁇ i ⁇ ).
  • the random number calculator 130A encrypts the initial value of each line of the exclusive OR of the product of Z and ⁇ by the random number encrypter 140A, which will be described later. Let the set of random numbers generated in the previous section be transformed into Details will be described later.
  • the random number calculator 130A outputs a set of random numbers S_1 ⁇ (k), . Also, the random number calculation unit 130A outputs a set of random numbers S_1 ⁇ ( ⁇ ), . The details of the processing of the random number calculator 130A will be described later.
  • Random number encryption unit 140A uses nonce N to generate a random number set S_1 ⁇ (k), . , S_ ⁇ (k) are encrypted.
  • the contents of the calculation of the random number encryption unit 140A are substantially the same as those shown in FIG. Therefore, the random number encryption unit 140A converts the set of random numbers S_1 ⁇ (k), . Encrypt using a function. Then, the random number encryption unit 140A encrypts the encryption result obtained by encrypting the set of random numbers S_1 ⁇ (k), . value (initial state). That is, the encrypted random numbers S_1 ⁇ (k), . Initial value.
  • the tag generation unit 150A uses the set of random numbers S_1 ⁇ ( ⁇ ), . to generate a tag T for authentication. Note that the method of generating the tag T is substantially the same as the method of generating the tag T in the tag generation unit 150 . Therefore, the tag generator 150A performs the calculations shown in FIG. That is, the tag generation unit 150A converts the set of random numbers S_1 ⁇ ( ⁇ ), . encrypted using The tag generation unit 150A encrypts the set of random numbers S_1 ⁇ ( ⁇ ), . get
  • FIG. 17 is a diagram for explaining the processing of the random number encryption unit 140A and the tag generation unit 150A of the authentication encryption device 10A according to the second embodiment.
  • related data is empty in FIG. 17 .
  • the authentication encryption device 10 converts plaintext blocks of plaintext M into area plaintext blocks M[1], M[2], M[2], M[1], M[2], . . . , M[ ⁇ ].
  • each regional plaintext block M[k] includes (2 ⁇ b ⁇ 1) plaintext blocks.
  • the encryption unit 120A and the random number calculation unit 130A generate an area ciphertext block C[1] and a random number set S_1 for the area #1 using the input nonce N and area plaintext block M[1]. Generate ⁇ (1), . . . , S_ ⁇ (1).
  • the random number encryption unit 140A encrypts the set of random numbers S_1 ⁇ (1), ..., S_ ⁇ (1) generated for the area #1. Then, the random number encryption unit 140 sets the encrypted random number set S — 1 ⁇ (1), . That is, the encrypted random numbers S — 1 ⁇ (1), .
  • the encryption unit 120A and the random number calculation unit 130A generate an area ciphertext block C[2] and a random number set S_1 for the area #2 using the input nonce N and area plaintext block M[2]. Generate ⁇ (2), . . . , S_ ⁇ (2). At this time, the random number calculation unit 130A uses the encryption result of S_1 ⁇ (1), . The random number encryption unit 140A encrypts the set of random numbers S_1 ⁇ (2), ..., S_ ⁇ (2) generated for the area #2. Then, the random number encryption unit 140A sets the encrypted random number set S_1 ⁇ (2), . That is, the encrypted random numbers S — 1 ⁇ (2), .
  • the encryption unit 120A and the random number calculation unit 130A use the input nonce N and the area plaintext block M[k] for each area #k to generate the area ciphertext block C[k] and Generate a set of random numbers S_1 ⁇ (k), . . . , S_ ⁇ (k).
  • the encryption unit 120A and the random number calculation unit 130A use the encryption result of S_1 ⁇ (k ⁇ 1), .
  • the random number encryption unit 140A encrypts a set of random numbers S_1 ⁇ (k), .
  • the random number encryption unit 140A converts the random number set S_1 ⁇ (k), . ).
  • the encryption unit 120A can perform processing for each zone using the calculations shown in FIGS. 19 and 20, which will be described later, as subroutines. Further, the random number calculation unit 130A can call the matrix AM shown in Equation 8 for each area, and perform processing using the calculations shown in FIGS. 18 to 20 described later as subroutines. These are the same in the decryption processing in the authentication decryption device 20A, which will be described later.
  • the tag generating unit 150A uses the set of random numbers S_1 ⁇ ( ⁇ ), . 1], . . . , T[ ⁇ ].
  • the tag T for authentication is an encryption result obtained by encrypting a set of random numbers with the TBC function that inputs Tweak including a nonce N and the number m of plaintext blocks (plaintext length). be. Therefore, the security of the set of tags T is ensured.
  • FIG. 18 to 20 are diagrams showing the outline of calculations in the authentication encryption process according to the second embodiment.
  • FIG. 18 is a diagram showing an outline of calculations of the AD processing section 110A and the random number calculation section 130A for the first section, that is, section #1.
  • FIG. 19 is a diagram showing an outline of calculations of the encryption section 120A and the random number calculation section 130A for the first section, that is, section #1.
  • FIG. 20 is a diagram showing an outline of calculations of the encryption section 120A and the random number calculation section 130A for the second section, that is, section #2.
  • the AD processing unit 110A processes AD blocks A_1, . Specifically, the AD processing unit 110A encrypts the AD block A_1 using the TBC function. As a result, an intermediate value (random number) Z — 1 ⁇ (1) is output from the TBC function as an encryption result. Similarly, AD processing unit 110A encrypts AD block A_2 with the TBC function. As a result, the TBC function outputs Z — 2 ⁇ (1), which is an intermediate value (random number), as an encryption result. Similarly, the AD processing unit 110A encrypts the AD block A_a with the TBC function. As a result, the TBC function outputs Z_â(1), which is an intermediate value (random number), as an encryption result. The AD processing unit 110A outputs the encryption result, that is, the intermediate values Z_1 ⁇ (1), .
  • the number of random numbers Z, which are output values from the TBC function is one less than the number of AD blocks.
  • AD blocks can be processed in parallel, so the number of intermediate values Z, which are output values from the TBC function, is the same as the number of AD blocks.
  • the AD processing unit 110A processes only the section #1.
  • the encryption unit 120A inputs the key K and Tweak to M_1, . . . , M_m′ of the plaintext blocks M_1, .
  • Encryption processing is performed in parallel using the TBC function that has been designed. Specifically, the encryption unit 120A encrypts the plaintext block M_1 using the TBC function. As a result, the TBC function outputs a ciphertext block C_1 as an encryption result. Similarly, the encryption unit 120A encrypts the plaintext block M_2 with the TBC function. As a result, the TBC function outputs a ciphertext block C_2 as an encryption result. Similarly, the encryption unit 120A encrypts the plaintext block M_m' using the TBC function.
  • the TBC function outputs a ciphertext block C_m' as the encryption result.
  • the encryption unit 120A obtains ciphertext blocks C_1, . . . , C_m' respectively corresponding to M_1, .
  • the encryption unit 120A converts the plaintext blocks M_1, . 1) is output to the random number calculation unit 130A.
  • the Tweaks input to the TBC functions used in the AD processing section 110A and the encryption section 120A can be set according to substantially the same rules as in the AD processing section 110 and the encryption section 120. That is, the Tweak input to the TBC function used in the AD processing unit 110A is (0 ⁇ n, i, 0, 0, 0) for the block index i (1 ⁇ i ⁇ a) of the related data A. becomes. Also, the Tweak input to the TBC function used in the encryption unit 120A is (N, a, i, 0, 0) for the block index i (1 ⁇ i ⁇ m') of the plaintext M. .
  • the Tweak input to the last TBC function used in encryption section 120A is (N, a, m', 1, 0). That is, x in (N, a, i, x, 0) is set to "1" for the Tweak input to the TBC function used at the end of the segment. By setting Tweaks in this manner, one Tweak will not match another Tweak.
  • the random number calculation unit 130A calculates the intermediate values Z_1 ⁇ (1), . (1), Z_(a+1) ⁇ (1), . . . , Z_(a+m′) ⁇ (1). That is, the random number calculation unit 130A calculates the intermediate values Z_1 ⁇ (1), . . . , Z_a ⁇ (1), Z_(a+1) ⁇ (1 ), . . . , Z_(a+m′) ⁇ (1). Thereby, the random number calculation unit 130A generates a set of random numbers S_1 ⁇ (1), ..., S_ ⁇ (1) for the area #1. The random number calculation unit 130A outputs the set of random numbers S_1 ⁇ (1), .
  • Random number encryption unit 140A receives a set of random numbers S_1 ⁇ (k), . Encrypt using the modified TBC function E K ⁇ '. Then, the obtained encryption result is input to the random number calculation unit 130A during the processing in the area #2.
  • the TBC function E K ⁇ ' is a TBC function to which a Tweak different from the Tweaks input to any of the TBC functions E K ⁇ described in FIGS. 18 to 20 is input. .
  • the Tweaks input to the TBC functions E K ⁇ ' do not include the number of AD blocks a and the number m of plaintext blocks, and are set to be different from the Tweaks input to other TBC functions E K ⁇ .
  • Tweak input to the TBC function E K ⁇ ' for encrypting S_i ⁇ (k) is assumed to describe this TBC function in the form of the TBC function E K ⁇ , (N, k, i, 0, 0, 1). That is, the last value of Tweak input to the TBC function E K ⁇ ' may be "1".
  • the Tweak input to the TBC function E K may have a final value of "0", such as (N, a, m', 0, 0, 0). Therefore, duplication of Tweaks can be avoided.
  • the encryption unit 120A encrypts (2 ⁇ b-1) M_(m'+1) pieces of plaintext blocks M_1, . ), . That is, the encryption unit 120A performs the TBC function with the key K and Tweak input for the plaintext blocks M_(m′+1), . are used to perform encryption processing in parallel. , ciphertext blocks C_(m'+1), . Obtain C_(m'+2 ⁇ b-1). Further, the encryption unit 120A converts the plaintext blocks M_(m′+1), . . . , Z_(2 ⁇ b ⁇ 1) ⁇ (2) to the random number calculation unit 130A.
  • the random number calculation unit 130A calculates intermediate values Z_1 ⁇ (2), . b-1) Process ⁇ (2). That is, random number calculation unit 130A calculates intermediate values Z_1 ⁇ (2), ..., Z_(2 ⁇ b-1) ⁇ (2) using matrix AM shown in formula 8 according to formula 9 above. process. Thereby, the random number calculation unit 130A generates a set of random numbers S_1 ⁇ (2), ..., S_ ⁇ (2) for the area #2.
  • the random number calculator 130A inputs the encryption result obtained by encrypting the random number S_î(1) in the random number encrypter 140A to each line i as an initial value. That is, the random number S_1 ⁇ (1) generated in the area #1 is encrypted by the TBC function E K ⁇ ' to which the Tweak containing the nonce N, the index "1" of the area #1 and the line index "1" is input. , corresponds to the initial value of line "1". Similarly, the random number S_ ⁇ (1) generated in area #1 is encrypted by the TBC function E K ⁇ ' input with a Tweak containing the nonce N, the index '1' of area #1, and the line index ' ⁇ '. The encrypted result obtained by converting corresponds to the initial value of the line " ⁇ ". The random number calculator 130A outputs the set of random numbers S_1 ⁇ (2), .
  • Tweaks input to each TBC function used in encryption section 120A can be set according to substantially the same rules as in encryption section 120. That is, the Tweak input to the TBC function used in the encryption unit 120A is (N, a, i , 0, 0). For zone #2, the Tweak input to the final TBC function of encryption section 120A is (N, a, m'+2 ⁇ b-1, 1, 0). That is, x in (N, a, i, x, 0) is set to "1" for the Tweak input to the TBC function used at the end of the segment. By setting Tweaks in this manner, one Tweak will not match another Tweak.
  • the number of columns of the matrix AM must not exceed 2 ⁇ b-1. Therefore, in the second embodiment, as in the first embodiment, the number of columns of the matrix AM is (2 ⁇ b ⁇ 1) as shown in Equation 8.
  • each block is encrypted in parallel. Therefore, in the second embodiment, as shown in FIG. 18, in order to process a pieces of AD blocks, a matrix AM having a number of columns should be prepared.
  • a matrix AM having m'' columns is prepared in the second embodiment, as shown in FIGS. 19 and 20, in order to process m'' plaintext blocks. That is, in Embodiment 2, the number of blocks to be processed and the number of columns of the corresponding matrix AM match.
  • the encryption unit 120A repeatedly calls the TBC function to encrypt the plaintext block each time a certain area is processed.
  • the random number calculation unit 130A uses the encrypted result obtained by encrypting the random number obtained for the previous area as the initial value of each line each time it processes a certain area, and the same matrix shown in Equation 8 Repeatedly call AM (ie, the same element ⁇ ) to generate a set of random numbers.
  • the Tweak input to each TBC function used in the encryption unit 120A is set according to the rules described above using FIG. That is, in each area #k, the Tweak input to the 1st to (2 ⁇ b-2)th TBC functions is (N, a, i, 0, 0) for block index i of plaintext M. becomes. Also, in each section #k, the Tweak input to the (2 ⁇ b ⁇ 1)th TBC function is (N, a, i, 1, 0) with respect to block index i of plaintext M. FIG. Note that here, since i is the index of the plaintext block number m, the Tweak input to each TBC function in a certain area #k is different from the Tweak input to each TBC function in another area. .
  • the intermediate value Z_(j) ⁇ ( ⁇ ) for the less than 2 ⁇ b ⁇ 1 is zero.
  • the tag generation unit 150A converts the set of random numbers S_1 ⁇ ( ⁇ ), .
  • a tag T for authentication is generated using Tweak including a and the number of plaintext blocks m.
  • the Tweak that is used only once is input to the TBC function used in tag generator 150A.
  • the TBC function E K ⁇ ' is used in the random number encryption unit 140A, whereas the TBC function E K ⁇ is used in the tag generation unit 150A. Therefore, the Tweak input to the TBC function E K used in the tag generation unit 150A is different from the Tweak input to the TBC function used in the random number encryption unit 140A. Also, unlike the Tweak input to the TBC function E K used in the AD processing unit 110A and the encryption unit 120A, the Tweak input to the TBC function E K used in the tag generation unit 150A is the area contains the number ⁇ and the line index i.
  • the Tweak input to the TBC function E K used in the tag generation unit 150A is different from the Tweak input to the TBC function used in the AD processing unit 110A and the encryption unit 120A. Therefore, duplication of Tweaks can be avoided. These are the same in the decryption processing in the authentication decryption device 20A, which will be described later.
  • FIG. 21 is a diagram showing the configuration of an authentication/decryption device 20A according to the second embodiment.
  • the authentication/decryption device 20A includes an input unit 200, a division unit 202A, an AD processing unit 210A, a decryption unit 220A, a random number calculation unit 230A, a random number encryption unit 240A, and a tag generation unit. 250A and a tag inspection unit 260.
  • FIG. 21 is a diagram showing the configuration of an authentication/decryption device 20A according to the second embodiment.
  • the authentication/decryption device 20A includes an input unit 200, a division unit 202A, an AD processing unit 210A, a decryption unit 220A, a random number calculation unit 230A, a random number encryption unit 240A, and a tag generation unit. 250A and a tag inspection unit 260.
  • the authentication/decryption device 20A corresponds to the authentication/decryption device 20 shown in FIGS.
  • a dividing unit 202A corresponds to the dividing unit 202 according to the first embodiment.
  • the AD processing section 210A corresponds to the AD processing section 210 according to the first embodiment.
  • a decoding unit 220A corresponds to the decoding unit 220 according to the first embodiment.
  • a random number calculation unit 230A corresponds to the random number calculation unit 230 according to the first embodiment.
  • a random number encryption unit 240A corresponds to the random number encryption unit 240 according to the first embodiment.
  • a tag generator 250A corresponds to the tag generator 250 according to the first embodiment. It should be noted that the configuration of the authentication/decryption device 20A will be described below mainly with respect to the portions that differ from the configuration of the authentication/decryption device 20A.
  • the division unit 202A divides each of the ciphertext C and the related data A into blocks of a predetermined length, similar to the division unit 102A. Specifically, the dividing unit 202A divides the ciphertext C into ciphertext blocks C_1, . . . , C_m of b bits each. Further, the dividing unit 202A divides the related data A into AD blocks A_1, . . . , A_a each having a length of b bits. The dividing unit 202A outputs the AD blocks A_1, . . . , A_a to the AD processing unit 210A.
  • the bit string of the ciphertext block divided into the area #k is "area ciphertext block C[k]"
  • the number of ciphertext blocks included in area ciphertext block C[k] other than at least C[1] and C[ ⁇ ] is (2 ⁇ b ⁇ 1).
  • the number of ciphertext blocks included in the area ciphertext block C[1] is also (2 ⁇ b ⁇ 1).
  • the AD processing section 210A performs substantially the same processing as the AD processing section 110A described above. That is, the AD processing unit 210A processes the AD blocks A_1, . . . , A_a using the TBC function to which the key K and Tweak are input. At this time, the AD processing section 210A processes AD blocks for each of the above-described areas. The AD processing unit 210A outputs intermediate values Z_1, . Note that the Tweak input to each TBC function used in AD processing section 210A may be set substantially the same as the Tweak input to each TBC function used in AD processing section 110A described above.
  • the decryption unit 220A performs decryption processing corresponding to the encryption processing in the encryption unit 120A described above.
  • the decryption unit 220A parallelly processes the ciphertext blocks C_1, . . . , C_m using the TBC function to which the key K and Tweak are input.
  • the decryption unit 220A decrypts the ciphertext blocks (ciphertext) in parallel for each of the areas described above. That is, the decryption unit 220A performs decryption processing corresponding to the above-described encryption processing in the encryption unit 120A for the ciphertext blocks included in the zone #1.
  • the decryption unit 220A performs decryption processing corresponding to the above-described encryption processing in the encryption unit 120A for the ciphertext blocks included in the zone #2. Thereafter, the decryption unit 220A performs decryption processing corresponding to the above-described encryption processing in the encryption unit 120A for the ciphertext blocks included in the zone #k. That is, the decryption unit 220A decrypts the area ciphertext block C[k] included in the area #k.
  • the decryption unit 220A obtains a plaintext block as an output value of the TBC function by inputting each ciphertext block into the TBC function (decryption function) to which the key K and Tweak are input.
  • This decryption function is configured to perform decryption processing corresponding to the encryption processing performed by the TBC functions E K ⁇ used in the encryption unit 120A described above.
  • Decryption section 220A also decrypts area ciphertext block C[k] included in area #k to obtain area plaintext block M[k].
  • the decryption unit 220A also outputs the plaintext block (the output value of the TBC function) output from the TBC function (decryption function) in each area as the intermediate value Z to the random number calculation unit 230A.
  • the TBC function which is the encryption function, is replaced with the decryption function
  • the ciphertext block is input to the decryption function (TBC function)
  • the plaintext block Corresponds to what is replaced so that is output.
  • TBC function decryption function
  • the Tweak input to each TBC function used in decryption section 220A may be set substantially the same as the Tweak input to each TBC function used in encryption section 120A described above.
  • the random number calculation unit 230A uses the random number Z generated by the AD processing unit 210A and the decoding unit 220A and the predetermined matrix AM shown in Equation 8 to generate tags. Compute a random number for At this time, the random number calculator 230A calculates a random number for each zone. Specifically, the random number calculation unit 230A uses the intermediate value Z generated by the AD processing unit 210A and the decoding unit 220A and a predetermined matrix AM for each area to generate a set of ⁇ random numbers S (S_1 , . . . , S_ ⁇ ). Here, as with the random number calculator 130A described above, the set of random numbers S is used to generate initial values for processing in the next section.
  • the set of random numbers S generated in the processing in the last section is used to generate the tag T * for inspection.
  • the random number calculation unit 230A calculates the multiplied value of the intermediate value Z_j and ⁇ _(i, j) for each of the ⁇ lines i (1 ⁇ i ⁇ ) in each section.
  • S_i is calculated by performing exclusive OR. , Z_(2 ⁇ b ⁇ 1) ⁇ (k) using the matrix AM in each zone #k, as shown in Equation 9 above. ) to generate a set of random numbers S_1 ⁇ (k), . . . , S_ ⁇ (k).
  • the random number calculator 230A encrypts the initial value of each line of the exclusive OR of the product of Z and ⁇ by the random number encrypter 240A, which will be described later. Let the set of random numbers generated in the previous section be transformed into The random number calculator 230A outputs a set of random numbers S — 1 ⁇ (k), . Random number calculation unit 230A also outputs a set of random numbers S_1 ⁇ ( ⁇ ), .
  • Random number encryption unit 240A uses nonce N to generate a random number set S_1 ⁇ (k), . . . , S_ ⁇ (k) are encrypted.
  • the contents of the calculation of the random number encryption unit 240A are substantially the same as those shown in FIG. Therefore, the random number encryption unit 240A converts the set of random numbers S_1 ⁇ (k), . Encrypt using a function. Then, the random number encryption unit 240A encrypts the encryption result obtained by encrypting the set of random numbers S_1 ⁇ (k), . value (initial state). That is, the encrypted random numbers S_1 ⁇ (k), . Initial value.
  • the authenticated cryptosystem 1 according to the second embodiment can have substantially the same effect as the authenticated cryptosystem 1 according to the first embodiment described above. That is, as described above, the authentication encryption device 10A according to the second embodiment has a size (2 ⁇ b-1) that allows processing of the input block (AD block and plaintext block) by the method according to the comparative example. subdivide into areas containing blocks.
  • the authentication encryption device 10A according to the second embodiment is configured to appropriately derive the tag T from a set of random numbers S generated in each zone. As a result, the authenticated cryptographic system 1 according to the second embodiment can process (2 ⁇ b ⁇ 1) or more input blocks, which was impossible in terms of security with the method according to the comparative example. .
  • the authenticated encryption system 1 there is no restriction on the number of blocks that can be processed, so it is possible to transmit the ciphertext at once regardless of the size of the plaintext. In other words, even in the second embodiment, it is sufficient to transmit only a single (N, A, C, T). Therefore, it is possible to suppress the communication load.
  • Embodiment 3 shows the outline of the configuration according to the embodiment described above.
  • FIG. 22 is a diagram showing the configuration of the authentication encryption device 30 according to the third embodiment.
  • the authentication encryption device 30 according to the third embodiment corresponds to the authentication encryption device 10 according to the first embodiment and the authentication encryption device 10A according to the second embodiment.
  • the authentication encryption device 30 according to the third embodiment has an encryption unit 320 , a random number calculation unit 330 , a random number encryption unit 340 and a tag generation unit 350 .
  • the encryption unit 320 has a function as encryption means.
  • the random number calculator 330 functions as a random number calculator (first random number calculator).
  • the random number encryption unit 340 has a function as random number encryption means (first random number encryption means).
  • the tag generation unit 350 has a function as tag generation means (first tag generation means).
  • the encryption unit 320 can be realized by functions substantially similar to those of the encryption unit 120 shown in FIG. 3 or the encryption unit 120A shown in FIG.
  • the encryption unit 320 uses a Tweakable block cipher (TBC function) using a nonce as a Tweak to divide the plaintext into plaintext blocks of a predetermined length (for example, b bits), and divides the plaintext into blocks of a predetermined length. Encrypt.
  • TBC function Tweakable block cipher
  • the "predetermined length area” includes (2 ⁇ b-2) blocks in the first embodiment when the bit length of the plaintext block is b bits. corresponds to an area that can be obtained, and corresponds to an area that can contain (2 ⁇ b ⁇ 1) blocks in the second embodiment.
  • a "predetermined length area” is not limited to areas that may contain these number of blocks. Note that, as mentioned above, the last zone need not have (2 ⁇ b ⁇ 2) (or (2 ⁇ b ⁇ 1)) blocks. Also, when related data is input, (2 ⁇ b ⁇ 2) (or (2 ⁇ b ⁇ 1)) plaintext blocks may not be included, at least in the first section. The same applies to the authentication/decryption device 40 according to the third embodiment, which will be described later.
  • the random number calculation unit 330 can be realized by functions substantially similar to those of the random number calculation unit 130 shown in FIG. 3 or the random number calculation unit 130A shown in FIG. In encryption, the random number calculator 330 uses first data derived from at least one of the input and output of a function related to the Tweakable block cipher in each area, and a predetermined matrix having predetermined values as elements, Generate a set of random numbers for each zone.
  • the "function related to the Tweakable block cipher” corresponds to the TBC function in the embodiment described above.
  • first data corresponds to the random number Z output from the TBC function in the first embodiment.
  • first data corresponds to a plaintext block (intermediate value Z) input to the TBC function.
  • the first data is not limited to data input to the TBC function or data output from the TBC function. The first data may be derived using both the input data and the output data of the TBC function.
  • the "function related to the Tweakable block cipher” is not limited to the TBC function in the embodiment described above. The same applies to the authentication/decryption device 40 according to the third embodiment, which will be described later.
  • the "predetermined matrix” corresponds to the matrix AM described above, but is not limited to this.
  • the “predetermined matrix” corresponds to the matrix AM shown in Equation (5).
  • the “predetermined matrix” corresponds to the matrix AM shown in Equation (8).
  • the “predetermined value” corresponds to ⁇ , which is an element in the matrix AM described above, but is not limited to this.
  • the random number generated by the random number calculation unit 330 corresponds to the random number S described above, but is not limited thereto. The same applies to the authentication/decryption device 40 according to the third embodiment, which will be described later.
  • the random number encryption unit 340 can be realized by substantially the same functions as those of the random number encryption unit 140 shown in FIG. 3 or the random number encryption unit 140A shown in FIG.
  • the random number encryption unit 340 encrypts a set of random numbers generated in each zone using Tweakable block cipher, and uses each encrypted random number as an initial value for processing in the next zone.
  • the tag generation unit 350 can be realized by substantially the same functions as those of the tag generation unit 150 shown in FIG. 3 or the tag generation unit 150A shown in FIG.
  • the tag generator 350 encrypts the set of random numbers generated in the last section using a Tweakable block cipher to generate a tag for authentication.
  • the generated tag corresponds to the tag T described above.
  • the random number calculator 330 may generate a set of random numbers using the same predetermined matrix for each area. Further, as in the above-described embodiment, the random number calculation unit 330 may generate a set of random numbers composed of random numbers corresponding to the value ⁇ indicating the predetermined security level for each of the ⁇ areas. At this time, the random number encryption unit 340 encrypts each of the generated ⁇ random numbers using the Tweakable block cipher for each of the first to ( ⁇ 1)th areas, and encrypts the encrypted ⁇ random numbers. , may be used as initial values for processing in the next section.
  • the tag generation unit 350 may encrypt each of the ⁇ random numbers generated in the ⁇ -th area using the Tweakable block cipher to generate a set of ⁇ tags. The same applies to the authentication/decryption device 40 according to the third embodiment, which will be described later.
  • FIG. 23 is a diagram showing the configuration of the authentication/decryption device 40 according to the third embodiment.
  • An authentication-decryption device 40 according to the third embodiment corresponds to the authentication-decryption device 20 according to the first embodiment and the authentication-decryption device 20A according to the second embodiment.
  • the authentication/decryption device 40 according to the third embodiment has a decryption section 420 , a random number calculation section 430 , a random number encryption section 440 , a tag generation section 450 and a tag inspection section 460 .
  • the decoding unit 420 has a function as decoding means.
  • the random number calculator 430 functions as a random number calculator (second random number calculator).
  • the random number encryption unit 440 has a function as random number calculation means (second random number encryption means).
  • the tag generation unit 450 has a function as tag generation means (second tag generation means).
  • the tag inspection unit 460 has a function as tag inspection means.
  • the decoding unit 420 can be realized by functions substantially similar to those of the decoding unit 220 shown in FIG. 10 or the decoding unit 220A shown in FIG.
  • the decryption unit 420 uses a Tweakable block cipher (TBC function) using a nonce as a tweak, and divides the ciphertext into ciphertext blocks of a predetermined length (for example, b bits) for each section of a predetermined length. decrypt to
  • the random number calculation unit 430 can be realized by functions substantially similar to those of the random number calculation unit 230 shown in FIG. 10 or the random number calculation unit 230A shown in FIG. In decryption, the random number calculation unit 430 uses the first data derived from at least one of the input and output of the function related to the Tweakable block cipher in each area and a predetermined matrix having predetermined values as elements to determine the area Generate a set of random numbers for each
  • the random number encryption unit 440 can be realized by substantially the same functions as those of the random number encryption unit 240 shown in FIG. 10 or the random number encryption unit 240A shown in FIG. Random number encryption unit 440 encrypts the set of random numbers generated in each zone using Tweakable block cipher, and uses each encrypted random number as an initial value for processing in the next zone.
  • the tag generator 450 can be realized by substantially the same function as the tag generator 250 shown in FIG. 10 or the tag generator 250A shown in FIG.
  • the tag generator 450 encrypts the set of random numbers generated in the final zone using the Tweakable block cipher to generate tags for inspection.
  • the generated tag corresponds to the tag T * described above.
  • the tag inspection unit 460 can be implemented with substantially the same functions as those of the tag inspection unit 260 shown in FIG. 10 or FIG.
  • the tag inspection unit 460 inspects whether or not there is falsification by comparing the inspection tag with the input authentication tag, and controls the output of the inspection result.
  • the authentication encryption device 30 and the authentication decryption device 40 can increase the number of plaintext blocks that can be processed in one authentication encryption while achieving high security.
  • the authenticated encryption system including the authenticated encryption device 30 and the authenticated decryption device 40 can also increase the number of plaintext blocks that can be processed in one authenticated encryption while realizing high security.
  • the authentication encryption method and the program for executing the authentication encryption method executed by the authentication encryption device 30 can increase the number of plaintext blocks that can be processed in one authentication encryption while realizing high security. It becomes possible. Also, delays in encryption and decryption can be suppressed.
  • the authentication-decryption method and the program for executing the authentication-decryption method executed by the authentication-decryption device 40 can increase the number of plaintext blocks that can be processed in one authentication encryption while realizing high security. .
  • the authentication encryption device 90 according to the second comparative example does not have the random number encryption unit 140, which is a component of the authentication encryption device 10 according to the first embodiment, and instead of the tag generation unit 150, the tag generation unit 940 have.
  • the initial value for the processing in section #(k+1) is the encryption result obtained by encrypting the set of random numbers generated in the processing for section #k.
  • the initial value is reset for each zone. That is, the initial value is 0 ⁇ b for each area.
  • encryption section 120 encrypts plaintext blocks for each zone using the reset initial values in substantially the same manner as in the first embodiment.
  • random number calculation unit 130 uses the reset initial values for each section to generate random number set S in substantially the same manner as in the first embodiment described above. .
  • the tag generation unit 950 uses a set of random numbers S generated by the random number calculation unit 130 for each area and a nonce N to generate a message authentication code using a Tweakable block cipher. Generate a tag T for authentication.
  • the tag generator 950 uses a nonce-based MAC (Message Authentication Code) to integrate random number sets and generate a tag T.
  • a nonce-based MAC is a MAC input that includes a nonce.
  • the nonce N is input from the nonce generation unit 104 to the tag generation unit 950 .
  • a set of random numbers is input from the random number calculation unit 130 to the tag generation unit 950 .
  • the random number calculation unit 130 performs the above-described processing for each zone, whereby the tag generation unit 950 obtains a set of random numbers as shown by the matrix of Equation 11 below.
  • Equation 11 represents a random number matrix having a size of ⁇ and having the random number S as an element.
  • the tag generation unit 950 processes the random numbers S_î(1), . i].
  • the tag generator 950 generates tags T[1], . . . , T[ ⁇ ] using ⁇ MACs. That is, with 1 ⁇ i ⁇ , the tag generation unit 950 generates the tag T[i] using the i-th MAC_i.
  • FIG. 25 is a diagram showing an outline of calculation of the tag generation unit 950 according to the second comparative example.
  • FIG. 25 shows the tag derivation function used in the tag generator 950.
  • FIG. 25 shows the nonce base MAC used in the tag generator 950.
  • FIG. 25 the tag generator 950 processes the random numbers S_i ⁇ (1), . ] is shown.
  • the tag generator 950 encrypts the constant fix with the TBC function E K to which the key K, nonce N and Tweak are input.
  • the tag generation unit 950 inputs (N, a, m, i, 1) as Tweak for the index i (1 ⁇ i ⁇ ) of each row (each line) of Equation 11.
  • the encrypted result obtained by encrypting the constant fix is generated using the TBC function to which the Tweak including the nonce is input, and can be said to be a random number derived from the nonce.
  • the tag generator 950 encrypts the random numbers S_i ⁇ (1), ..., S_i ⁇ ( ⁇ ) with the TBC function E K ⁇ '.
  • the TBC function E K ⁇ ' is a TBC function to which a Tweak different from the Tweak input to any TBC function E K ⁇ is input. Therefore, duplication of Tweaks can be avoided.
  • the tag generation unit 950 generates the encryption result obtained by encrypting the constant fix using the TBC function E K ⁇ and the random numbers S_i ⁇ ( 1 ), ..., S_i ⁇ ( The exclusive OR (sum) of the encryption result obtained by encrypting ⁇ ) is generated as the tag T[i].
  • the tag generator 950 generates the tag T using all the random numbers S generated in each section.
  • all elements of the random number matrix (equation 11) must be held in memory. Therefore, a storage area is required to store sets of random numbers S generated for all areas.
  • the tag generation unit 950 first generates a random number derived from a nonce and uses it as a temporary tag. Then, when the random number S_i ⁇ (1) is generated for the first area, the tag generation unit 950 encrypts the random number S_i ⁇ (1) with the TBC function, and XORs the random number S_i ⁇ (1) with the temporary tag. is calculated and the temporary tag is updated. The tag generation unit 950 generates the tag T by repeating this process each time the random number S is generated for each area. By performing such processing, it becomes unnecessary to hold all the elements of the random number matrix in memory. However, even in this case, memory is required to hold the temporary tags.
  • the method according to this embodiment can save storage capacity. Specifically, it is possible to increase the number of plaintext blocks that can be processed in one authentication encryption while realizing high security with a storage capacity substantially equivalent to the technology of PFB ⁇ according to Non-Patent Document 1 described above. .
  • the device (authentication encryption device and authentication decryption device) according to each embodiment may be physically or functionally realized using at least two computing devices.
  • the device according to each embodiment may be implemented as a dedicated device, or may be implemented as a general-purpose information processing device.
  • FIG. 26 is a block diagram schematically showing a hardware configuration example of a computing device capable of realizing the device and system according to each embodiment.
  • the calculation processing device 1000 has a CPU 1001, a volatile storage device 1002, a disk 1003, a nonvolatile recording medium 1004, and a communication IF 1007 (IF: Interface). Therefore, it can be said that the device according to each embodiment has a CPU 1001 , a volatile storage device 1002 , a disk 1003 , a nonvolatile recording medium 1004 and a communication IF 1007 .
  • Computing device 1000 may be connectable to input device 1005 and output device 1006 .
  • Computing device 1000 may include input device 1005 and output device 1006 . Further, the computational processing device 1000 can transmit and receive information to and from other computational processing devices and communication devices via the communication IF 1007 .
  • the non-volatile recording medium 1004 is a computer-readable, for example, Compact Disc or Digital Versatile Disc. Also, the non-volatile recording medium 1004 may be a USB (Universal Serial Bus) memory, a Solid State Drive, or the like. The non-volatile recording medium 1004 retains such programs without supplying power, making it portable. Note that the nonvolatile recording medium 1004 is not limited to the medium described above. Also, such a program may be supplied via the communication IF 1007 and communication network instead of the non-volatile recording medium 1004 .
  • the volatile storage device 1002 is computer readable and can temporarily store data.
  • the volatile memory device 1002 is a memory such as DRAM (dynamic random access memory), SRAM (static random access memory), or the like.
  • the CPU 1001 copies a software program (computer program: hereinafter simply referred to as "program") stored in the disk 1003 to the volatile storage device 1002 when executing it, and executes arithmetic processing.
  • the CPU 1001 reads data necessary for program execution from the volatile storage device 1002 . If display is required, the CPU 1001 displays the output result on the output device 1006 .
  • the CPU 1001 acquires the program from the input device 1005 .
  • the CPU 1001 interprets and executes a program corresponding to the function (processing) of each component shown in FIGS. 3, 10, 16, and 21-23.
  • the CPU 1001 executes the processing described in each of the above embodiments. In other words, the functions of the components shown in FIGS. can be realized.
  • each embodiment can be regarded as being achievable by the above-described program. Furthermore, it can be considered that each of the above-described embodiments can also be realized by a computer-readable non-volatile recording medium in which the above-described program is recorded.
  • the process of S108 may be executed before the process of S104 or S106. Furthermore, the process of S108 can be executed in parallel with the processes of S104 and S106. This also applies to the flow chart of FIG.
  • the division of the related data A and the plaintext M is performed by the division unit 102, but the configuration is not limited to this.
  • the division of the related data A may be performed by the AD processing unit 110 .
  • the division of the plaintext M may be performed by the encryption unit 120 .
  • the AD processing unit 110 may also divide the AD blocks into respective areas.
  • the encryption unit 120 may also divide the plaintext block into sections. In these cases, the dividing unit 102 may be omitted.
  • blocks are divided into sections, but the configuration is not limited to this.
  • the number of blocks included in each area ((2 ⁇ b-1) in the first embodiment, (2 ⁇ b-1) in the second embodiment) blocks are divided and encrypted ( or decryption) and random number generation.
  • the blocks may be divided for the second section, and the encryption (or decryption) and random number generation processing may be performed. The same applies to subsequent areas.
  • the program includes instructions (or software code) that, when read into a computer, cause the computer to perform one or more of the functions described in the embodiments.
  • the program may be stored in a non-transitory computer-readable medium or tangible storage medium.
  • computer readable media or tangible storage media may include random-access memory (RAM), read-only memory (ROM), flash memory, solid-state drives (SSD) or other memory technology, CDs - ROM, digital versatile disk (DVD), Blu-ray disc or other optical disc storage, magnetic cassette, magnetic tape, magnetic disc storage or other magnetic storage device.
  • the program may be transmitted on a transitory computer-readable medium or communication medium.
  • transitory computer readable media or communication media include electrical, optical, acoustic, or other forms of propagated signals.
  • a random number a random number calculation means for generating a set of random number encryption means for encrypting a set of random numbers generated in each zone using a Tweakable block cipher and using each encrypted random number as an initial value for processing in the next zone;
  • a tag generation means for encrypting the set of random numbers generated in the final zone using a Tweakable block cipher to generate a tag for authentication;
  • An authenticated cryptographic device having a (Appendix 2) The authentication encryption device according to appendix 1, wherein the random number calculation means generates the set of random numbers using the same predetermined matrix for each area.
  • the random number calculation means generates a set of random numbers consisting of a number of random numbers corresponding to a value ⁇ indicating a predetermined security level for each of the ⁇ areas;
  • the random number encryption means encrypts each of the generated ⁇ random numbers for each of the first to ( ⁇ 1)th areas using a Tweakable block cipher, and encrypts each of the encrypted ⁇ random numbers Let be the initial value for processing in the next section, and
  • the tag generation means encrypts each of the ⁇ random numbers generated in the ⁇ -th area using a Tweakable block cipher to generate a set of ⁇ tags. 3.
  • the authentication encryption device according to appendix 1 or 2.
  • the encryption means performs, for each area, the exclusive OR of the plaintext block and the encryption result obtained by encrypting the plaintext block preceding the plaintext block using a function related to the Tweakable block cipher, generate a ciphertext block,
  • the random number calculation means generates the random number by performing an exclusive OR of multiplication values of the encryption result corresponding to the first data and the elements of the predetermined matrix.
  • the authentication encryption device according to any one of appendices 1 to 3.
  • the encryption means generates a ciphertext block by encrypting a plurality of the plaintext blocks in parallel using a function related to a Tweakable block cipher for each of the zones;
  • the random number calculation means generates the random number by performing an exclusive OR of multiplied values of the plaintext block corresponding to the first data and the elements of the predetermined matrix.
  • the authentication encryption device according to any one of appendices 1 to 3.
  • (Appendix 6) decryption means for decrypting a ciphertext divided into ciphertext blocks of a predetermined length for each section of a predetermined length using a tweakable block cipher using a nonce as a tweak;
  • a random number a random number calculation means for generating a set; random number encryption means for encrypting a set of random numbers generated in each zone using a Tweakable block cipher and using each encrypted random number as an initial value for processing in the next zone;
  • a tag generation means for encrypting the set of random numbers generated in the final zone using a Tweakable block cipher to generate a tag for inspection; tag inspection means for inspecting the presence or absence of tampering by comparing the inspection tag with the input authentication tag, and performing control for outputting inspection results; authentication decryption device.
  • the authentication/decryption device according to appendix 6, wherein the random number calculation means generates the set of random numbers using the same predetermined matrix for each area.
  • the random number calculation means generates a set of random numbers consisting of a number of random numbers corresponding to a value ⁇ indicating a predetermined security level for each of the ⁇ areas;
  • the random number encryption means encrypts each of the generated ⁇ random numbers for each of the first to ( ⁇ 1)th areas using a Tweakable block cipher, and encrypts each of the encrypted ⁇ random numbers Let be the initial value for processing in the next section, and
  • the tag generation means encrypts each of the ⁇ random numbers generated in the ⁇ -th area using a Tweakable block cipher to generate a set of ⁇ tags.
  • the authentication/decryption device according to appendix 6 or 7.
  • the decryption means encrypts a plaintext block obtained by using the ciphertext block and a ciphertext block preceding the ciphertext block for each of the zones, using a function related to Tweakable block cipher. Generate a plaintext block by exclusive ORing with the transformation result, The random number calculation means generates the random number by performing an exclusive OR of multiplication values of the encryption result corresponding to the first data and the elements of the predetermined matrix.
  • the authentication/decryption device according to any one of Appendices 6 to 8.
  • the decryption means generates a plaintext block by decrypting a plurality of the ciphertext blocks in parallel using a function related to a Tweakable block cipher for each of the zones,
  • the random number calculation means generates the random number by performing an exclusive OR of multiplied values of the plaintext block corresponding to the first data and the elements of the predetermined matrix.
  • the encryption using data derived from at least one of the input and output of a function related to the Tweakable block cipher in each area and a predetermined matrix having predetermined values as elements, a set of random numbers is generated for each area a first random number calculation means for generating; a first random number encryption means for encrypting a set of random numbers generated in each zone using a Tweakable block cipher and using each encrypted random number as an initial value for processing in the next zone; a first tag generation means for generating a tag for authentication by encrypting the set of random numbers generated in the final zone using a Tweakable block cipher; has The authentication decrypti
  • a second random number calculation means for second random number encryption means for encrypting a set of random numbers generated in each zone using a Tweakable block cipher and using each encrypted random number as an initial value for processing in the next zone; a second tag generation means for encrypting the set of random numbers generated in the final zone using a Tweakable block cipher to generate a tag for inspection; tag inspection means for inspecting the presence or absence of falsification by comparing the inspection tag with the input authentication tag, and performing control for outputting inspection results; having authenticated cryptosystem.
  • Authentication decryption method (Appendix 14) encrypting the plaintext divided into plaintext blocks of a predetermined length for each section of a predetermined length using a Tweakable block cipher using a nonce as a tweak; In the encryption, a random number generating a set of encrypting a set of random numbers generated in each zone using a Tweakable block cipher, and using each encrypted random number as an initial value for processing in the next zone; encrypting the set of random numbers generated in the final zone using a Tweakable block cipher to generate a tag for authentication;
  • a non-transitory computer-readable medium that stores a program that causes a computer to execute (Appendix 15) a step of decrypting a ciphertext divided into ciphertext blocks of a predetermined length for each section of a predetermined length using a Tweakable block cipher using a nonce as a tweak; In the decryption, a random number generating a set
  • authentication encryption system 10 authentication encryption device 20 authentication decryption device 30 authentication encryption device 40 authentication decryption device 100 input unit 102 division unit 104 nonce generation unit 110 AD processing unit 120 encryption unit 130 random number calculation unit 140 random number encryption unit 150 Tag generation unit 160 Output unit 200 Input unit 202 Division unit 210 AD processing unit 220 Decryption unit 230 Random number calculation unit 240 Random number encryption unit 250 Tag generation unit 260 Tag inspection unit 320 Encryption unit 330 Random number calculation unit 340 Random number encryption unit 350 Tag generation unit 420 Decryption unit 430 Random number calculation unit 440 Random number encryption unit 450 Tag generation unit 460 Tag inspection unit

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

暗号化部（３２０）は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する。乱数計算部（３３０）は、暗号化において、各区域におけるＴｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する。乱数暗号化部（３４０）は、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化する。暗号化された乱数それぞれは次の区域における処理の初期値となる。タグ生成部（３５０）は、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する。

Description

認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
　本発明は、認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体に関する。
　事前に共有された秘密鍵を用いて、平文メッセージに対して暗号化と改ざん検知用の認証タグ計算とを同時に適用する認証暗号（Authenticated Encryption；ＡＥ）という技術が知られている。通信路に認証暗号ＡＥを適用することにより、盗聴に対する内容の秘匿と、不正な改ざんに対する検知とが可能となり、結果として通信内容に対する強力な保護が実現される。認証暗号技術としては、例えば、非特許文献１に開示された技術が知られている。ｂビット入出力（平文ブロックの長さがｂビット）のプリミティブ（暗号部品）を用いる場合、一般的に、安全性は最大でｂビットであるが、非特許文献１にかかるアルゴリズムＰＦＢωでは、ｂビットよりも高いωｂビットの安全性（セキュリティレベル）を実現可能である。
Yusuke Naito, Yu Sasaki, and Takeshi Sugawara、"Lightweight Authenticated Encryption Mode Suitable for Threshold Implementation"、IACR Cryptology ePrint Archive: Report 2020/542、https://eprint.iacr.org/2020/542.pdf
　非特許文献１にかかる技術では、安全性上の理由により、一度の認証暗号において処理できる平文ブロックの数に制限がある。したがって、非特許文献１にかかる技術では、安全性を高めることはできるものの、処理できる平文ブロックの数の制限により、長い平文を一度に暗号化することが困難である。
　本開示の目的は、このような課題を解決するためになされたものであり、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能な、認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体を提供することにある。
　本開示にかかる認証暗号化装置は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する暗号化手段と、前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する乱数計算手段と、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする乱数暗号化手段と、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成するタグ生成手段と、を有する。
　また、本開示にかかる認証復号装置は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する復号手段と、前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する乱数計算手段と、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする乱数暗号化手段と、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成するタグ生成手段と、前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うタグ検査手段と、を有する。
　また、本開示にかかる認証暗号システムは、認証暗号化装置と、前記認証暗号化装置との間で通信を行う認証復号装置と、を有し、前記認証暗号化装置は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する暗号化手段と、前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出されるデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する第１の乱数計算手段と、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする第１の乱数暗号化手段と、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する第１のタグ生成手段と、を有し、前記認証復号装置は、前記ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する復号手段と、前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出されるデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する第２の乱数計算手段と、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする第２の乱数暗号化手段と、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成する第２のタグ生成手段と、前記検査用のタグと、入力された前記認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うタグ検査手段と、を有する。
　また、本開示にかかる認証暗号化方法は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化し、前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成し、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とし、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する。
　また、本開示にかかる認証復号方法は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号し、前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成し、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とし、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成し、前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行う。
　また、本開示にかかるプログラムは、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化するステップと、前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成するステップと、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とするステップと、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成するステップと、をコンピュータに実行させる。
　また、本開示にかかるプログラムは、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号するステップと、前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成するステップと、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とするステップと、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成するステップと、前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うステップと、をコンピュータに実行させる。
　本開示によれば、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能な、認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体を提供できる。
比較例にかかる認証暗号化装置の構成を示す図である。 実施の形態１にかかる認証暗号システムの構成を示す図である。 実施の形態１にかかる認証暗号化装置の構成を示す図である。 実施の形態１にかかる認証暗号化装置の乱数暗号化部及びタグ生成部の処理を説明するための図である。 実施の形態１にかかる認証暗号処理における演算の概略を示す図である。 実施の形態１にかかる認証暗号処理における演算の概略を示す図である。 実施の形態１にかかる認証暗号処理における演算の概略を示す図である。 実施の形態１にかかる認証暗号処理における演算の概略を示す図である。 実施の形態１にかかる認証暗号処理における演算の概略を示す図である。 実施の形態１にかかる認証復号装置の構成を示す図である。 実施の形態１にかかる認証復号装置の乱数暗号化部及びタグ生成部の処理を説明するための図である。 実施の形態１にかかる認証復号処理における演算の概略を示す図である。 実施の形態１にかかる認証復号処理における演算の概略を示す図である。 実施の形態１にかかる認証暗号化装置で実行される認証暗号化方法を示すフローチャートである。 実施の形態１にかかる認証復号装置で実行される認証復号方法を示すフローチャートである。 実施の形態２にかかる認証暗号化装置の構成を示す図である。 実施の形態２にかかる認証暗号化装置の乱数暗号化部及びタグ生成部の処理を説明するための図である。 実施の形態２にかかる認証暗号処理における演算の概略を示す図である。 実施の形態２にかかる認証暗号処理における演算の概略を示す図である。 実施の形態２にかかる認証暗号処理における演算の概略を示す図である。 実施の形態２にかかる認証復号装置の構成を示す図である。 実施の形態３にかかる認証暗号化装置の構成を示す図である。 実施の形態３にかかる認証復号装置の構成を示す図である。 第２の比較例を説明するための図である。 第２の比較例を説明するための図である。 各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。
（本開示にかかる実施形態の概要）
　本開示の実施の形態の説明に先立って、本開示にかかる実施の形態の概要について説明する。なお、以下、本開示の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。また、以下の説明において、使用されるインデックス（英文字）は、本明細書全体で共通のものとは限らない。例えば、インデックスｉは、ある文脈と別の文脈とにおいて、異なるものを意味することがある。
　まず、認証暗号（ＡＥ）の基本的な入出力について説明する。なお、以下の説明では、秘密鍵Ｋを共有する２者としてＡｌｉｃｅとＢｏｂとの間の通信を考え、ＡｌｉｃｅからＢｏｂへ認証暗号による暗号化を行ったメッセージを通信するものとする。
　認証暗号の暗号化関数をＥｎｃとし、復号関数をＤｅｃとする。また、暗号化したい平文をＭとし、さらにナンス（Ｎｏｎｃｅ（ノンス））と呼ばれる変数Ｎ（初期ベクトル）を導入する。また、関連データ（Ａｓｓｏｃｉａｔｅｄ　Ｄａｔａ；ＡＤ）をＡとする。ここで、関連データＡ（ヘッダ）は、暗号化は行われないが改ざん検知は行われる値である。
　まず、Ａｌｉｃｅ側の暗号化処理について説明する。Ａｌｉｃｅは、ナンスＮを生成後、（Ｃ，Ｔ）＝Ｅｎｃ＿Ｋ（Ｎ，Ａ，Ｍ）で表される処理を実行する。ここで、Ｅｎｃ＿Ｋは、秘密鍵である鍵Ｋをパラメータとした暗号化関数であり、Ｃは暗号文である。また、Ｔは、タグ（認証タグ）と呼ばれる、固定長の改ざん検出用の変数である。Ａｌｉｃｅは、ナンスＮ、関連データＡ、暗号文Ｃ及びタグＴの組（Ｎ，Ａ，Ｃ，Ｔ）を、Ｂｏｂに送信する。
　次に、Ｂｏｂ側の復号処理について説明する。Ｂｏｂが受信した情報を（Ｎ’，Ａ’，Ｃ’，Ｔ’）とする。この場合、Ｂｏｂは、復号処理としてＤｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）を実行する。なお、Ｄｅｃ＿Ｋは、鍵Ｋをパラメータとした復号関数である。通信の途中で第三者Ｅｖｅによる改ざんがあり、（Ｎ’，Ａ’，Ｃ’，Ｔ’）≠（Ｎ，Ａ，Ｃ，Ｔ）である場合、Ｄｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）について、改ざんがあったことを示すエラーメッセージ（エラーシンボル⊥）が出力される。つまり、この場合、改ざんが検出される。一方、通信の途中で改ざんがなく、（Ｎ’，Ａ’，Ｃ’，Ｔ’）＝（Ｎ，Ａ，Ｃ，Ｔ）である場合、Ｄｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）について、Ａｌｉｃｅが暗号化した平文Ｍが正しく復号される。
　また、上記の処理においては、通常、暗号化においてナンスＮが過去の値と偶然一致してしまわないようにすることが重要である。このために、暗号化側では、カウンタなどの何らかの状態変数を用いて、ナンスの一致を防ぐ。すなわち、典型的には、状態変数として直前に使ったＮを記憶しておき、毎回Ｎをインクリメントすることで、ナンスＮが過去の値と重複しないことが、実現される。
　また、非特許文献１では、暗号化と復号の際に、Ｔｗｅａｋ（トウィーク）と呼ばれる公開調整値（補助変数）を導入するＴｗｅａｋａｂｌｅブロック暗号（Tweakable Block Cipher；ＴＢＣ）と呼ばれるブロック暗号を用いている。つまり、ＴＢＣでは、ブロック暗号の入力にＴｗｅａｋを含めた鍵付き置換を行っている。そして、Ｔｗｅａｋが異なるＴＢＣは、それぞれ独立なブロック暗号とみなすことができる。
　ここで、ＴｗｅａｋをＴｗとすると、ＴＢＣ関数は、以下の式１のように表される。
Figure JPOXMLDOC01-appb-M000001
 ・・・（１）
　なお、以降の説明において、式１の左辺（ＴＢＣ関数）を、「Ｅ＿Ｋ＾Ｔｗ～（Ｍ）」、「ＥＫ Ｔｗ～（Ｍ）」、又は、単に「ＥＫ ～」又は「Ｅ＿Ｋ～」などと表記することがある。
　図１は、比較例にかかる認証暗号化装置８０の構成を示す図である。図１は、非特許文献１にかかるＰＦＢωにおける暗号化方式を用いて実現された認証暗号化装置８０の構成を示している。また、図１は、比較例にかかる認証暗号化装置８０の演算の概略を示す図である。
　比較例にかかる認証暗号化装置８０は、ＡＤ処理部８２と、暗号化部８４と、計算部８６と、タグ生成部８８とを有する。なお、便宜上、図１において、計算部８６は、前段部８６ａと後段部８６ｂとに分離して描かれているが、計算部８６は、一体であってもよい。つまり、計算部８６は、前段部８６ａと後段部８６ｂとが連続して構成されてもよい。
　ＡＤ処理部８２は、関連データ（ＡＤ）を処理する。ＡＤ処理部８２には、関連データＡが入力される。ＡＤ処理部８２は、入力された関連データＡを、それぞれｂビットの長さのブロック（Ａ＿１，・・・，Ａ＿ａ）に分割する。つまり、関連データ（ＡＤ）ブロックＡ＿１，・・・，Ａ＿ａそれぞれのデータ長はｂビットである。なお、ａはＡＤブロックの数を示す。ＡＤ処理部８２は、各ＡＤブロックを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。
　具体的には、ＡＤ処理部８２は、初期値Ｚ＿０（Ｚ０）として０＾ｂ（０ｂ）を設定する。ここで、０＾ｂは、ｂビットのオールゼロを示す。ＡＤ処理部８２は、初期値０＾ｂ（＝Ｚ＿０）と１ブロック目のＡＤブロックＡ＿１との排他的論理和（ＸＯＲ）により得られた値を、ＴＢＣ関数ＥＫ ～で暗号化する。これにより、ＴＢＣ関数ＥＫ ～から、暗号化結果として、乱数であるＺ＿１が出力される。ＡＤ処理部８２は、この出力された暗号化結果Ｚ＿１と２ブロック目のＡＤブロックＡ＿２との排他的論理和により得られた値を、ＴＢＣ関数ＥＫ ～で暗号化する。これにより、ＴＢＣ関数ＥＫ ～から、暗号化結果として、乱数であるＺ＿２が出力される。このように、ＡＤ処理部８２は、出力された暗号化結果Ｚ＿ｉと次の（ｉ＋１）ブロック目のＡＤブロックＡ＿（ｉ＋１）との排他的論理和により得られた値を、ＴＢＣ関数ＥＫ ～で暗号化する、という処理を繰り返す。なお、１≦ｉ≦ａである。
　そして、ＡＤ処理部８２は、最後のＡＤブロックＡ＿ａと暗号化結果Ｚ＿（ａ－１）との排他的論理和により得られた値を、Ｈ＿１として、暗号化部８４に出力する。ここで、Ｈ＿１は、ｂビットの値である。また、ＡＤ処理部８２は、ＴＢＣ関数による暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿１，・・・，Ｚ＿（ａ－１）を、計算部８６に出力する。なお、Ｚは、Ｈ＿１を生成する際の途中で生成された値であるので、中間値であるとも言える。
　なお、ＴＢＣ関数に入力されるＴｗｅａｋは、安全性上の理由により、図１に示すように、関連データＡのブロックインデックスｉ（１≦ｉ≦ａ）に対して、（０＾ｎ，ｉ，０，０）のような形式である必要がある。なお、「０＾ｎ（０ｎ）」は、ｎビットのオールゼロを示す。また、ｎはナンスＮのデータ長（ビット数）を示す。なお、複数のＴＢＣ関数に入力されるＴｗｅａｋは互いに異なるが、各ＴＢＣ関数に入力されるＴｗｅａｋそれぞれは、異なる平文が暗号化処理される場合でも同じであり得る。つまり、各ＴＢＣ関数に入力されるＴｗｅａｋそれぞれは定数であり得る。例えば、１番目のＥｋ ～に入力されるＴｗｅａｋ（０ｎ，１，０，０）は、ある平文Ｍａが暗号化処理される場合でも別の平文Ｍｂが暗号化処理される場合でも、同じであり得る。また、これらのことは、後述する暗号化部８４及びタグ生成部８８におけるＴＢＣ関数に入力されるＴｗｅａｋについても、ナンスの値を除き、同様である。
　また、関連データＡのデータ長は、ｂビットの倍数であるとする。なお、Ｔｗｅａｋを増やせば、任意長（つまりｂビットの倍数とならないような長さ）の関連データについてＡＤ処理が可能となる。しかしながら、このことはこの分野の研究者にとっては自明なことなので、説明を省略する。このことは、後述する本実施の形態においても同様である。また、ＡＥの入力として、関連データ（ＡＤ）が含まれない（空である）場合がある。その場合は、ＡＤ処理部８２は必要ない。その場合は、図１の暗号化部８４におけるＨ＿１を０＾ｂとすればよい。
　暗号化部８４は、平文の暗号化を行う。暗号化部８４には、ナンスＮ、平文Ｍ、及び、ＡＤ処理部８２から出力されたＨ＿１が入力される。暗号化部８４は、入力された平文Ｍを、それぞれｂビットの長さのブロック（Ｍ＿１，・・・，Ｍ＿ｍ）に分割する。つまり、平文ブロックＭ＿１，・・・，Ｍ＿ｍそれぞれのデータ長はｂビットである。なお、ｍは平文ブロックの数を示す。暗号化部８４は、各平文ブロックを、鍵Ｋ、ナンスＮ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。
　具体的には、暗号化部８４は、初期値としてＨ＿１を設定する。暗号化部８４は、初期値Ｈ＿１をＴＢＣ関数ＥＫ ～で暗号化する。これにより、ＴＢＣ関数ＥＫ ～から、暗号化結果として、乱数であるＺ＿ａが出力される。そして、暗号化部８４は、この出力された暗号化結果Ｚ＿ａと１つ目の平文ブロックＭ＿１との排他的論理和により、暗号文ブロックＣ＿１を得る。なお、Ｚは、暗号文ブロックを生成する際の途中で生成される値であるので、中間値であるとも言える。
　次に、暗号化部８４は、平文ブロックＭ＿１をＴＢＣ関数ＥＫ ～で暗号化する。これにより、暗号化結果として、乱数であるＺ＿（ａ＋１）が出力される。暗号化部８４は、暗号化結果Ｚ＿（ａ＋１）と２つ目の平文ブロックＭ＿２との排他的論理和により、暗号文ブロックＣ＿２を得る。このように、暗号化部８４は、ｉブロック目の平文ブロックＭ＿ｉの暗号化結果Ｚ＿（ａ＋ｉ）と次の（ｉ＋１）ブロック目の平文ブロックＭ＿（ｉ＋１）との排他的論理和により、暗号文ブロックＣ＿（ｉ＋１）を得る、という処理を繰り返す。なお、０≦ｉ≦ｍである。
　そして、暗号化部８４は、最後の平文ブロックＭ＿ｍがＴＢＣ関数ＥＫ ～で暗号化されたら、その暗号化結果Ｚ＿（ａ＋ｍ）を、Ｔ＿１として、タグ生成部８８に出力する。なお、Ｔ＿１は、ｂビットの値であり、タグの一部となる。また、暗号化部８４は、生成された暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、暗号文Ｃ＝Ｃ＿１｜｜・・・｜｜Ｃ＿ｍとして出力する。ここで、「｜｜」は、ビット列の連結を示す。また、暗号文Ｃは、平文Ｍと同じ長さ（ビット長）である。また、暗号化部８４は、暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿ａ，・・・，Ｚ＿（ａ＋ｍ）を、計算部８６に出力する。
　なお、ＴＢＣ関数に入力されるＴｗｅａｋは、安全性上の理由により、図１に示すような形式である必要がある。つまり、暗号化部８４は、平文Ｍのブロックインデックスｉ（１≦ｉ≦ｍ）に対して、（Ｎ，ａ，ｉ，０）をＴｗｅａｋとして入力するＴＢＣ関数の暗号化結果を用いてＭ＿ｉを暗号化して、Ｃ＿ｉを得る。なお、暗号化部８４の最後に用いられるＴＢＣ関数（Ｍ＿ｍを入力しＴ＿１を得るもの）に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ，１）である。また、上述したように、複数のＴＢＣ関数に入力されるＴｗｅａｋは互いに異なるが、各ＴＢＣ関数に入力されるＴｗｅａｋそれぞれは、異なる平文が暗号化処理される場合でも、ナンスＮの値を除き、同じであり得る。つまり、各ＴＢＣ関数に入力されるＴｗｅａｋそれぞれは、ナンスＮの値を除き、定数であり得る。なお、このことは、後述する実施の形態においても同様である。
　また、関連データと同様に、平文Ｍのデータ長は、ｂビットの倍数であるとする。なお、Ｔｗｅａｋを増やせば、任意長（つまりｂビットの倍数とならないような長さ）の平文について平文処理が可能となる。しかしながら、このことはこの分野の研究者にとって自明なことなので、説明を省略する。また、上述したように、関連データ（ＡＤ）がＡＥの入力に含まれない場合は、Ｈ＿１を０＾ｂとすればよい。
　計算部８６は、ＡＤ処理部８２及び暗号化部８４で生成される乱数Ｚ＿１，・・・，Ｚ＿（ａ－１），Ｚ＿ａ，・・・，Ｚ＿（ａ＋ｍ）を受け付ける。つまり、ＡＤ処理部８２及び暗号化部８４におけるＴＢＣ関数の出力値は、全て、計算部８６に入力される。そして、そして、計算部８６は、これらの乱数と、所定の行列ＡＭ（Alpha Matrix）とを用いて、ω－１個の値を生成する。
　ここで、以下の式２に示すように、所定の行列ＡＭは、所定の値α＿（ｉ，ｊ）を要素とする、（ω－１）×（ａ＋ｍ）のサイズの行列である。ここで、ωは、所定のセキュリティレベルを示す値であり、３以上の整数である。また、ここでいうｉは、行列ＡＭの行数のインデックスであり、ラインのインデックスに対応する。なお、２≦ｉ≦ωである。また、ｊは、行列ＡＭの列数のインデックスであり、入力される乱数Ｚのインデックス、つまりブロックインデックスに対応する。なお、１≦ｊ≦ａ＋ｍである。
Figure JPOXMLDOC01-appb-M000002
 ・・・（２）
　計算部８６は、以下の式３に示すようにして、行列ＡＭを用いて乱数Ｚ＿１，・・・，Ｚ＿（ａ－１），Ｚ＿ａ，・・・，Ｚ＿（ａ＋ｍ）を処理して、Ｈ＿２，・・・，Ｈ＿ωを生成する。
Figure JPOXMLDOC01-appb-M000003
 ・・・（３）
　また、式３から、各ラインｉ（２≦ｉ≦ω）に対して、以下の式４が成り立つ。
Figure JPOXMLDOC01-appb-M000004
 ・・・（４）
　ここで、行列ＡＭの要素α＿（ｉ，ｊ）は、有限体ＧＦ（２＾ｂ）の元である。また、行列ＡＭの要素α＿（ｉ，ｊ）は、ｂビットの特定の値である。また、α＿（ｉ，ｊ）・Ｚ＿ｊの「・」は、有限体ＧＦ（２＾ｂ）上の乗算を意味し、図１では、円の中に「×」が描かれた記号で示されている。また、円の中に「＋」が描かれた記号は、排他的論理和（ＸＯＲ）を示す。
　つまり、計算部８６は、ω－１個のラインｉ（２≦ｉ≦ω）それぞれについて、乱数Ｚ＿ｊとα＿（ｉ，ｊ）との乗算値の排他的論理和を行うことによって、Ｈ＿ｉを算出する。なお、比較例（非特許文献１）では、高い安全性を得るため、乱数Ｚ＿ｊを１個からω－１個に拡大している。したがって、ωは、拡大数を意味するとも言える。ここで、Ｈ＿２，・・・，Ｈ＿ωは、それぞれｂビットの値であり、タグ生成処理に用いられる。そして、計算部８６は、得られたＨ＿２，・・・，Ｈ＿ωを、タグ生成部８８に出力する。なお、式２に示した所定の行列ＡＭは、安全性上の理由により、特定の条件を満たす必要がある。詳しくは後述する。
　タグ生成部８８は、タグＴを生成する。タグ生成部８８には、暗号化部８４からＴ＿１が入力され、計算部８６からＨ＿２，・・・，Ｈ＿ωが入力される。さらに、タグ生成部８８には、ナンスＮが入力される。タグ生成部８８は、Ｔ＿１を、そのままタグの一部として出力する。また、タグ生成部８８は、Ｈ＿２，・・・，Ｈ＿ωを、それぞれ、鍵Ｋ、ナンスＮ及び定数であるＴｗｅａｋが入力されたＴＢＣ関数を用いて暗号化する。これにより、暗号化結果として、Ｔ＿２，・・・，Ｔ＿ωが得られる。そして、タグ生成部８８は、それらの暗号化結果をタグとして出力する。つまり、タグ生成部８８は、Ｔ＿１，・・・，Ｔ＿ωを、タグＴ＝Ｔ＿１｜｜・・・｜｜Ｔ＿ωとして出力する。
　なお、ＴＢＣ関数に入力されるＴｗｅａｋは、安全性上の理由により、図１に示すような形式である必要がある。つまり、タグ生成部８８は、Ｈのインデックスｉ（２≦ｉ≦ω）に対して、（Ｎ，ａ，ｍ，ｉ）をＴｗｅａｋとして入力するＴＢＣ関数の暗号化結果を用いてＨ＿ｉを暗号化して、Ｔ＿ｉを得る。また、上述したように、複数のＴＢＣ関数に入力されるＴｗｅａｋは互いに異なるが、各ＴＢＣ関数に入力されるＴｗｅａｋそれぞれは、異なる平文が暗号化処理される場合でも、ナンスＮの値を除き、同じであり得る。つまり、各ＴＢＣ関数に入力されるＴｗｅａｋそれぞれは、ナンスＮの値を除き、定数であり得る。
　ここで、比較例にかかる問題点について説明する。比較例にかかる認証暗号処理（ＡＥ）では、安全性上の制限により、一度に処理できるＡＤブロック数と平文ブロック数との合計が（２＾ｂ－１）個以下である必要がある。なお、関連データの入力がない場合、安全性上の制限により、一度に処理できる平文ブロック数は、（２＾ｂ－２）個以下である必要がある。すなわち、安全性上の制限により、ＡＤブロック数と平文ブロック数との合計又は平文ブロック数の合計が上記の条件を満たさないと、式２に示したα＿ｉｊの行列ＡＭの、以下に説明する条件を満たすことができなくなるからである。
　すなわち、行列ＡＭは、ＭＤＳ（Maximum Distance Separable）行列でなければならない。つまり、行列ＡＭの小行列で正方行列となるものが、全て正則である必要がある。ここで、「小行列」とは、行列から特定の行（単数でも複数でもよい）及び特定の列（単数でも複数でもよい）を取り除くことでできる行列のことである。そして、行列ＡＭが上記条件を満たさない場合の安全性は、現在、知られていない。したがって、行列ＡＭは、ＭＤＳ行列であることが必要である。
　なお、行列ＡＭについて、列数が２＾ｂ－１を超えるとき、上記条件を満たすような行列は存在しないことが数学的に証明できる。ここで、「２＾ｂ－１」というのは、有限体ＧＦ（２＾ｂ）の乗法群の元の個数（つまり０以外のｂビット値の個数）である。したがって、ａ＋ｍ≦２＾ｂ－１でなければならない。なお、関連データ（ＡＤ）が空の場合、ＡＤ処理と暗号化処理との違いのため、以下に説明するように、ｍ≦２＾ｂ－２である必要がある。
　すなわち、関連データが空でない場合、ａ個のＡＤブロックの関連データＡを処理するためには、式２の行列ＡＭについて、列数をａ－１とする行列ＡＭを準備する必要がある。なぜならば、図１に示すように、ＴＢＣ関数の前後で、ＡＤブロックを処理できるからである。つまり、１つ目のＴＢＣ関数の処理の前で１つ目のＡＤブロックＡ＿１が処理され、そのＴＢＣ関数の後で２つ目のＡＤブロックＡ＿２が処理される。また、２つ目のＴＢＣ関数の処理の前で２つ目のＡＤブロックＡ＿２が処理され、そのＴＢＣ関数の後で３つ目のＡＤブロックＡ＿３が処理される。以後、これを繰り返して、最終的には、ａ－１番目のＴＢＣ関数の処理の前でａ－１番目のＡＤブロックＡ＿（ａ－１）が処理され、そのＴＢＣ関数の後でａ番目つまり最後のＡＤブロックＡ＿ａが処理される。
　また、ｍ個の平文ブロックの平文Ｍを処理するためには、図１に示すように、式２の行列ＡＭについて、列数をｍ＋１とする行列ＡＭを準備する必要がある。なぜならば、図１に示すように、ｍ番目のＴＢＣ関数とｍ番目（つまり最後）の平文ブロックＭ＿ｍとを用いて暗号文ブロックＣ＿ｍを生成して、さらにそのｍ番目の平文ブロックＭ＿ｍをｍ＋１番目のＴＢＣ関数で処理する必要があるからである。これより、関連データが空でない場合は、（ａ－１）＋（ｍ＋１）≦２＾ｂ－１、つまりａ＋ｍ≦２＾ｂ－１である必要がある。つまり、式２の行列ＡＭにおいて、ａ＋ｍ≦２＾ｂ－１であれば、比較例（非特許文献１）にかかるＰＦＢωにおいても、ＡＥ処理が可能である。一方、関連データが空である場合、ｍ＋１≦２＾ｂ－１、つまりｍ≦２＾ｂ－２である必要がある。つまり、式２の行列ＡＭにおいて、ｍ≦２＾ｂ－２であれば、比較例（非特許文献１）にかかるＰＦＢωにおいても、ＡＥ処理が可能である。
　このように、比較例（非特許文献１）にかかるＰＦＢωでは、一度に処理できるブロック数（平文ブロック数、又はＡＤブロック数と平文ブロック数との合計）に制限がある。ここで、ＰＦＢωでは、上述したように、ωｂビットという比較的高い安全性を実現できる。したがって、理想的には、１回のＡＥ処理における入力について、処理可能な平文長は、２＾（ωｂ）ブロック程度の長さであることが望ましい。しかしながら、ＰＦＢωでは、入力ブロック数の制限が、ｂビット安全性のＡＥの場合と同じとなってしまっており、効率が悪い。
　これに対し、本実施の形態にかかる認証暗号では、以下に説明するように、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能である。つまり、本実施の形態にかかる認証暗号では、ｂビット入出力ＴＢＣ関数を用いて、ｂビットより大きな安全性を実現し、かつ（２＾ｂ－１）個以上のブロック数を処理することが可能である。なお、本実施の形態では、２ｂビット安全性より大きな安全性レベルを対象とできる。
（実施の形態１）
　以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。なお、実施の形態１にかかる認証暗号方法は、上述した比較例（非特許文献１）にかかるＰＦＢωを改良した構成に対応する。
　図２は、実施の形態１にかかる認証暗号システム１の構成を示す図である。認証暗号システム１は、認証暗号化装置１０と、認証復号装置２０とを有する。認証暗号化装置１０及び認証復号装置２０は、物理的に一体であってもよいし、別個であってもよい。認証暗号化装置１０及び認証復号装置２０が物理的に互いに別個である場合、認証暗号化装置１０及び認証復号装置２０は、有線又は無線を介して通信可能に接続されている。また、後述する認証暗号化装置１０の構成要素が、互いに別の装置で実現されてもよい。同様に、後述する認証復号装置２０それぞれの構成要素が、互いに別の装置で実現されてもよい。
　なお、以下の説明では、特に断りのない限り、関連データＡ、平文Ｍ又は暗号文Ｃ等を分割して得られた複数のブロックのうちの１ブロックの長さを、所定長であるｂビットとする。また、上述したＡｌｉｃｅとＢｏｂとの間の通信の例において、認証暗号化装置１０はＡｌｉｃｅに対応し、認証復号装置２０はＢｏｂに対応する。つまり、認証暗号化装置１０及び認証復号装置２０との間で通信が行われる。
＜認証暗号化装置＞
　図３は、実施の形態１にかかる認証暗号化装置１０の構成を示す図である。図３に示すように、認証暗号化装置１０は、入力部１００と、分割部１０２と、ナンス生成部１０４と、ＡＤ処理部１１０と、暗号化部１２０と、乱数計算部１３０と、乱数暗号化部１４０と、タグ生成部１５０と、出力部１６０とを有する。
　認証暗号化装置１０は、例えばコンピュータ等の情報処理装置によって実現可能である。つまり、認証暗号化装置１０は、ＣＰＵ（Central Processing Unit）などの演算装置と、メモリ又はディスクなどの記憶装置とを有している。認証暗号化装置１０は、例えば、記憶装置に格納されたプログラムを演算装置が実行することで、上記の各構成要素を実現する。このことは、後述する他の実施の形態においても同様である。
　入力部１００は、入力手段としての機能を有する。分割部１０２は、分割手段としての機能を有する。ナンス生成部１０４は、ナンス生成手段としての機能を有する。ＡＤ処理部１１０は、関連データ処理手段としての機能を有する。暗号化部１２０は、暗号化手段としての機能を有する。乱数計算部１３０は、乱数計算手段（計算手段）としての機能を有する。乱数暗号化部１４０は、乱数暗号化手段としての機能を有する。タグ生成部１５０は、タグ生成手段としての機能を有する。出力部１６０は、出力手段としての機能を有する。
　入力部１００は、暗号化の対象となる平文Ｍ、及び関連データＡの入力を受け付ける。入力部１００は、例えば、キーボードなどの入力装置により実現されてもよい。入力部１００は、例えば、ネットワークを介して接続された外部装置などから、平文Ｍ及び関連データＡの入力を受け付けてもよい。なお、関連データＡが存在しない場合もあり、この場合は、関連データＡは入力されない。入力部１００は、平文Ｍ及び関連データＡを、分割部１０２に出力する。
　分割部１０２は、平文Ｍ及び関連データＡそれぞれを、所定長のブロックに分割する。具体的には、分割部１０２は、平文Ｍを、それぞれｂビットの平文ブロックＭ＿１，・・・，Ｍ＿ｍに分割する。なお、ｍは、平文ブロックの数である。分割部１０２は、平文ブロックＭ＿１，・・・，Ｍ＿ｍを、暗号化部１２０に出力する。また、分割部１０２は、関連データＡを、それぞれｂビットの長さのＡＤブロックＡ＿１，・・・，Ａ＿ａに分割する。なお、ａは、ＡＤブロックの数である。分割部１０２は、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、ＡＤ処理部１１０に出力する。
　また、分割部１０２は、分割されたＡＤブロックＡ＿１，・・・，Ａ＿ａ及び平文ブロックＭ＿１，・・・，Ｍ＿ｍを、それぞれブロック数（２＾ｂ－２）個の区域（グループ）に区分けする。つまり、１つの区域には、（２＾ｂ－２）個のブロックが含まれることとなる。ここで、各区域を、区域＃１，・・・，区域＃βとする。ここで、βは、区域数である。区域＃ｋは、ｋ番目の区域を示す。なお、１≦ｋ≦βである。このとき、分割部１０２は、データ列Ｄ＝Ａ＿１｜｜・・・｜｜Ａ＿ａ｜｜Ｍ＿１｜｜・・・｜｜Ｍ＿ｍを、データ列の先頭のブロックから、区域＃１，区域＃２，・・・，区域＃βの順に区分けされるように、各区域に区分けしてもよい。
　具体的には、分割部１０２は、区域＃１に全てのＡＤブロックＡ＿１，・・・，Ａ＿ａが含まれるように、区分けを行う。そして、ａ＜２＾ｂ－２の場合、分割部１０２は、ｍ’個の平文ブロックが区域＃１に含まれるように、区分けを行う。ここで、ｍ’は区域＃１（１区域目）に含まれる平文ブロックの数である。そして、ｍ’は、ａ＋ｍ’＝２＾ｂ－２を満たす。そして、実施の形態１では、ｍ＞ｍ’であることに留意されたい。
　そして、分割部１０２は、残りの（ｍ－ｍ’）個の平文ブロックを、区域＃２～区域＃βに区分けする。以後、特に言及しない限り、ａ＜２＾ｂ－２であるとして説明する。なお、βは、ＡＤブロックの数ａ及び平文ブロックの数ｍ、及び、２＾ｂ－２の値（つまりｂの値）に応じて決まる値である。すなわち、（ａ＋ｍ）ｍｏｄ（２＾ｂ－２）＝０である場合、βは、除算（ａ＋ｍ）／（２＾ｂ－２）の商に対応する。一方、（ａ＋ｍ）ｍｏｄ（２＾ｂ－２）≠０である場合、βは、除算（ａ＋ｍ）／（２＾ｂ－２）の商に１を加算した値に対応する。
　なお、ａ＝２＾ｂ－２の場合、区域＃１に区分けされる（２＾ｂ－２）個のブロックは、全て、ＡＤブロックとなる。そして、分割部１０２は、区域＃２に、データ列Ｄ＝Ｍ＿１｜｜・・・｜｜Ｍ＿ｍの先頭のブロックから（２＾ｂ－２）個の平文ブロックを区分けする。
　また、ａ＞２＾ｂ－２の場合、区域＃１に区分けされる（２＾ｂ－２）個のブロックは、全て、ＡＤブロックとなる。そして、残りのＡＤブロックが、区域＃２に区分けされる。そして、全てのＡＤブロックＡ＿１，・・・，Ａ＿ａが区域＃１及び区域＃２に区分けされた場合、区域＃２に区分けされたＡＤブロックと平文ブロックとの合計が（２＾ｂ－２）個となるように、区域＃２に平文ブロックが区分けされる。ここで、区域＃２に区分けされる平文ブロックの数をｍ’’とすると、ａ＋ｍ’’＝２×（２＾ｂ－２）である。なお、区域＃１及び区域＃２にＡＤブロックが区分けされてもなお全てのＡＤブロックの区分けが完了しない場合、さらに、同様にして、区域＃３に、ＡＤブロックが区分けされる。
　なお、関連データが空の場合、分割部１０２は、データ列Ｄ＝Ｍ＿１｜｜・・・｜｜Ｍ＿ｍを、データ列の先頭から区域＃１，区域＃２，・・・，区域＃βの順に区分けされるように、各区域に区分けする。このとき、区域＃１に区分けされた平文ブロックの数をｍ’とすると、ｍ’＝２＾ｂ－２となる。
　なお、区域＃ｋに区分けされた平文ブロックのビット列を「区域平文ブロックＭ［ｋ］」とすると、平文Ｍは、Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［β］とも表記され得る。このとき、少なくともＭ［１］及びＭ［β］以外の区域平文ブロックＭ［ｋ］に含まれる平文ブロックの数は、（２＾ｂ－２）個となる。また、関連データが空の場合、区域平文ブロックＭ［１］に含まれる平文ブロックの数も、（２＾ｂ－２）個となる。
　ここで、ブロック数（２＾ｂ－２）個の区域にブロック（ＡＤブロック及び平文ブロック）を区分けすることによって、後述するように、比較例にかかるＰＦＢωの手法を用いて、１つの区域ごとに暗号化及び乱数計算を行うことができる。これにより、ＰＦＢωにおいて問題となるブロック数の制限によらないで、ＰＦＢωにおける安全性を実現することが可能となる。
　なお、上記では、関連データが空でない場合はａ＋ｍ≦２＾ｂ－１である必要があり、関連データが空である場合はｍ≦２＾ｂ－２である必要があると述べた。しかしながら、処理の複雑さを抑制するため、実施の形態１では、１つの区域ごとのブロック数を（２＾ｂ－２）個とする。したがって、実施の形態１では、後述するように、（２＾ｂ－２）個のブロック（区域）ごとに暗号化及び乱数計算を行う。これにより、実施の形態１では、ａ＋ｍ＞２＾ｂ－１であっても、平文Ｍに対して一度に認証暗号を行うことができる。詳しくは後述する。
　ナンス生成部１０４は、過去の値と重複がないようにナンスＮを生成する。つまり、ナンス生成部１０４は、過去に生成された値とは異なるナンスＮを生成する。具体的には、例えば、ナンス生成部１０４は、最初に任意の固定値を出力する。また、ナンス生成部１０４は、直前に生成したナンスの値を記憶している。そして、ナンス生成部１０４は、２回目以降にナンスＮを生成する際に、記憶された直前の値に１を加えた値を出力する。このように、ナンス生成部１０４は、１つ前に既に出力した値に１を加えた値を出力することで、過去に生成した値とは異なるナンスＮを生成してもよい。なお、ナンス生成部１０４は、過去に生成した値とは異なる値を生成可能ならば、上述した例とは異なる方法でナンスを生成してもよい。ナンス生成部１０４は、生成されたナンスＮを、暗号化部１２０、乱数暗号化部１４０及びタグ生成部１５０に出力する。また、ナンス生成部１０４は、生成されたナンスＮを、出力部１６０に出力してもよい。
　ＡＤ処理部１１０は、図１に示したＡＤ処理部８２と同様に、関連データＡを処理する。つまり、ＡＤ処理部１１０は、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。このとき、ＡＤ処理部１１０は、上述した区域ごとに、ＡＤブロックを処理する。なお、ａ＜２＾ｂ－２であれば、ＡＤ処理部１１０の処理は、ＡＤ処理部８２の処理と実質的に同様となる。ＡＤ処理部１１０は、Ｈ＿１を暗号化部１２０に出力する。また、ＡＤ処理部１１０は、ＴＢＣ関数の出力値である乱数Ｚ＿１，・・・，Ｚ＿（ａ－１）を乱数計算部１３０に出力する。
　なお、ＡＤ処理部１１０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、ＡＤ処理部８２において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと異なり得る。詳しくは後述する。
　暗号化部１２０は、図１に示した暗号化部８４と同様に、平文Ｍを処理する。つまり、暗号化部１２０は、平文ブロックＭ＿１，・・・，Ｍ＿ｍを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。そして、暗号化部１２０は、平文ブロックと、この平文ブロックの前の平文ブロックをＴＢＣ関数を用いて暗号化して得られた暗号化結果との排他的論理和によって、暗号文ブロックを生成する。このとき、暗号化部１２０は、上述した区域ごとに、平文ブロック（平文）を暗号化する。つまり、暗号化部１２０は、区域＃１に含まれる平文ブロックについて、暗号化部８４と同様に暗号化を行う。そして、暗号化部１２０は、区域＃２に含まれる平文ブロックについて、暗号化部８４と同様に暗号化を行う。以降、暗号化部１２０は、区域＃ｋに含まれる平文ブロックについて、暗号化部８４と同様に暗号化を行う。つまり、暗号化部１２０は、区域＃ｋに含まれる区域平文ブロックＭ［ｋ］について、暗号化を行う。
　暗号化部１２０は、生成された暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、暗号文Ｃ＝Ｃ＿１｜｜・・・｜｜Ｃ＿ｍとして、出力部１６０に出力する。また、暗号化部１２０は、区域＃ｋに含まれる区域平文ブロックＭ［ｋ］について暗号化を行って、区域暗号文ブロックＣ［ｋ］を得る。ここで、区域暗号文ブロックＣ［ｋ］は、区域平文ブロックＭ［ｋ］と同じブロック数の暗号文ブロックから構成される。暗号化部１２０は、各区域で得られた乱数Ｚ（ＴＢＣ関数の出力値）を、乱数計算部１３０に出力する。
　また、暗号化部１２０は、最後の区域＃β以外の各区域において、最後の平文ブロックがＴＢＣ関数で処理されて得られた暗号化結果Ｚを、乱数Ｓ＿１として、乱数暗号化部１４０に出力する。なお、この乱数Ｓ＿１は、乱数暗号化部１４０で暗号化され、次の区域における暗号化部１２０の処理の初期値となる。また、暗号化部１２０は、最後の区域＃βにおいて、最後の平文ブロックがＴＢＣ関数で処理されて得られた暗号化結果Ｚを、乱数Ｓ＿１として、タグ生成部１５０に出力する。暗号化部１２０の処理の詳細については、後述する。
　なお、暗号化部１２０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、暗号化部８４において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと異なり得る。詳しくは後述する。なお、区域ごとに行われるＡＤ処理及び暗号化処理等で用いられるＴＢＣ関数に入力されるＴｗｅａｋを互いに区別するため、実施の形態１にかかるＴｗｅａｋの桁数は、比較例にかかるＴｗｅａｋの桁数よりも多くなっている。つまり、比較例では、１つの区域のみの処理が実行されるのに対し、実施の形態１では、複数の区域について処理が実行されるので、その分、Ｔｗｅａｋを区別するために桁数を多くする必要がある。
　乱数計算部１３０は、図１に示した計算部８６と同様に、ＡＤ処理部１１０及び暗号化部１２０で生成される乱数Ｚと、所定の行列ＡＭとを用いて、タグを生成するための値（乱数）を計算する。なお、実施の形態１にかかる行列ＡＭを、以下の式５に示す。ここで、行列ＡＭは、所定の値α＿（ｉ，ｊ）を要素とする、（ω－１）×（２＾ｂ－１）のサイズの行列である。
Figure JPOXMLDOC01-appb-M000005
 ・・・（５）
　乱数計算部１３０は、区域ごとに、乱数Ｓを計算する。具体的には、乱数計算部１３０は、区域ごとに、ＡＤ処理部１１０及び暗号化部１２０で生成される乱数Ｚと、所定の行列ＡＭとを用いて、ω－１個の乱数Ｓの組（Ｓ＿２，・・・，Ｓ＿ω）を生成する。ここで、後述するように、乱数Ｓの組は、次の区域における処理の初期値を生成するために使用される。また、最後の区域における処理で生成された乱数Ｓの組は、タグＴを生成するために使用される。乱数計算部１３０は、各区域において、ω－１個のラインｉ（２≦ｉ≦ω）それぞれについて、乱数Ｚ＿ｊとα＿（ｉ，ｊ）との乗算値の排他的論理和を行うことによって、Ｓ＿ｉを算出する。
　つまり、乱数計算部１３０は、各区域＃ｋにおいて、以下の式６に示すように、行列ＡＭを用いて乱数Ｚ＿１＾（ｋ），・・・，Ｚ＿（２＾ｂ－１）＾（ｋ）を処理して、乱数の組Ｓ＿２＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。つまり、乱数計算部１３０は、各区域＃ｋについて、式５に示した同じ行列ＡＭを用いて、乱数の組を生成する。ここで、ｋは、区域数のインデックスである。
Figure JPOXMLDOC01-appb-M000006
 ・・・（６）
　なお、式６から、ｉ（２≦ｉ≦ω）に対して、以下の式７が成り立つ。
Figure JPOXMLDOC01-appb-M000007
 ・・・（７）
　ここで、乱数計算部１３０は、区域ごとに、Ｚとαとの乗算値の排他的論理和の各ラインの初期値を、後述する乱数暗号化部１４０で暗号化された、前の区域で生成された乱数の組とする。詳しくは後述する。乱数計算部１３０は、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、乱数暗号化部１４０に出力する。また、乱数計算部１３０は、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、タグ生成部１５０に出力する。なお、上述したように、各区域＃ｋにおける乱数Ｓ＿１＾（ｋ）については、暗号化部１２０によって生成され、乱数暗号化部１４０又はタグ生成部１５０に出力される。乱数計算部１３０の処理の詳細については後述する。
　乱数暗号化部１４０は、ナンスＮを用いて、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。具体的には、乱数暗号化部１４０には、ナンス生成部１０４からナンスＮが入力される。乱数暗号化部１４０は、各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。
　そして、乱数暗号化部１４０は、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化して得られた暗号化結果を、次の区域＃（ｋ＋１）における処理の初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（ｋ）は、次の区域＃（ｋ＋１）において暗号化部１２０の処理の初期値となる。また、暗号化された乱数Ｓ＿２＾（ｋ），・・・，Ｓ＿ω＾（ｋ）は、次の区域＃（ｋ＋１）において乱数計算部１３０の処理における各ラインｉ（２≦ｉ≦ω）の初期値となる。乱数暗号化部１４０の具体的な処理については後述する。
　タグ生成部１５０は、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、認証用のタグＴを生成する。具体的には、タグ生成部１５０には、ナンス生成部１０４からナンスＮが入力される。タグ生成部１５０は、ナンスＮを用いて、区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を暗号化する。つまり、タグ生成部１５０は、区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。タグ生成部１５０は、乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を暗号化することによって、暗号化結果であるタグＴ［１］，・・・，Ｔ［ω］を得る。タグ生成部１５０の具体的な処理については後述する。
　図４は、実施の形態１にかかる認証暗号化装置１０の乱数暗号化部１４０及びタグ生成部１５０の処理を説明するための図である。なお、説明の明確化のため、図４では、関連データを空としている。上述したように、認証暗号化装置１０は、平文Ｍの平文ブロックを、区域＃１，区域＃２，・・・区域＃βにそれぞれ対応する区域平文ブロックＭ［１］，Ｍ［２］，・・・，Ｍ［β］に区分けする。なお、上述したように、区域平文ブロックＭ［ｋ］それぞれには、（２＾ｂ－２）個の平文ブロックが含まれる。
　そして、暗号化部１２０及び乱数計算部１３０は、区域＃１について、入力されたナンスＮ及び区域平文ブロックＭ［１］を用いて、区域暗号文ブロックＣ［１］、及び、乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を生成する。乱数暗号化部１４０は、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を暗号化する。そして、乱数暗号化部１４０は、暗号化された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、次の区域＃２における初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（１）は、次の区域＃２において暗号化部１２０の処理の初期値となる。また、暗号化された乱数Ｓ＿２＾（１），・・・，Ｓ＿ω＾（１）は、次の区域＃２において乱数計算部１３０の処理における各ラインの初期値となる。
　また、暗号化部１２０及び乱数計算部１３０は、区域＃２について、入力されたナンスＮ及び区域平文ブロックＭ［２］を用いて、区域暗号文ブロックＣ［２］、及び、乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を生成する。このとき、暗号化部１２０及び乱数計算部１３０は、区域＃２に対する処理において、Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）の暗号化結果を初期ステートとしている、乱数暗号化部１４０は、区域＃２について生成された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を暗号化する。そして、乱数暗号化部１４０は、暗号化された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を、次の区域＃３における初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（２）は、次の区域＃３において暗号化部１２０の処理の初期値となる。また、暗号化された乱数Ｓ＿２＾（２），・・・，Ｓ＿ω＾（２）は、次の区域＃３において乱数計算部１３０の処理における各ラインの初期値となる。
　以下同様にして、暗号化部１２０及び乱数計算部１３０は、区域＃ｋそれぞれについて、入力されたナンスＮ及び区域平文ブロックＭ［ｋ］を用いて、区域暗号文ブロックＣ［ｋ］、及び、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。このとき、暗号化部１２０及び乱数計算部１３０は、区域＃ｋに対する処理において、Ｓ＿１＾（ｋ－１），・・・，Ｓ＿ω＾（ｋ－１）の暗号化結果を初期ステートとしている。乱数暗号化部１４０は、最後の区域＃β以外の区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。そして、乱数暗号化部１４０は、区域＃ｋにおいて暗号化された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、次の区域＃（ｋ＋１）における初期値（初期ステート）とする。
　このとき、暗号化部１２０は、各区域それぞれについて、比較例にかかる暗号化部８４の演算と実質的に同様の演算をサブルーチンとして用いて、処理を行うことができる。なお、このとき、Ｔｗｅａｋを適切に設定する必要があることに留意されたい。また、乱数計算部１３０は、各区域それぞれについて、式５に示す行列ＡＭを呼び出して、比較例にかかる計算部８６の演算と実質的に同様の演算をサブルーチンとして用いて、処理を行うことができる。これらのことは、後述する認証復号装置２０における復号処理においても同様である。
　そして、タグ生成部１５０は、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、認証用のタグＴ［１］，・・・，Ｔ［ω］を得る。ここで、後述するように、認証用のタグＴは、乱数の組を、ナンスＮ及び平文ブロックの数ｍ（平文長）を含むＴｗｅａｋを入力とするＴＢＣ関数で暗号化された暗号化結果である。したがって、タグＴの組の安全性が確保されている。
　図５～図９は、実施の形態１にかかる認証暗号処理における演算の概略を示す図である。図５は、１区域目つまり区域＃１についての、ＡＤ処理部１１０及び乱数計算部１３０の演算の概略を示す図である。また、図６は、１区域目つまり区域＃１についての、暗号化部１２０及び乱数計算部１３０の演算の概略を示す図である。また、図７は、乱数暗号化部１４０の演算の概略を示す図である。また、図８は、２区域目つまり区域＃２についての、暗号化部１２０及び乱数計算部１３０の演算の概略を示す図である。また、図９は、タグ生成部１５０の演算の概略を示す図である。なお、便宜上、図５及び図６において、乱数計算部１３０は、前段部１３０ａと後段部１３０ｂとに分離して描かれているが、乱数計算部１３０は、一体であってもよい。つまり、乱数計算部１３０は、前段部１３０ａと後段部１３０ｂとが連続して構成されてもよい。実際に、図８では、乱数計算部１３０は、一体に描かれている。
　図５に示すように、ＡＤ処理部１１０は、区域＃１について、ＡＤブロックＡ＿１，・・・，Ａ＿ａに対して、図１に示したＡＤ処理部８２と実質的に同様の処理を行う。そして、ＡＤ処理部１１０は、暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ－１）＾（１）を、乱数計算部１３０に出力する。なお、上述したように、Ｚ＿ｊ＾（ｋ）のｋは、区域数のインデックスである。つまり、乱数Ｚ＿１＾（１）の「（１）」は、区域＃１（１区域目）において生成された乱数であることを示す。また、ＡＤ処理部１１０は、最後のＡＤブロックＡ＿ａと暗号化結果Ｚ＿（ａ－１）＾（１）との排他的論理和により得られた値を、Ｈ＿１として、暗号化部１２０に出力する。なお、図５～図９の例では、ａ＜２＾ｂ－２であるので、ＡＤ処理部１１０は、区域＃１についてのみ、処理を行う。
　また、図６に示すように、暗号化部１２０は、区域＃１について、平文ブロックＭ＿１，・・・，Ｍ＿ｍのうちのＭ＿１，・・・，Ｍ＿ｍ’に対して、図１に示した暗号化部８４と実質的に同様の処理を行う。そして、暗号化部１２０は、Ｍ＿１，・・・，Ｍ＿ｍ’にそれぞれ対応する暗号文ブロックＣ＿１，・・・，Ｃ＿ｍ’を得る。また、暗号化部１２０は、暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿ａ＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を、乱数計算部１３０に出力する。なお、暗号化部１２０は、区域＃１における最後の平文ブロックＭ＿ｍ’を区域＃１における最後のＴＢＣ関数で暗号化することにより、区域＃１における最後の乱数Ｚ＿（ａ＋ｍ’）＾（１）を得る。また、暗号化部１２０は、最後の平文ブロックＭ＿ｍ’がＴＢＣ関数で暗号化されたら、その暗号化結果Ｚ＿（ａ＋ｍ’）＾（１）を、Ｓ＿１＾（１）として、乱数計算部１３０に出力する。
　ここで、上述したように、ＡＤ処理部１１０及び暗号化部１２０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、ＡＤ処理部８２及び暗号化部８４において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと異なる。ＡＤ処理部１１０において使用されるＴＢＣ関数に入力されるＴｗｅａｋは、関連データＡのブロックインデックスｉ（１≦ｉ≦ａ）に対して、（０＾ｎ，ｉ，０，０，０）となる。また、暗号化部１２０において使用されるＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉ（１≦ｉ≦ｍ’）に対して、（Ｎ，ａ，ｉ，０，０）となる。なお、区域＃１について、暗号化部１２０の最後に用いられるＴＢＣ関数（Ｍ＿ｍ’を入力しＳ＿１＾（１）を得るもの）に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ’，１，０）である。このようにＴｗｅａｋを設定することによって、あるＴｗｅａｋが他のＴｗｅａｋと一致することがなくなる。
　また、図５及び図６に示すように、乱数計算部１３０は、区域＃１について、ＡＤ処理部１１０及び暗号化部１２０で生成される乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ－１）＾（１），Ｚ＿ａ＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を処理する。つまり、乱数計算部１３０は、上記の式６により、式５に示した行列ＡＭを用いて、乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ－１）＾（１），Ｚ＿ａ＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を処理する。これにより、乱数計算部１３０は、区域＃１についての乱数の組Ｓ＿２＾（１），・・・，Ｓ＿ω＾（１）を生成する。言い換えると、乱数計算部１３０は、乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）それぞれと行列ＡＭの対応する要素との乗算値の排他的論理和を計算することによって、乱数の組Ｓ＿２＾（１），・・・，Ｓ＿ω＾（１）を生成する。乱数計算部１３０は、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、乱数暗号化部１４０に出力する。
　ここで、上述したように、ａ＋ｍ’＝２＾ｂ－２である。つまり、区域＃１の最後の乱数Ｚ＿（ａ＋ｍ’）＾（１）は、Ｚ＿（２＾ｂ－２）＾（１）に対応する。したがって、区域＃１については、上記の式６において、Ｚ＿（２＾ｂ－１）＾（１）＝０である。つまり、区域＃１については、上記の式５に示す行列ＡＭの最後の列（α＿（２，２＾ｂ－１），・・・α＿（ω，２＾ｂ－１））は、用いられない。つまり、区域＃１においては、上記の式７の最後の排他的論理和では、０（＝α＿（ｉ，２＾ｂ－１）・Ｚ＿（２＾ｂ－１）＾（１））が排他的論理和される。このことは、後述する認証復号装置２０における復号処理においても同様である。
　また、図７に示すように、乱数暗号化部１４０は、各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、それぞれ、ナンスＮを含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’を用いて暗号化する。乱数暗号化部１４０で用いられるＴＢＣ関数には、一度のみ用いられるＴｗｅａｋが入力される。図７において「ＥＫ ～’」の右上に、その関数ＥＫ ～’に入力されるＴｗｅａｋの例が示されている。図７の例では、乱数Ｓ＿ｉ＾（ｋ）を暗号化するＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋは、ナンスＮ、区域＃ｋのインデックスｋ、及びラインインデックスｉを含む。例えば、乱数Ｓ＿２＾（１）を暗号化するＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋは、ナンスＮ、区域＃１のインデックス「１」、及びラインインデックス「２」を含む。ＴＢＣ関数ＥＫ ～’を用いて暗号化された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）は、区域＃（ｋ＋１）における処理の際に暗号化部１２０及び乱数計算部１３０に入力される。
　図８に示すように、乱数暗号化部１４０は、区域＃１について生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）をＴＢＣ関数ＥＫ ～’を用いて暗号化する。そして、得られた暗号化結果は、区域＃２における処理の際に暗号化部１２０及び乱数計算部１３０に入力される。
　ここで、ＴＢＣ関数ＥＫ ～’は、図５～図６及び後述する図８～図９に記載されるどのＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋとも異なるＴｗｅａｋが入力されるＴＢＣ関数である。また、ＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋは、ＡＤブロック数ａ及び平文ブロック数ｍを含まないで、他のＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋと異なるように設定される。なお、ＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋの形式は、ＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋの形式と異なってもよいし、同じであってもよい。例えば、Ｓ＿ｉ＾（ｋ）を暗号化するＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋは、このＴＢＣ関数をＴＢＣ関数ＥＫ ～の形式で記述すると仮定した場合、（Ｎ，ｋ，ｉ，０，０，１）としてもよい。一方、この場合、ＡＤ処理部１１０及び暗号化部１２０で用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ’，０，０，０）のようにしてもよい。つまり、ＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋの最後の値が「１」であるのに対し、ＡＤ処理部１１０及び暗号化部１２０で用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋの最後の値は「０」であってもよい。言い換えると、ＴＢＣ関数ＥＫ ～とＴＢＣ関数ＥＫ ～’とでは、入力されるＴｗｅａｋの最後の値が異なってもよい。したがって、Ｔｗｅａｋの重複を避けることができる。
　また、図８に示すように、暗号化部１２０は、区域＃２について、平文ブロックＭ＿１，・・・，Ｍ＿ｍのうち、Ｍ＿ｍ’から続く（２＾ｂ－２）個のＭ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－２）に対して、区域＃１と同様の処理を行う。ここで、暗号化部１２０は、区域＃２については、乱数Ｓ＿１＾（１）を乱数暗号化部１４０で暗号化して得られた暗号化結果を初期値として、最初のＴＢＣ関数に入力する。つまり、区域＃１で生成された乱数Ｓ＿１＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「１」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、初期値に対応する。
　そして、暗号化部１２０は、Ｍ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－２）にそれぞれ対応する暗号文ブロックＣ＿（ｍ’＋１），・・・，Ｃ＿（ｍ’＋２＾ｂ－２）を得る。また、暗号化部１２０は、暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を、乱数計算部１３０に出力する。なお、暗号化部１２０は、区域＃２における最後の平文ブロックＭ＿（ｍ’＋２＾ｂ－２）を区域＃２における最後のＴＢＣ関数で暗号化することにより、区域＃２における最後の乱数Ｚ＿（２＾ｂ－１）＾（２）を得る。また、暗号化部１２０は、最後の平文ブロックＭ＿（ｍ’＋２＾ｂ－２）がＴＢＣ関数で暗号化されたら、その暗号化結果Ｚ＿（２＾ｂ－１）＾（２）を、Ｓ＿１＾（２）として、乱数計算部１３０に出力する。
　また、図８に示すように、乱数計算部１３０は、区域＃２について、暗号化部１２０で生成される乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を処理する。つまり、乱数計算部１３０は、上記の式６により、式５に示した行列ＡＭを用いて、乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を処理する。これにより、乱数計算部１３０は、区域＃２についての乱数の組Ｓ＿２＾（２），・・・，Ｓ＿ω＾（２）を生成する。言い換えると、乱数計算部１３０は、乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）それぞれと行列ＡＭの対応する要素との乗算値の排他的論理和を計算することによって、乱数の組Ｓ＿２＾（２），・・・，Ｓ＿ω＾（２）を生成する。
　ここで、乱数計算部１３０は、区域＃２については、乱数Ｓ＿ｉ＾（１）を乱数暗号化部１４０で暗号化して得られた暗号化結果を初期値として、各ラインｉに入力する。つまり、区域＃１で生成された乱数Ｓ＿２＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「２」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、ライン「２」の初期値に対応する。同様に、区域＃１で生成された乱数Ｓ＿ω＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「ω」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、ライン「ω」の初期値に対応する。乱数計算部１３０は、区域＃２について生成された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を、乱数暗号化部１４０に出力する。
　ここで、上述したように、暗号化部１２０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、暗号化部８４において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと異なる。区域＃２において、暗号化部１２０において使用されるＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉ（ｍ’＋１≦ｉ≦ｍ’＋２＾ｂ－２）に対して、（Ｎ，ａ，ｉ，０，０）となる。なお、区域＃２について、暗号化部１２０の最後に用いられるＴＢＣ関数（Ｍ＿（ｍ’＋２＾ｂ－２）を入力しＳ＿１＾（２）を得るもの）に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ’＋２＾ｂ－２，１，０）である。これにより、区域＃２におけるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、区域＃１におけるＴＢＣ関数それぞれに入力されるＴｗｅａｋとは異なることとなる。これらのことは、後述する認証復号装置２０における復号処理においても同様である。
　なお、図５，図６，図８には、区域＃１及び区域＃２についての演算の概略が示されているが、区域＃３以降についても、図８に示した区域＃２と実質的に同様の演算がなされる。したがって、区域＃３以降の具体的な処理の説明については省略する。なお、暗号化部１２０は、ある区域について処理を行うごとに、ＴＢＣ関数を繰り返し呼び出して、平文ブロックを暗号化する。また、乱数計算部１３０は、ある区域について処理を行うごとに、前の区域について得られた乱数を暗号化して得られた暗号化結果を各ラインの初期値とし、式５に示した同じ行列ＡＭ（つまり同じ要素α）を繰り返し呼び出して、乱数の組を生成する。
　なお、暗号化部１２０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、図８を用いて上述した規則に従って設定される。つまり、各区域＃ｋにおいて、１番目から（２＾ｂ－２）番目のＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉに対して、（Ｎ，ａ，ｉ，０，０）となる。なお、暗号化部１２０の最後（２＾ｂ－１番目）に用いられるＴＢＣ関数に入力されるＴｗｅａｋは、（Ｎ，ａ，ｉ，１，０）である。なお、ここでは、ｉは平文ブロック数ｍのインデックスであるので、ある区域＃ｋにおけるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、別の区域におけるＴＢＣ関数それぞれに入力されるＴｗｅａｋとは異なることとなる。なお、最終の区域＃βにおいて、平文ブロック数が２＾ｂ－２に満たない場合、その満たない分の乱数Ｚ＿（ｊ）＾（β）の値が０となる。これらのことは、後述する認証復号装置２０における復号処理においても同様である。
　図９に示すように、タグ生成部１５０は、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、それぞれ、ナンスＮとＡＤブロック数ａと平文ブロック数ｍとを含むＴｗｅａｋを用いて、認証用のタグＴを生成する。ここで、タグ生成部１５０で用いられるＴＢＣ関数には、一度のみ用いられるＴｗｅａｋが入力される。図９において「ＥＫ ～」の右上に、その関数ＥＫ ～に入力されるＴｗｅａｋの例が示されている。図９の例では、乱数Ｓ＿ｉ＾（β）を暗号化するＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、ナンスＮ、ＡＤブロック数ａ、平文ブロック数ｍ、区域＃βのインデックス「β」、及びラインインデックスｉを含む。このＴＢＣ関数ＥＫ ～を用いて乱数Ｓ＿ｉ＾（β）を暗号化することによって、タグＴ［ｉ］が生成される。例えば、乱数Ｓ＿１＾（β）を暗号化するＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、ナンスＮ、ＡＤブロック数ａ、平文ブロック数ｍ、区域＃βのインデックス「β」、及びラインインデックス「１」を含む。このＴＢＣ関数ＥＫ ～を用いて乱数Ｓ＿１＾（β）を暗号化することによって、タグＴ［１］が生成される。そして、タグ生成部１５０は、Ｔ［１］，・・・，Ｔ［ω］を、タグＴ＝Ｔ［１］｜｜・・・｜｜Ｔ［ω］として出力する。
　ここで、乱数暗号化部１４０ではＴＢＣ関数ＥＫ ～’が用いられているのに対し、タグ生成部１５０ではＴＢＣ関数ＥＫ ～が用いられている。したがって、タグ生成部１５０において用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、乱数暗号化部１４０で用いられるＴＢＣ関数に入力されるＴｗｅａｋとは異なることとなる。また、ＡＤ処理部１１０及び暗号化部１２０で用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋとは異なり、タグ生成部１５０において用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、区域数β及びラインインデックスｉを含む。したがって、タグ生成部１５０において用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、ＡＤ処理部１１０及び暗号化部１２０で用いられるＴＢＣ関数に入力されるＴｗｅａｋとは異なることとなる。したがって、Ｔｗｅａｋの重複を避けることができる。これらのことは、後述する認証復号装置２０における復号処理においても同様である。
　さらに、タグ生成部１５０において用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、ＡＤブロック数ａ及び平文ブロック数ｍを含んでいる。したがって、タグＴの安全性を確保することができる。すなわち、ＡＤブロック数ａ又は平文ブロック数ｍが異なる改ざん情報が攻撃者によって入力されたとしても、その改ざん情報を即座に却下できる（改ざんの検知を行うことができる）こととなる。したがって、タグＴの改ざんが容易でないことは、明らかである。言い換えると、このＴｗｅａｋがＡＤブロック数ａ及び平文ブロック数ｍを含むことによって、タグＴの安全性の証明が容易となる。さらに言い換えると、乱数Ｓから安全にタグＴを生成することができる。これらのことは、後述する認証復号装置２０における復号処理においても同様である。また、これらのことは、後述する実施の形態２においても同様である。
　出力部１６０は、暗号文ＣとタグＴとを出力するための制御を行う。このとき、出力部１６０は、暗号文ＣとタグＴとを連結して出力するようにしてもよい。出力部１６０は、例えば、ディスプレイなどの出力装置に暗号文ＣとタグＴとを表示させるための制御を行ってもよい。また、出力部１６０は、例えば、ネットワークを介して接続された外部装置などに対して、暗号文Ｃ及びタグＴを出力するように制御を行ってもよい。また、出力部１６０は、ナンスＮ及び関連データＡを出力するように制御を行ってもよい。例えば、出力部１６０は、（Ｎ，Ａ，Ｃ，Ｔ）を、認証復号装置２０に送信する。
＜認証復号装置＞
　図１０は、実施の形態１にかかる認証復号装置２０の構成を示す図である。図１０に示すように、認証復号装置２０は、入力部２００と、分割部２０２と、ＡＤ処理部２１０と、復号部２２０と、乱数計算部２３０と、乱数暗号化部２４０と、タグ生成部２５０と、タグ検査部２６０とを有する。
　認証復号装置２０は、例えばコンピュータ等の情報処理装置によって実現可能である。つまり、認証復号装置２０は、ＣＰＵなどの演算装置と、メモリ又はディスクなどの記憶装置とを有している。認証復号装置２０は、例えば、記憶装置に格納されたプログラムを演算装置が実行することで、上記の各構成要素を実現する。このことは、後述する他の実施の形態においても同様である。
　入力部２００は、入力手段としての機能を有する。分割部２０２は、分割手段としての機能を有する。ＡＤ処理部２１０は、関連データ処理手段としての機能を有する。復号部２２０は、復号手段としての機能を有する。乱数計算部２３０は、乱数計算手段（計算手段）としての機能を有する。乱数暗号化部２４０は、乱数暗号化手段としての機能を有する。タグ生成部２５０は、タグ生成手段としての機能を有する。タグ検査部２６０は、タグ検査手段としての機能を有する。
　入力部２００は、認証暗号化装置１０から出力された、ナンスＮ、関連データＡ、復号の対象となる暗号文Ｃ、及びタグＴの入力を受け付ける。入力部２００は、例えば、キーボードなどの入力装置により実現されてもよい。入力部２００は、例えば、ネットワークを介して接続された外部装置などから、ナンスＮ、関連データＡ、暗号文Ｃ及びタグＴの入力を受け付けてもよい。なお、関連データＡが存在しない場合もあり、この場合は、関連データＡは入力されない。入力部２００は、ナンスＮを、復号部２２０、乱数暗号化部２４０及びタグ生成部２５０に出力する。また、入力部２００は、暗号文Ｃ及び関連データＡを、分割部２０２に出力する。また、入力部２００は、タグＴを、タグ検査部２６０に出力する。
　分割部２０２は、暗号文Ｃ及び関連データＡそれぞれを、所定長のブロックに分割する。具体的には、分割部２０２は、暗号文Ｃを、それぞれｂビットの暗号文ブロックＣ＿１，・・・，Ｃ＿ｍに分割する。なお、ｍは、暗号文ブロック（つまり平文ブロック）の数である。分割部２０２は、暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、復号部２２０に出力する。また、分割部２０２は、関連データＡを、それぞれｂビットの長さのＡＤブロックＡ＿１，・・・，Ａ＿ａに分割する。分割部２０２は、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、ＡＤ処理部２１０に出力する。
　また、上述した分割部１０２と同様に、分割部２０２は、分割されたＡＤブロックＡ＿１，・・・，Ａ＿ａ及び暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、それぞれブロック数（２＾ｂ－２）個の区域（グループ）に区分けする。つまり、１つの区域には、（２＾ｂ－２）個のブロックが含まれることとなる。このとき、分割部２０２は、データ列Ｄ＝Ａ＿１｜｜・・・｜｜Ａ＿ａ｜｜Ｃ＿１｜｜・・・｜｜Ｃ＿ｍを、データ列の先頭のブロックから、区域＃１，区域＃２，・・・，区域＃βの順に区分けされるように、各区域に区分けする。なお、区分けの方法は、上述した分割部１０２の場合と同様であってもよい。
　なお、区域＃ｋに区分けされた暗号文ブロックのビット列を「区域暗号文ブロックＣ［ｋ］」とすると、暗号文Ｃは、Ｃ＝Ｃ［１］｜｜Ｃ［２］｜｜・・・｜｜Ｃ［β］とも表記され得る。このとき、少なくともＣ［１］及びＣ［β］以外の区域暗号文ブロックＣ［ｋ］に含まれる暗号文ブロックの数は、（２＾ｂ－２）個となる。また、関連データが空の場合、区域暗号文ブロックＣ［１］に含まれる暗号文ブロックの数も、（２＾ｂ－２）個となる。
　ＡＤ処理部２１０は、上述したＡＤ処理部１１０と実質的に同様の処理を行う。つまり、ＡＤ処理部２１０は、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。このとき、ＡＤ処理部２１０は、上述した区域ごとに、ＡＤブロックを処理する。ＡＤ処理部２１０は、Ｈ＿１を復号部２２０に出力する。また、ＡＤ処理部２１０は、ＴＢＣ関数の出力値である乱数Ｚ＿１，・・・，Ｚ＿（ａ－１）を乱数計算部２３０に出力する。なお、ＡＤ処理部２１０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、上述したＡＤ処理部１１０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと、実質的に同様に設定されてもよい。
　復号部２２０は、上述した暗号化部１２０における暗号化処理に対応した復号処理を行う。復号部２２０は、暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。このとき、復号部２２０は、上述した区域ごとに、暗号文ブロック（暗号文）を復号する。つまり、復号部２２０は、区域＃１に含まれる暗号文ブロックについて、上述した暗号化部１２０における暗号化処理に対応した復号処理を行う。そして、復号部２２０は、区域＃２に含まれる暗号文ブロックについて、上述した暗号化部１２０における暗号化処理に対応した復号処理を行う。以降、復号部２２０は、区域＃ｋに含まれる暗号文ブロックについて、上述した暗号化部１２０における暗号化処理に対応した復号処理を行う。つまり、復号部２２０は、区域＃ｋに含まれる区域暗号文ブロックＣ［ｋ］について、復号を行う。
　復号部２２０は、生成された平文ブロックＭ＿１，・・・，Ｍ＿ｍを、平文Ｍ＝Ｍ＿１｜｜・・・｜｜Ｍ＿ｍとして、タグ検査部２６０に出力する。また、復号部２２０は、区域＃ｋに含まれる区域暗号文ブロックＣ［ｋ］について復号を行って、区域平文ブロックＭ［ｋ］を得る。なお、復号部２２０は、得られた平文を、平文Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［β］として、タグ検査部２６０に出力してもよい。また、復号部２２０は、各区域で得られた乱数Ｚ（ＴＢＣ関数の出力値）を、乱数計算部２３０に出力する。
　また、復号部２２０は、最後の区域＃β以外の各区域において、最後の暗号文ブロックがＴＢＣ関数で処理されて得られた暗号化結果Ｚを、乱数Ｓ＿１として、乱数暗号化部２４０に出力する。なお、この乱数Ｓ＿１は、乱数暗号化部２４０で暗号化され、次の区域における復号部２２０の処理の初期値となる。また、復号部２２０は、最後の区域＃βにおいて、最後の暗号文ブロックがＴＢＣ関数で処理されて得られた暗号化結果Ｚを、乱数Ｓ＿１として、タグ生成部２５０に出力する。復号部２２０の処理の詳細については、後述する。なお、復号部２２０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、上述した暗号化部１２０において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと、実質的に同様に設定されてもよい。
　乱数計算部２３０は、上述した乱数計算部１３０と同様に、ＡＤ処理部２１０及び復号部２２０で生成される乱数Ｚと、式５に示した所定の行列ＡＭとを用いて、タグを生成するための乱数Ｓを計算する。このとき、乱数計算部２３０は、区域ごとに、乱数Ｓを計算する。具体的には、乱数計算部２３０は、区域ごとに、ＡＤ処理部２１０及び復号部２２０で生成される乱数Ｚと、所定の行列ＡＭとを用いて、ω－１個の乱数Ｓの組（Ｓ＿２，・・・，Ｓ＿ω）を生成する。ここで、後述するように、乱数Ｓの組は、次の区域における処理の初期値を生成するために使用される。また、最後の区域における処理で生成された乱数Ｓの組は、検査用のタグＴ＊を生成するために使用される。乱数計算部２３０は、上述した乱数計算部１３０と同様に、各区域において、ω－１個のラインｉ（２≦ｉ≦ω）それぞれについて、乱数Ｚ＿ｊとα＿（ｉ，ｊ）との乗算値の排他的論理和を行うことによって、Ｓ＿ｉを算出する。つまり、乱数計算部２３０は、各区域＃ｋにおいて、上記の式６に示すように、行列ＡＭを用いて乱数Ｚ＿１＾（ｋ），・・・，Ｚ＿（２＾ｂ－１）＾（ｋ）を処理して、乱数の組Ｓ＿２＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。
　ここで、乱数計算部２３０は、区域ごとに、Ｚとαとの乗算値の排他的論理和の各ラインの初期値を、後述する乱数暗号化部２４０で暗号化された、前の区域で生成された乱数の組とする。詳しくは後述する。乱数計算部２３０は、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、乱数暗号化部２４０に出力する。また、乱数計算部２３０は、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、タグ生成部２５０に出力する。なお、上述したように、各区域＃ｋにおける乱数Ｓ＿１＾（ｋ）については、復号部２２０によって生成され、乱数暗号化部２４０又はタグ生成部２５０に出力される。乱数計算部２３０の処理の詳細については後述する。
　乱数暗号化部２４０は、上述した乱数暗号化部１４０と同様に、ナンスＮを用いて、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。ここで、乱数暗号化部２４０の演算の内容は、図７に示したものと実質的に同様である。したがって、乱数暗号化部２４０は、各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。そして、乱数暗号化部２４０は、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化して得られた暗号化結果を、次の区域＃（ｋ＋１）における処理の初期値（初期ステート）とする。したがって、暗号化された乱数Ｓ＿１＾（ｋ）は、次の区域＃（ｋ＋１）において復号部２２０の処理の初期値となる。また、暗号化された乱数Ｓ＿２＾（ｋ），・・・，Ｓ＿ω＾（ｋ）は、次の区域＃（ｋ＋１）において乱数計算部２３０の処理における各ラインｉ（２≦ｉ≦ω）の初期値となる。
　タグ生成部２５０は、上述したタグ生成部１５０と同様に、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、検査用のタグＴ＊を生成する。なお、タグＴ＊の生成方法については、タグ生成部１５０におけるタグＴの生成方法と実質的に同様である。したがって、タグ生成部２５０は、図９に示した演算を行う。つまり、タグ生成部２５０は、区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。タグ生成部２５０は、乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を暗号化することによって、暗号化結果であるタグＴ＊［１］，・・・，Ｔ＊［ω］を得る。そして、タグ生成部２５０は、Ｔ＊［１］，・・・，Ｔ＊［ω］を、タグＴ＊＝Ｔ＊［１］｜｜・・・｜｜Ｔ＊［ω］として、タグ検査部２６０に出力する。
　図１１は、実施の形態１にかかる認証復号装置２０の乱数暗号化部２４０及びタグ生成部２５０の処理を説明するための図である。なお、説明の明確化のため、図１１では、関連データを空としている。上述したように、認証復号装置２０は、暗号文Ｃの暗号文ブロックを、区域＃１，区域＃２，・・・区域＃βにそれぞれ対応する区域暗号文ブロックＣ［１］，Ｃ［２］，・・・，Ｃ［β］に区分けする。なお、上述したように、区域暗号文ブロックＣ［ｋ］それぞれには、（２＾ｂ－２）個の暗号文ブロックが含まれる。
　そして、復号部２２０及び乱数計算部２３０は、区域＃１について、入力されたナンスＮ及び区域暗号文ブロックＣ［１］を用いて、区域平文ブロックＭ［１］、及び、乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を生成する。乱数暗号化部２４０は、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を暗号化する。そして、乱数暗号化部２４０は、暗号化された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、次の区域＃２に対する処理における初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（１）は、次の区域＃２において復号部２２０の処理の初期値となる。また、暗号化された乱数Ｓ＿２＾（１），・・・，Ｓ＿ω＾（１）は、次の区域＃２において乱数計算部２３０の処理における各ラインの初期値となる。
　また、復号部２２０及び乱数計算部２３０は、区域＃２について、入力されたナンスＮ及び区域暗号文ブロックＣ［２］を用いて、区域平文ブロックＭ［２］、及び、乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を生成する。このとき、復号部２２０及び乱数計算部２３０は、区域＃２に対する処理において、Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）の暗号化結果を初期ステートとしている、乱数暗号化部２４０は、区域＃２について生成された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を暗号化する。そして、乱数暗号化部２４０は、暗号化された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を、次の区域＃３に対する処理における初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（２）は、次の区域＃３において復号部２２０の処理の初期値となる。また、暗号化された乱数Ｓ＿２＾（２），・・・，Ｓ＿ω＾（２）は、次の区域＃３において乱数計算部２３０の処理における各ラインの初期値となる。
　以下同様にして、復号部２２０及び乱数計算部２３０は、区域＃ｋそれぞれについて、入力されたナンスＮ及び区域暗号文ブロックＣ［ｋ］を用いて、区域平文ブロックＭ［ｋ］、及び、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。このとき、復号部２２０及び乱数計算部２３０は、区域＃ｋに対する処理において、Ｓ＿１＾（ｋ－１），・・・，Ｓ＿ω＾（ｋ－１）の暗号化結果を初期ステートとしている。乱数暗号化部２４０は、最後の区域＃β以外の区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。そして、乱数暗号化部２４０は、区域＃ｋにおいて暗号化された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、次の区域＃（ｋ＋１）の対する処理における初期値（初期ステート）とする。そして、タグ生成部２５０は、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、検査用のタグＴ＊［１］，・・・，Ｔ＊［ω］を得る。
　タグ検査部２６０は、認証暗号化装置１０によって生成された認証用のタグＴと、タグ生成部２５０によって生成された検査用のタグＴ＊とを比較して、改ざんの有無を検査する。そして、タグ検査部２６０は、検査結果に基づいて、情報を出力するための制御を行う。なお、タグ検査部２６０は、例えば、ディスプレイなどの出力装置に情報を表示させるための制御を行ってもよい。また、タグ検査部２６０は、例えば、ネットワークを介して接続された外部装置などに対して、情報を出力するように制御を行ってもよい。
　具体的には、タグ検査部２６０は、認証用のタグＴと検査用のタグＴ＊とが一致する場合に、認証が成功したとして、復号部２２０によって生成された平文Ｍ＝Ｍ［１］｜｜・・・｜｜Ｍ［β］を出力するための制御を行う。一方、タグ検査部２６０は、認証用のタグＴと検査用のタグＴ＊とが一致しない場合に、認証が失敗したとして、タグＴとタグＴ＊とが一致しないことを示すエラーメッセージ⊥を出力するための制御を行う。
　図１２～図１３は、実施の形態１にかかる認証復号処理における演算の概略を示す図である。図１２は、１区域目つまり区域＃１についての、復号部２２０及び乱数計算部２３０の演算の概略を示す図である。なお、区域＃１についてのＡＤ処理部２１０の演算の概略については、図５記載されたものと実質的に同様であるので、図示を省略している。また、図１３は、２区域目つまり区域＃２についての、復号部２２０及び乱数計算部２３０の演算の概略を示す図である。
　図１２に示すように、復号部２２０は、区域＃１について、暗号文ブロックＣ＿１，・・・，Ｃ＿ｍのうちのＣ＿１，・・・，Ｃ＿ｍ’に対して、復号処理を行う。具体的には、復号部２２０は、初期値としてＨ＿１を設定する。復号部２２０は、初期値Ｈ＿１をＴＢＣ関数ＥＫ ～で暗号化する。これにより、ＴＢＣ関数ＥＫ ～から、暗号化結果として、乱数であるＺ＿ａ＾（１）が出力される。そして、復号部２２０は、この出力された暗号化結果Ｚ＿ａと１つ目の暗号文ブロックＣ＿１との排他的論理和により、平文ブロックＭ＿１を得る。
　次に、復号部２２０は、平文ブロックＭ＿１をＴＢＣ関数ＥＫ ～で暗号化する。これにより、暗号化結果として、乱数であるＺ＿（ａ＋１）＾（１）が出力される。復号部２２０は、暗号化結果Ｚ＿（ａ＋１）＾（１）と２つ目の暗号文ブロックＣ＿２との排他的論理和により、平文ブロックＭ＿２を得る。以降、復号部２２０は、暗号文ブロックＣ＿ｉを用いて復号された平文ブロックＭ＿ｉの暗号化結果Ｚ＿（ａ＋ｉ）と暗号文ブロックＣ＿（ｉ＋１）との排他的論理和により、平文ブロックＭ＿（ｉ＋１）を得る、という処理を繰り返す。
　そして、復号部２２０は、Ｃ＿１，・・・，Ｃ＿ｍ’にそれぞれ対応する平文ブロックＭ＿１，・・・，Ｍ＿ｍ’を得る。また、復号部２２０は、暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿ａ＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を、乱数計算部２３０に出力する。なお、復号部２２０は、区域＃１における最後の平文ブロックＭ＿ｍ’を区域＃１における最後のＴＢＣ関数で暗号化することにより、区域＃１における最後の乱数Ｚ＿（ａ＋ｍ’）＾（１）を得る。また、復号部２２０は、最後の平文ブロックＭ＿ｍ’がＴＢＣ関数で暗号化されたら、その暗号化結果Ｚ＿（ａ＋ｍ’）＾（１）を、Ｓ＿１＾（１）として、乱数計算部２３０に出力する。
　また、図１２に示すように、乱数計算部２３０は、区域＃１について、復号部２２０で生成されるＺ＿ａ＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を処理する。なお、図１２には、ＡＤ処理部２１０については図示されていないが、図５と同様にして、乱数計算部２３０は、区域＃１について、ＡＤ処理部２１０で生成される乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ－１）＾（１）を処理する。つまり、乱数計算部２３０は、上記の式６により、式５に示した行列ＡＭを用いて、乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ－１）＾（１），Ｚ＿ａ＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を処理する。これにより、乱数計算部２３０は、区域＃１についての乱数の組Ｓ＿２＾（１），・・・，Ｓ＿ω＾（１）を生成する。言い換えると、乱数計算部２３０は、乱数Ｚ＿１＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）それぞれと行列ＡＭの対応する要素との乗算値の排他的論理和を計算することによって、乱数の組Ｓ＿２＾（１），・・・，Ｓ＿ω＾（１）を生成する。乱数計算部２３０は、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、乱数暗号化部２４０に出力する。
　乱数暗号化部２４０は、図１３に示すように、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、それぞれ、ナンスＮを含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’を用いて暗号化する。ＴＢＣ関数ＥＫ ～’を用いて暗号化された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）は、区域＃２における処理の際に復号部２２０及び乱数計算部２３０に入力される。
　また、図１３に示すように、復号部２２０は、区域＃２について、暗号文ブロックＣ＿１，・・・，Ｃ＿ｍのうち、Ｃ＿ｍ’から続く（２＾ｂ－２）個のＣ＿（ｍ’＋１），・・・，Ｃ＿（ｍ’＋２＾ｂ－２）に対して、区域＃１と同様の処理を行う。ここで、復号部２２０は、区域＃２については、乱数Ｓ＿１＾（１）を乱数暗号化部２４０で暗号化して得られた暗号化結果を初期値として、最初のＴＢＣ関数に入力する。つまり、区域＃１で生成された乱数Ｓ＿１＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「１」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、初期値に対応する。
　そして、復号部２２０は、Ｃ＿（ｍ’＋１），・・・，Ｃ＿（ｍ’＋２＾ｂ－２）にそれぞれ対応する平文ブロックＭ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－２）を得る。また、復号部２２０は、暗号化結果、つまりＴＢＣ関数の出力値である乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を、乱数計算部２３０に出力する。なお、復号部２２０は、区域＃２における最後の平文ブロックＭ＿（ｍ’＋２＾ｂ－２）を区域＃２における最後のＴＢＣ関数で暗号化することにより、区域＃２における最後の乱数Ｚ＿（２＾ｂ－１）＾（２）を得る。また、復号部２２０は、最後の平文ブロックＭ＿（ｍ’＋２＾ｂ－２）がＴＢＣ関数で暗号化されたら、その暗号化結果Ｚ＿（２＾ｂ－１）＾（２）を、Ｓ＿１＾（２）として、乱数計算部２３０に出力する。
　また、図１３に示すように、乱数計算部２３０は、乱数計算部１３０と実質的に同様にして、区域＃２について、復号部２２０で生成される乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を処理する。つまり、乱数計算部２３０は、上記の式６により、式５に示した行列ＡＭを用いて、乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を処理する。これにより、乱数計算部２３０は、区域＃２についての乱数の組Ｓ＿２＾（２），・・・，Ｓ＿ω＾（２）を生成する。言い換えると、乱数計算部２３０は、乱数Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）それぞれと行列ＡＭの対応する要素との乗算値の排他的論理和を計算することによって、乱数の組Ｓ＿２＾（２），・・・，Ｓ＿ω＾（２）を生成する。
　ここで、図８と同様に、乱数計算部２３０は、区域＃２については、乱数Ｓ＿ｉ＾（１）を乱数暗号化部２４０で暗号化して得られた暗号化結果を初期値として、各ラインｉに入力する。つまり、区域＃１で生成された乱数Ｓ＿２＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「２」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、ライン「２」の初期値に対応する。同様に、区域＃１で生成された乱数Ｓ＿ω＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「ω」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、ライン「ω」の初期値に対応する。乱数計算部２３０は、区域＃２について生成された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を、乱数暗号化部２４０に出力する。
　なお、図１２～図１３には、区域＃１及び区域＃２についての演算の概略が示されているが、区域＃３以降についても、図１３に示した区域＃２と実質的に同様の演算がなされる。したがって、区域＃３以降の具体的な処理の説明については省略する。なお、乱数計算部２３０は、乱数計算部１３０と同様に、ある区域について処理を行うごとに、式５に示した同じ行列ＡＭ（つまり同じ要素α）を繰り返し呼び出して、乱数の組を生成する。
＜認証暗号化方法及び認証復号方法＞
　次に、図１４及び図１５を用いて、実施の形態１にかかる認証暗号システム１にかかる動作について説明する。図１３は、実施の形態１にかかる認証暗号化装置１０で実行される認証暗号化方法を示すフローチャートである。
　入力部１００は、上述したように、平文Ｍ及び関連データＡを入力する（ステップＳ１０２）。分割部１０２は、上述したように、平文Ｍ及び関連データＡそれぞれを、所定長のブロック（平文ブロック及びＡＤブロック）に分割する（ステップＳ１０４）。また、分割部１０２は、上述したように、分割されたＡＤブロック及び平文ブロックを、区域ごとに区分けする（ステップＳ１０６）。ナンス生成部１０４は、上述したように、ナンスＮを生成する（ステップＳ１０８）。
　次に、認証暗号化装置１０は、ｋ＝１として、区域＃１を処理対象とする（ステップＳ１１０）。そして、ＡＤ処理部１１０は、上述したように、ＡＤブロックを処理する（ステップＳ１１２）。暗号化部１２０は、上述したように、平文ブロックを暗号化し、暗号文ブロックを取得する（ステップＳ１１４）。乱数計算部１３０は、上述したように、乱数Ｓの組を取得する（ステップＳ１１６）。
　そして、ｋ＝βでない場合（ステップＳ１１８のＮＯ）、つまり処理対象の区域が最後の区域＃βでない場合、乱数暗号化部１４０は、上述したように、乱数Ｓの組を暗号化する（ステップＳ１２０）。そして、乱数暗号化部１４０は、暗号化された乱数を、区域＃（ｋ＋１）、つまり区域＃２における処理の初期値とする（ステップＳ１２２）。そして、認証暗号化装置１０は、ｋを１つインクリメントして（ステップＳ１２４）、処理対象の区域を１つ進める。そして、Ｓ１１４～Ｓ１２４の処理が繰り返される。
　そして、ｋ＝βである場合（Ｓ１１８のＹＥＳ）、つまり処理対象の区域が最後の区域＃βである場合、タグ生成部１５０は、区域＃βにおいて生成された乱数Ｓの組を用いて、タグＴを生成する（ステップＳ１３２）。そして、出力部１６０は、ナンスＮ、関連データＡ、暗号文Ｃ、及びタグＴを出力する（ステップＳ１３４）。
　図１５は、実施の形態１にかかる認証復号装置２０で実行される認証復号方法を示すフローチャートである。入力部２００は、ナンスＮ、関連データＡ、暗号文Ｃ及びタグＴを入力する（ステップＳ２０２）。分割部２０２は、上述したように、暗号文Ｃ及び関連データＡそれぞれを、所定長のブロック（暗号文ブロック及びＡＤブロック）に分割する（ステップＳ２０４）。また、分割部２０２は、上述したように、分割されたＡＤブロック及び暗号文ブロックを、区域ごとに区分けする（ステップＳ２０６）。
　次に、認証復号装置２０は、ｋ＝１として、区域＃１を処理対象とする（ステップＳ２１０）。そして、ＡＤ処理部２１０は、上述したように、ＡＤブロックを処理する（ステップＳ２１２）。復号部２２０は、上述したように、暗号文ブロックを復号し、平文ブロックを取得する（ステップＳ２１４）。乱数計算部２３０は、上述したように、乱数Ｓの組を取得する（ステップＳ２１６）。
　そして、ｋ＝βでない場合（ステップＳ２１８のＮＯ）、つまり処理対象の区域が最後の区域＃βでない場合、乱数暗号化部２４０は、上述したように、乱数Ｓの組を暗号化する（ステップＳ２２０）。そして、乱数暗号化部２４０は、暗号化された乱数を、区域＃（ｋ＋１）、つまり区域＃２における処理の初期値とする（ステップＳ２２２）。そして、認証復号装置２０は、ｋを１つインクリメントして（ステップＳ２２４）、処理対象の区域を１つ進める。そして、Ｓ２１４～Ｓ２２４の処理が繰り返される。
　そして、ｋ＝βである場合（Ｓ２１８のＹＥＳ）、つまり処理対象の区域が最後の区域＃βである場合、タグ生成部２５０は、区域＃βにおいて生成された乱数Ｓの組を用いて、タグＴ＊を生成する（ステップＳ２３２）。タグ検査部２６０は、上述したように、認証用のタグＴと検査用のタグＴ＊とが一致するか否かを判定する（ステップＳ２４０）。認証用のタグＴと検査用のタグＴ＊とが一致する場合（Ｓ２４０のＹＥＳ）、タグ検査部２６０は、平文Ｍを出力する（ステップＳ２４２）。一方、認証用のタグＴと検査用のタグＴ＊とが一致しない場合（Ｓ２４０のＮＯ）、タグ検査部２６０は、エラーメッセージ⊥を出力する（ステップＳ２４４）。
＜効果＞
　上述したように、実施の形態１にかかる認証暗号化装置１０は、入力ブロック（ＡＤブロック及び平文ブロック）を、比較例にかかるＰＦＢωの手法で処理可能なサイズである（２＾ｂ－２）個のブロックを含む区域に区分けする。そして、実施の形態１にかかる認証暗号化装置１０は、各区域で生成される乱数Ｓの組から、タグＴを適切に導出するように構成されている。これにより、実施の形態１にかかる認証暗号システム１は、比較例にかかるＰＦＢωの手法では安全性上不可能であった、（２＾ｂ－１）個以上の入力ブロックを処理することが可能となる。
　そして、上述したように、比較例では、ωｂビットの安全性を実現できるにも関わらず、入力ブロック数の制限が、ｂビット安全性のＡＥの場合と同じとなっている。したがって、比較例において入力ブロック数の制限を超えるサイズ（ｂ×（２＾ｂ－２）ビットを超えるサイズ）の平文を送信しようとすると、前もって処理可能なブロック数ごとに平文を分割する必要がある。そして、分割された平文ごとに暗号化を行って、得られた暗号文の送信を行う必要がある。つまり、比較例では、１つの平文に対して、複数の（Ｎ，Ａ，Ｃ，Ｔ）を送信する必要がある。これに対し、実施の形態１にかかる認証暗号システム１では、処理可能なブロック数の制限がなくなるので、平文のサイズによらないで、一度で、暗号文を送信することが可能となる。つまり、実施の形態１では、単一の（Ｎ，Ａ，Ｃ，Ｔ）のみの送信を行うだけでよい。したがって、通信の負荷を抑制することが可能となる。
（実施の形態２）
　次に、実施の形態２について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。なお、実施の形態２にかかるシステム構成については、実施の形態１のシステム構成と実質的に同様であるので、説明を省略する。つまり、実施の形態２にかかる認証暗号システム１は、認証暗号化装置１０に対応する認証暗号化装置１０Ａと、認証復号装置２０に対応する認証復号装置２０Ａとを有する。
　実施の形態２は、上述した比較例にかかるＰＦＢωの方式を、比較例で言及されたΘＣＢの方式に拡張した場合の改良であるΘＣＢωに対応する。つまり、実施の形態２では、ＰＦＢωにおけるブロックのＴＢＣ関数を用いた処理（暗号化又は復号、及びＡＤ処理）を、並列に実行することができる。さらに、実施の形態２では、実施の形態１と同様に、平文ブロック（及びＡＤブロック）を所定の長さの区域に区分けして、区域ごとに、処理が行われる。
＜認証暗号化装置＞
　図１６は、実施の形態２にかかる認証暗号化装置１０Ａの構成を示す図である。図１６に示すように、認証暗号化装置１０Ａは、入力部１００と、分割部１０２Ａと、ナンス生成部１０４と、ＡＤ処理部１１０Ａと、暗号化部１２０Ａと、乱数計算部１３０Ａと、乱数暗号化部１４０Ａと、タグ生成部１５０Ａと、出力部１６０とを有する。
　認証暗号化装置１０Ａは、図２及び図３に示した認証暗号化装置１０に対応する。分割部１０２Ａは、実施の形態１にかかる分割部１０２に対応する。ＡＤ処理部１１０Ａは、実施の形態１にかかるＡＤ処理部１１０に対応する。暗号化部１２０Ａは、実施の形態１にかかる暗号化部１２０に対応する。乱数計算部１３０Ａは、実施の形態１にかかる乱数計算部１３０に対応する。乱数暗号化部１４０Ａは、実施の形態１にかかる乱数暗号化部１４０に対応する。タグ生成部１５０Ａは、実施の形態１にかかるタグ生成部１５０に対応する。なお、以下、認証暗号化装置１０Ａの構成について、主に、認証暗号化装置１０の構成と異なる部分について説明する。
　分割部１０２Ａは、実施の形態１にかかる分割部１０２と同様に、平文Ｍ及び関連データＡそれぞれを、所定長のブロックに分割する。具体的には、分割部１０２Ａは、平文Ｍを、それぞれｂビットの平文ブロックＭ＿１，・・・，Ｍ＿ｍに分割する。分割部１０２Ａは、平文ブロックＭ＿１，・・・，Ｍ＿ｍを、暗号化部１２０Ａに出力する。また、分割部１０２Ａは、関連データＡを、それぞれｂビットの長さのＡＤブロックＡ＿１，・・・，Ａ＿ａに分割する。分割部１０２Ａは、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、ＡＤ処理部１１０Ａに出力する。
　また、分割部１０２Ａは、分割されたＡＤブロックＡ＿１，・・・，Ａ＿ａ及び平文ブロックＭ＿１，・・・，Ｍ＿ｍを、それぞれブロック数（２＾ｂ－１）個の区域（グループ）に区分けする。つまり、実施の形態２では、１つの区域には、（２＾ｂ－１）個のブロックが含まれることとなる。このとき、分割部１０２Ａは、データ列Ｄ＝Ａ＿１｜｜・・・｜｜Ａ＿ａ｜｜Ｍ＿１｜｜・・・｜｜Ｍ＿ｍを、データ列の先頭のブロックから、区域＃１，区域＃２，・・・，区域＃βの順に区分けされるように、各区域に区分けする。なお、実施の形態１の場合と異なり、１つの区域に含まれるブロック数が（２＾ｂ－１）個であるのは、実施の形態２では、ブロックの並列処理が可能であるからである。詳しくは後述する。
　分割部１０２Ａは、区域＃１に全てのＡＤブロックＡ＿１，・・・，Ａ＿ａが含まれるように、区分けを行う。そして、ａ＜２＾ｂ－１の場合、分割部１０２Ａは、ｍ’個の平文ブロックが区域＃１に含まれるように、区分けを行う。ここで、ｍ’は区域＃１（１区域目）に含まれる平文ブロックの数である。そして、ｍ’は、ａ＋ｍ’＝２＾ｂ－１を満たす。そして、分割部１０２Ａは、残りの（ｍ－ｍ’）個の平文ブロックを、区域＃２～区域＃βに区分けする。以後、特に言及しない限り、ａ＜２＾ｂ－１であるとして説明する。なお、ａ＝２＾ｂ－１又はａ＞２＾ｂ－１である場合の処理については、実施の形態１においてａ＝２＾ｂ－２又はａ＞２＾ｂ－２であるの場合の処理と実質的に同様である。
　なお、関連データが空の場合、分割部１０２Ａは、データ列Ｄ＝Ｍ＿１｜｜・・・｜｜Ｍ＿ｍを、データ列の先頭から、区域＃１，区域＃２，・・・，区域＃βの順に区分けされるように、各区域に区分けする。このとき、区域＃１に区分けされた平文ブロックの数をｍ’とすると、ｍ’＝２＾ｂ－１となる。
　なお、区域＃ｋに区分けされた平文ブロックのビット列を「区域平文ブロックＭ［ｋ］」とすると、平文Ｍは、Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［β］とも表記され得る。このとき、少なくともＭ［１］及びＭ［β］以外の区域平文ブロックＭ［ｋ］に含まれる平文ブロックの数は、（２＾ｂ－１）個となる。また、関連データが空の場合、区域平文ブロックＭ［１］に含まれる平文ブロックの数も、（２＾ｂ－１）個となる。
　ＡＤ処理部１１０Ａは、実施の形態１にかかるＡＤ処理部１１０と同様に、関連データＡを処理する。ここで、ＡＤ処理部１１０Ａは、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて、並列に処理する。このとき、ＡＤ処理部１１０Ａは、上述した区域ごとに、ＡＤブロックを処理する。ＡＤ処理部１１０Ａは、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数に各ＡＤブロックを入力することで、乱数Ｚを得る。ＡＤ処理部１１０Ａは、各ＴＢＣ関数の出力値（乱数）である中間値Ｚ＿１，・・・，Ｚ＿ａを乱数計算部１３０Ａに出力する。ＡＤ処理部１１０Ａの処理の詳細については後述する。
　暗号化部１２０Ａは、実施の形態１にかかる暗号化部１２０と同様に、平文Ｍを処理する。ここで、暗号化部１２０Ａは、平文ブロックＭ＿１，・・・，Ｍ＿ｍを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて、並列に処理する。このとき、暗号化部１２０Ａは、上述した区域ごとに、ＴＢＣ関数を用いて、平文ブロック（平文）を並列に暗号化する。つまり、暗号化部１２０Ａは、区域＃１に含まれる平文ブロックについて、ＴＢＣ関数を用いて、並列に暗号化を行う。そして、暗号化部１２０Ａは、区域＃２に含まれる平文ブロックについて、ＴＢＣ関数を用いて、並列に暗号化を行う。以降、暗号化部１２０Ａは、区域＃ｋに含まれる平文ブロックを、ＴＢＣ関数を用いて、並列に暗号化する。つまり、暗号化部１２０Ａは、区域＃ｋに含まれる区域平文ブロックＭ［ｋ］について、平文ブロックごとに並列に暗号化を行う。暗号化部１２０Ａは、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数に各平文ブロックを入力することで、ＴＢＣ関数の出力値として、暗号文ブロックを得る。つまり、暗号化部１２０Ａは、区域ごとに、複数の平文ブロックをＴＢＣ関数を用いて並列に暗号化することによって、暗号文ブロックを生成する。
　暗号化部１２０Ａは、生成された暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、暗号文Ｃ＝Ｃ＿１｜｜・・・｜｜Ｃ＿ｍとして、出力部１６０に出力する。また、暗号化部１２０Ａは、区域＃ｋに含まれる区域平文ブロックＭ［ｋ］について暗号化を行って、区域暗号文ブロックＣ［ｋ］を得る。ここで、区域暗号文ブロックＣ［ｋ］は、区域平文ブロックＭ［ｋ］と同じブロック数の暗号文ブロックから構成される。また、暗号化部１２０Ａは、各区域においてＴＢＣ関数に入力される平文ブロック（ＴＢＣ関数の入力値）を、中間値Ｚとして、乱数計算部１３０Ａに出力する。暗号化部１２０Ａの処理の詳細については、後述する。
　なお、暗号化部１２０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、暗号化部８４において用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと異なり得る。詳しくは後述する。なお、区域ごとに行われるＡＤ処理及び暗号化処理等で用いられるＴＢＣ関数に入力されるＴｗｅａｋを互いに区別するため、実施の形態２にかかるＴｗｅａｋの桁数は、実施の形態１と同様に、比較例にかかるＴｗｅａｋの桁数よりも多くなっている。つまり、比較例では、１つの区域のみの処理が実行されるのに対し、実施の形態２では、複数の区域について処理が実行されるので、その分、Ｔｗｅａｋを区別するために桁数を多くする必要がある。
　乱数計算部１３０Ａは、実施の形態１にかかる乱数計算部１３０と同様に、タグを生成するための乱数を計算する。乱数計算部１３０Ａは、ＡＤ処理部１１０Ａで生成される乱数（中間値）Ｚ及び暗号化部１２０Ａから出力された平文ブロックと、所定の行列ＡＭとを用いて、タグを生成するための値を計算する。なお、実施の形態２にかかる行列ＡＭを、以下の式８に示す。ここで、行列ＡＭは、所定の値α＿（ｉ，ｊ）を要素とする、ω×（２＾ｂ－１）のサイズの行列である。
Figure JPOXMLDOC01-appb-M000008
 ・・・（８）
　乱数計算部１３０Ａは、区域ごとに、乱数Ｓを計算する。乱数計算部１３０Ａは、乱数計算部１３０と実質的に同様の処理を行って、区域ごとに乱数Ｓの組を生成する。具体的には、乱数計算部１３０Ａは、区域ごとに、ＡＤ処理部１１０Ａで生成される乱数（中間値）Ｚと、暗号化部１２０Ａから出力される平文ブロック（中間値Ｚ）と、所定の行列ＡＭとを用いて、ω個の乱数Ｓの組（Ｓ＿１，・・・，Ｓ＿ω）を生成する。ここで、後述するように、乱数Ｓの組は、次の区域における処理の初期値を生成するために使用される。また、最後の区域における処理で生成された乱数Ｓの組は、タグＴを生成するために使用される。乱数計算部１３０Ａは、各区域において、ω個のラインｉ（１≦ｉ≦ω）それぞれについて、中間値Ｚ＿ｊとα＿（ｉ，ｊ）との乗算値の排他的論理和を計算することによって、Ｓ＿ｉを算出する。詳しくは後述する。
　乱数計算部１３０Ａは、各区域＃ｋにおいて、以下の式９に示すように、行列ＡＭを用いて中間値Ｚ＿１＾（ｋ），・・・，Ｚ＿（２＾ｂ－１）＾（ｋ）を処理して、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。つまり、乱数計算部１３０Ａは、各区域＃ｋについて、式８に示した同じ行列ＡＭを用いて、乱数の組を生成する。
Figure JPOXMLDOC01-appb-M000009
 ・・・（９）
　なお、式９から、ｉ（１≦ｉ≦ω）に対して、以下の式１０が成り立つ。
Figure JPOXMLDOC01-appb-M000010
 ・・・（１０）
　ここで、乱数計算部１３０と同様に、乱数計算部１３０Ａは、区域ごとに、Ｚとαとの乗算値の排他的論理和の各ラインの初期値を、後述する乱数暗号化部１４０Ａで暗号化された、前の区域で生成された乱数の組とする。詳しくは後述する。乱数計算部１３０Ａは、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、乱数暗号化部１４０Ａに出力する。また、乱数計算部１３０Ａは、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、タグ生成部１５０Ａに出力する。乱数計算部１３０Ａの処理の詳細については後述する。
　乱数暗号化部１４０Ａは、上述した乱数暗号化部１４０と同様に、ナンスＮを用いて、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。ここで、乱数暗号化部１４０Ａの演算の内容は、図７に示したものと実質的に同様である。したがって、乱数暗号化部１４０Ａは、各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。そして、乱数暗号化部１４０Ａは、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化して得られた暗号化結果を、次の区域＃（ｋ＋１）における処理の初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）は、次の区域＃（ｋ＋１）において乱数計算部１３０Ａの処理における各ラインｉ（１≦ｉ≦ω）の初期値となる。
　タグ生成部１５０Ａは、上述したタグ生成部１５０と同様に、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、認証用のタグＴを生成する。なお、タグＴの生成方法については、タグ生成部１５０におけるタグＴの生成方法と実質的に同様である。したがって、タグ生成部１５０Ａは、図９に示した演算を行う。つまり、タグ生成部１５０Ａは、区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。タグ生成部１５０Ａは、乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を暗号化することによって、暗号化結果であるタグＴ［１］，・・・，Ｔ［ω］を得る。
　図１７は、実施の形態２にかかる認証暗号化装置１０Ａの乱数暗号化部１４０Ａ及びタグ生成部１５０Ａの処理を説明するための図である。なお、説明の明確化のため、図１７では、関連データを空としている。上述したように、認証暗号化装置１０は、平文Ｍの平文ブロックを、区域＃１，区域＃２，・・・区域＃βにそれぞれ対応する区域平文ブロックＭ［１］，Ｍ［２］，・・・，Ｍ［β］に区分けする。なお、上述したように、区域平文ブロックＭ［ｋ］それぞれには、（２＾ｂ－１）個の平文ブロックが含まれる。
　そして、暗号化部１２０Ａ及び乱数計算部１３０Ａは、区域＃１について、入力されたナンスＮ及び区域平文ブロックＭ［１］を用いて、区域暗号文ブロックＣ［１］、及び、乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を生成する。乱数暗号化部１４０Ａは、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を暗号化する。そして、乱数暗号化部１４０は、暗号化された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、次の区域＃２に対する処理における初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）は、次の区域＃２において乱数計算部１３０Ａの処理における各ラインの初期値となる。
　また、暗号化部１２０Ａ及び乱数計算部１３０Ａは、区域＃２について、入力されたナンスＮ及び区域平文ブロックＭ［２］を用いて、区域暗号文ブロックＣ［２］、及び、乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を生成する。このとき、乱数計算部１３０Ａは、区域＃２に対する処理において、Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）の暗号化結果を初期ステートとしている。乱数暗号化部１４０Ａは、区域＃２について生成された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を暗号化する。そして、乱数暗号化部１４０Ａは、暗号化された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を、次の区域＃３に対する処理における初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）は、次の区域＃３において乱数計算部１３０Ａの処理における各ラインの初期値となる。
　以下同様にして、暗号化部１２０Ａ及び乱数計算部１３０Ａは、区域＃ｋそれぞれについて、入力されたナンスＮ及び区域平文ブロックＭ［ｋ］を用いて、区域暗号文ブロックＣ［ｋ］、及び、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。このとき、暗号化部１２０Ａ及び乱数計算部１３０Ａは、区域＃ｋに対する処理において、Ｓ＿１＾（ｋ－１），・・・，Ｓ＿ω＾（ｋ－１）の暗号化結果を初期ステートとしている。乱数暗号化部１４０Ａは、最後の区域＃β以外の区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。そして、乱数暗号化部１４０Ａは、区域＃ｋにおいて暗号化された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、次の区域＃（ｋ＋１）における初期値（初期ステート）とする。
　このとき、暗号化部１２０Ａは、各区域それぞれについて、後述する図１９及び図２０に示す演算をサブルーチンとして用いて、処理を行うことができる。また、乱数計算部１３０Ａは、各区域それぞれについて、式８に示す行列ＡＭを呼び出して、後述する図１８～図２０に示す演算をサブルーチンとして用いて、処理を行うことができる。これらのことは、後述する認証復号装置２０Ａにおける復号処理においても同様である。
　そして、タグ生成部１５０Ａは、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、認証用のタグＴ［１］，・・・，Ｔ［ω］を得る。ここで、上述したように、認証用のタグＴは、乱数の組を、ナンスＮ及び平文ブロックの数ｍ（平文長）を含むＴｗｅａｋを入力とするＴＢＣ関数で暗号化された暗号化結果である。したがって、タグＴの組の安全性が確保されている。
　図１８～図２０は、実施の形態２にかかる認証暗号処理における演算の概略を示す図である。図１８は、１区域目つまり区域＃１についての、ＡＤ処理部１１０Ａ及び乱数計算部１３０Ａの演算の概略を示す図である。また、図１９は、１区域目つまり区域＃１についての、暗号化部１２０Ａ及び乱数計算部１３０Ａの演算の概略を示す図である。また、図２０は、２区域目つまり区域＃２についての、暗号化部１２０Ａ及び乱数計算部１３０Ａの演算の概略を示す図である。
　図１８に示すように、ＡＤ処理部１１０Ａは、区域＃１について、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて、並列に処理する。具体的には、ＡＤ処理部１１０Ａは、ＡＤブロックＡ＿１をＴＢＣ関数で暗号化する。これにより、ＴＢＣ関数から、暗号化結果として、中間値（乱数）であるＺ＿１＾（１）が出力される。同様に、ＡＤ処理部１１０Ａは、ＡＤブロックＡ＿２を、ＴＢＣ関数で暗号化する。これにより、ＴＢＣ関数から、暗号化結果として、中間値（乱数）であるＺ＿２＾（１）が出力される。同様に、ＡＤ処理部１１０Ａは、ＡＤブロックＡ＿ａを、ＴＢＣ関数で暗号化する。これにより、ＴＢＣ関数から、暗号化結果として、中間値（乱数）であるＺ＿ａ＾（１）が出力される。ＡＤ処理部１１０Ａは、暗号化結果、つまりＴＢＣ関数の出力値である中間値Ｚ＿１＾（１），・・・，Ｚ＿ａ＾（１）を、乱数計算部１３０Ａに出力する。
　ここで、実施の形態１では、ＴＢＣ関数からの出力値である乱数Ｚの数は、ＡＤブロックの数よりも１つ少ない。これに対し、実施の形態２では、ＡＤブロックの並列処理が可能であることから、ＴＢＣ関数からの出力値である中間値Ｚの数は、ＡＤブロックの数と同じとなる。なお、図１８～図２０の例では、ａ＜２＾ｂ－１であるので、ＡＤ処理部１１０Ａは、区域＃１についてのみ、処理を行う。
　また、図１９に示すように、暗号化部１２０Ａは、区域＃１について、平文ブロックＭ＿１，・・・，Ｍ＿ｍのうちのＭ＿１，・・・，Ｍ＿ｍ’に対して、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて、並列に暗号化処理を行う。具体的には、暗号化部１２０Ａは、平文ブロックＭ＿１を、ＴＢＣ関数で暗号化する。これにより、ＴＢＣ関数から、暗号化結果として、暗号文ブロックＣ＿１が出力される。同様に、暗号化部１２０Ａは、平文ブロックＭ＿２を、ＴＢＣ関数で暗号化する。これにより、ＴＢＣ関数から、暗号化結果として、暗号文ブロックＣ＿２が出力される。同様に、暗号化部１２０Ａは、平文ブロックＭ＿ｍ’を、ＴＢＣ関数で暗号化する。これにより、ＴＢＣ関数から、暗号化結果として、暗号文ブロックＣ＿ｍ’が出力される。このようにして、暗号化部１２０Ａは、Ｍ＿１，・・・，Ｍ＿ｍ’にそれぞれ対応する暗号文ブロックＣ＿１，・・・，Ｃ＿ｍ’を得る。また、暗号化部１２０Ａは、ＴＢＣ関数の入力である平文ブロックＭ＿１，・・・，Ｍ＿ｍ’を、それぞれ、中間値Ｚ＿（ａ＋１）＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）として、乱数計算部１３０Ａに出力する。
　なお、ＡＤ処理部１１０Ａ及び暗号化部１２０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、ＡＤ処理部１１０及び暗号化部１２０におけるものと実質的に同様の規則によって設定され得る。すなわち、ＡＤ処理部１１０Ａにおいて使用されるＴＢＣ関数に入力されるＴｗｅａｋは、関連データＡのブロックインデックスｉ（１≦ｉ≦ａ）に対して、（０＾ｎ，ｉ，０，０，０）となる。また、暗号化部１２０Ａにおいて使用されるＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉ（１≦ｉ≦ｍ’）に対して、（Ｎ，ａ，ｉ，０，０）となる。なお、区域＃１について、暗号化部１２０Ａの最後に用いられるＴＢＣ関数に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ’，１，０）である。つまり、区域の最後に用いられるＴＢＣ関数に入力されるＴｗｅａｋについては、（Ｎ，ａ，ｉ，ｘ，０）のｘを、「１」とする。このようにＴｗｅａｋを設定することによって、あるＴｗｅａｋが他のＴｗｅａｋと一致することがなくなる。
　また、図１８及び図１９に示すように、乱数計算部１３０Ａは、区域＃１について、ＡＤ処理部１１０Ａ及び暗号化部１２０Ａから出力される中間値Ｚ＿１＾（１），・・・，Ｚ＿ａ＾（１），Ｚ＿（ａ＋１）＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を処理する。つまり、乱数計算部１３０Ａは、上記の式９により、式８に示した行列ＡＭを用いて、中間値Ｚ＿１＾（１），・・・，Ｚ＿ａ＾（１），Ｚ＿（ａ＋１）＾（１），・・・，Ｚ＿（ａ＋ｍ’）＾（１）を処理する。これにより、乱数計算部１３０Ａは、区域＃１についての乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を生成する。乱数計算部１３０Ａは、区域＃１について生成された乱数の組Ｓ＿１＾（１），・・・，Ｓ＿ω＾（１）を、乱数暗号化部１４０Ａに出力する。
　乱数暗号化部１４０Ａは、図２０に示すように、区域＃１について生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、それぞれ、ナンスＮを含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’を用いて暗号化する。そして、得られた暗号化結果は、区域＃２における処理の際に乱数計算部１３０Ａに入力される。ここで、実施の形態１と同様に、ＴＢＣ関数ＥＫ ～’は、図１８～図２０に記載されるどのＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋとも異なるＴｗｅａｋが入力されるＴＢＣ関数である。また、ＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋは、ＡＤブロック数ａ及び平文ブロック数ｍを含まないで、他のＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋと異なるように設定される。また、上述したように、Ｓ＿ｉ＾（ｋ）を暗号化するＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋは、このＴＢＣ関数をＴＢＣ関数ＥＫ ～の形式で記述すると仮定した場合、（Ｎ，ｋ，ｉ，０，０，１）としてもよい。つまり、ＴＢＣ関数ＥＫ ～’に入力されるＴｗｅａｋの最後の値を「１」としてもよい。一方、この場合、ＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ’，０，０，０）のように、最後の値を「０」にしてもよい。したがって、Ｔｗｅａｋの重複を避けることができる。
　また、図２０に示すように、暗号化部１２０Ａは、区域＃２について、平文ブロックＭ＿１，・・・，Ｍ＿ｍのうち、Ｍ＿ｍ’から続く（２＾ｂ－１）個のＭ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－１）に対して、区域＃１と同様の処理を行う。すなわち、暗号化部１２０Ａは、区域＃２について、平文ブロックＭ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－１）に対して、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて、並列に暗号化処理を行う。これにより、暗号化部１２０Ａは、平文ブロックＭ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－１）にそれぞれ対応する暗号文ブロックＣ＿（ｍ’＋１），・・・，Ｃ＿（ｍ’＋２＾ｂ－１）を得る。また、暗号化部１２０Ａは、ＴＢＣ関数の入力である平文ブロックＭ＿（ｍ’＋１），・・・，Ｍ＿（ｍ’＋２＾ｂ－１）を、それぞれ、中間値Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）として、乱数計算部１３０Ａに出力する。
　また、図２０に示すように、乱数計算部１３０Ａは、区域＃２について、暗号化部１２０Ａから出力される、平文ブロックに対応する中間値Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を処理する。つまり、乱数計算部１３０Ａは、上記の式９により、式８に示した行列ＡＭを用いて、中間値Ｚ＿１＾（２），・・・，Ｚ＿（２＾ｂ－１）＾（２）を処理する。これにより、乱数計算部１３０Ａは、区域＃２についての乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を生成する。
　ここで、乱数計算部１３０Ａは、区域＃２については、乱数Ｓ＿ｉ＾（１）を乱数暗号化部１４０Ａで暗号化して得られた暗号化結果を初期値として、各ラインｉに入力する。つまり、区域＃１で生成された乱数Ｓ＿１＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「１」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、ライン「１」の初期値に対応する。同様に、区域＃１で生成された乱数Ｓ＿ω＾（１）を、ナンスＮ、区域＃１のインデックス「１」及びラインインデックス「ω」を含むＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～’によって暗号化して得られた暗号化結果が、ライン「ω」の初期値に対応する。乱数計算部１３０Ａは、区域＃２について生成された乱数の組Ｓ＿１＾（２），・・・，Ｓ＿ω＾（２）を、乱数暗号化部１４０Ａに出力する。
　なお、区域＃２について、暗号化部１２０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、暗号化部１２０におけるものと実質的に同様の規則によって設定され得る。すなわち、暗号化部１２０Ａにおいて使用されるＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉ（ｍ’＋１≦ｉ≦ｍ’＋２＾ｂ－１）に対して、（Ｎ，ａ，ｉ，０，０）となる。なお、区域＃２について、暗号化部１２０Ａの最後に用いられるＴＢＣ関数に入力されるＴｗｅａｋは、（Ｎ，ａ，ｍ’＋２＾ｂ－１，１，０）である。つまり、区域の最後に用いられるＴＢＣ関数に入力されるＴｗｅａｋについては、（Ｎ，ａ，ｉ，ｘ，０）のｘを、「１」とする。このようにＴｗｅａｋを設定することによって、あるＴｗｅａｋが他のＴｗｅａｋと一致することがなくなる。
　ここで、上述した比較例にかかる問題点で述べたように、行列ＡＭの列数は、２＾ｂ－１を超えてはならない。したがって、実施の形態１と同様に、実施の形態２においても、式８で示したように、行列ＡＭの列数は、（２＾ｂ－１）個である。ここで、実施の形態２にかかる認証暗号では、各ブロックに並列に暗号化する。したがって、実施の形態２では、図１８で示すように、ａ個のＡＤブロックを処理するためには、列数をａとする行列ＡＭを準備すればよい。また、実施の形態２では、図１９及び図２０で示すように、ｍ”個の平文ブロックを処理するためには、列数をｍ”とする行列ＡＭを準備すればよい。すなわち、実施の形態２では、処理すべきブロックの数と、対応する行列ＡＭの列数とが、一致している。したがって、上述した比較例にかかる問題点で述べた行列ＡＭの条件を満たすためには、ａ＋ｍ”≦２＾ｂ－１であればよい。したがって、実施の形態２では、１つの区域に含まれるブロック（ＡＤブロック又は平文ブロック）の数を、（２＾ｂ－１）個としている。また、区域＃１について、ａ＋ｍ’＝２＾ｂ－１である。したがって、実施の形態２において１つの区域で処理できるブロックの数は、実施の形態１において１つの区域で処理できるブロックの数よりも、１つ多くてもよい。なお、ａ＋ｍ’＝２＾ｂ－１であるので、図１９のα＿（１，ａ＋ｍ’）は、式８のα＿（１，２＾ｂ－１）に対応する。
　なお、図１８～図２０には、区域＃１及び区域＃２についての演算の概略が示されているが、区域＃３以降についても、図２０に示した区域＃２と実質的に同様の演算がなされる。したがって、区域＃３以降の具体的な処理の説明については省略する。なお、暗号化部１２０Ａは、ある区域について処理を行うごとに、ＴＢＣ関数を繰り返し呼び出して、平文ブロックを暗号化する。また、乱数計算部１３０Ａは、ある区域について処理を行うごとに、前の区域について得られた乱数を暗号化して得られた暗号化結果を各ラインの初期値とし、式８に示した同じ行列ＡＭ（つまり同じ要素α）を繰り返し呼び出して、乱数の組を生成する。
　なお、暗号化部１２０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、図２０を用いて上述した規則に従って設定される。つまり、各区域＃ｋにおいて、１番目から（２＾ｂ－２）番目のＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉに対して、（Ｎ，ａ，ｉ，０，０）となる。また、各区域＃ｋにおいて、（２＾ｂ－１）番目のＴＢＣ関数に入力されるＴｗｅａｋは、平文Ｍのブロックインデックスｉに対して、（Ｎ，ａ，ｉ，１，０）となる。なお、ここでは、ｉは平文ブロック数ｍのインデックスであるので、ある区域＃ｋにおけるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、別の区域におけるＴＢＣ関数それぞれに入力されるＴｗｅａｋとは異なることとなる。なお、最終の区域＃βにおいて、平文ブロック数が２＾ｂ－１に満たない場合、その満たない分の中間値Ｚ＿（ｊ）＾（β）の値が０となる。これらのことは、後述する認証復号装置２０Ａにおける復号処理においても同様である。
　タグ生成部１５０Ａは、図９に示すように、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、それぞれ、ナンスＮとＡＤブロック数ａと平文ブロック数ｍとを含むＴｗｅａｋを用いて、認証用のタグＴを生成する。ここで、実施の形態１と同様に、タグ生成部１５０Ａで用いられるＴＢＣ関数には、一度のみ用いられるＴｗｅａｋが入力される。そして、タグ生成部１５０Ａは、Ｔ［１］，・・・，Ｔ［ω］を、タグＴ＝Ｔ［１］｜｜・・・｜｜Ｔ［ω］として出力する。
　ここで、乱数暗号化部１４０ＡではＴＢＣ関数ＥＫ ～’が用いられているのに対し、タグ生成部１５０ＡではＴＢＣ関数ＥＫ ～が用いられている。したがって、タグ生成部１５０Ａにおいて用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、乱数暗号化部１４０Ａで用いられるＴＢＣ関数に入力されるＴｗｅａｋとは異なることとなる。また、ＡＤ処理部１１０Ａ及び暗号化部１２０Ａで用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋとは異なり、タグ生成部１５０Ａにおいて用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、は、区域数β及びラインインデックスｉを含む。したがって、タグ生成部１５０Ａにおいて用いられるＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋは、ＡＤ処理部１１０Ａ及び暗号化部１２０Ａで用いられるＴＢＣ関数に入力されるＴｗｅａｋとは異なることとなる。したがって、Ｔｗｅａｋの重複を避けることができる。これらのことは、後述する認証復号装置２０Ａにおける復号処理においても同様である。
＜認証復号装置＞
　図２１は、実施の形態２にかかる認証復号装置２０Ａの構成を示す図である。図２１に示すように、認証復号装置２０Ａは、入力部２００と、分割部２０２Ａと、ＡＤ処理部２１０Ａと、復号部２２０Ａと、乱数計算部２３０Ａと、乱数暗号化部２４０Ａと、タグ生成部２５０Ａと、タグ検査部２６０とを有する。
　認証復号装置２０Ａは、図２及び図１０に示した認証復号装置２０に対応する。分割部２０２Ａは、実施の形態１にかかる分割部２０２に対応する。ＡＤ処理部２１０Ａは、実施の形態１にかかるＡＤ処理部２１０に対応する。復号部２２０Ａは、実施の形態１にかかる復号部２２０に対応する。乱数計算部２３０Ａは、実施の形態１にかかる乱数計算部２３０に対応する。乱数暗号化部２４０Ａは、実施の形態１にかかる乱数暗号化部２４０に対応する。タグ生成部２５０Ａは、実施の形態１にかかるタグ生成部２５０に対応する。なお、以下、認証復号装置２０Ａの構成について、主に、認証復号装置２０の構成と異なる部分について説明する。
　分割部２０２Ａは、分割部１０２Ａと同様に、暗号文Ｃ及び関連データＡそれぞれを、所定長のブロックに分割する。具体的には、分割部２０２Ａは、暗号文Ｃを、それぞれｂビットの暗号文ブロックＣ＿１，・・・，Ｃ＿ｍに分割する。また、分割部２０２Ａは、関連データＡを、それぞれｂビットの長さのＡＤブロックＡ＿１，・・・，Ａ＿ａに分割する。分割部２０２Ａは、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、ＡＤ処理部２１０Ａに出力する。
　また、上述した分割部１０２Ａと同様に、分割部２０２Ａは、分割されたＡＤブロックＡ＿１，・・・，Ａ＿ａ及び暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、それぞれブロック数（２＾ｂ－１）個の区域（グループ）に区分けする。つまり、１つの区域には、（２＾ｂ－１）個のブロックが含まれることとなる。このとき、分割部２０２Ａは、データ列Ｄ＝Ａ＿１｜｜・・・｜｜Ａ＿ａ｜｜Ｃ＿１｜｜・・・｜｜Ｃ＿ｍを、データ列の先頭のブロックから、区域＃１，区域＃２，・・・，区域＃βの順に区分けされるように、各区域に区分けする。なお、区分けの方法は、上述した分割部１０２Ａの場合と同様であってもよい。
　なお、区域＃ｋに区分けされた暗号文ブロックのビット列を「区域暗号文ブロックＣ［ｋ］」とすると、暗号文Ｃは、Ｃ＝Ｃ［１］｜｜Ｃ［２］｜｜・・・｜｜Ｃ［β］とも表記され得る。このとき、少なくともＣ［１］及びＣ［β］以外の区域暗号文ブロックＣ［ｋ］に含まれる暗号文ブロックの数は、（２＾ｂ－１）個となる。また、関連データが空の場合、区域暗号文ブロックＣ［１］に含まれる暗号文ブロックの数も、（２＾ｂ－１）個となる。
　ＡＤ処理部２１０Ａは、上述したＡＤ処理部１１０Ａと実質的に同様の処理を行う。つまり、ＡＤ処理部２１０Ａは、ＡＤブロックＡ＿１，・・・，Ａ＿ａを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて処理する。このとき、ＡＤ処理部２１０Ａは、上述した区域ごとに、ＡＤブロックを処理する。ＡＤ処理部２１０Ａは、ＴＢＣ関数の出力値（乱数）である中間値Ｚ＿１，・・・，Ｚ＿ａを乱数計算部２３０Ａに出力する。なお、ＡＤ処理部２１０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、上述したＡＤ処理部１１０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと、実質的に同様に設定されてもよい。
　復号部２２０Ａは、上述した暗号化部１２０Ａにおける暗号化処理に対応した復号処理を行う。復号部２２０Ａは、暗号文ブロックＣ＿１，・・・，Ｃ＿ｍを、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数を用いて、並列に処理する。このとき、復号部２２０Ａは、上述した区域ごとに、暗号文ブロック（暗号文）を、並列に復号する。つまり、復号部２２０Ａは、区域＃１に含まれる暗号文ブロックについて、上述した暗号化部１２０Ａにおける暗号化処理に対応した復号処理を行う。そして、復号部２２０Ａは、区域＃２に含まれる暗号文ブロックについて、上述した暗号化部１２０Ａにおける暗号化処理に対応した復号処理を行う。以降、復号部２２０Ａは、区域＃ｋに含まれる暗号文ブロックについて、上述した暗号化部１２０Ａにおける暗号化処理に対応した復号処理を行う。つまり、復号部２２０Ａは、区域＃ｋに含まれる区域暗号文ブロックＣ［ｋ］について、復号を行う。復号部２２０Ａは、鍵Ｋ及びＴｗｅａｋが入力されたＴＢＣ関数（復号関数）に各暗号文ブロックを入力することで、ＴＢＣ関数の出力値として、平文ブロックを得る。この復号関数は、上述した暗号化部１２０Ａで用いられるＴＢＣ関数ＥＫ ～が行う暗号化処理に対応する復号処理を行うように構成されている。
　復号部２２０Ａは、生成された平文ブロックＭ＿１，・・・，Ｍ＿ｍを、平文Ｍ＝Ｍ＿１｜｜・・・｜｜Ｍ＿ｍとして、タグ検査部２６０に出力する。また、復号部２２０Ａは、区域＃ｋに含まれる区域暗号文ブロックＣ［ｋ］について復号を行って、区域平文ブロックＭ［ｋ］を得る。なお、復号部２２０Ａは、得られた平文を、平文Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［β］として、タグ検査部２６０に出力してもよい。また、復号部２２０Ａは、各区域においてＴＢＣ関数（復号関数）から出力される平文ブロック（ＴＢＣ関数の出力値）を、中間値Ｚとして、乱数計算部２３０Ａに出力する。
　なお、復号部２２０Ａにおける演算は、図１９及び図２０における暗号化部１２０Ａにおいて、暗号化関数であるＴＢＣ関数を復号関数に置き換え、復号関数（ＴＢＣ関数）に暗号文ブロックを入力し、平文ブロックが出力されるように置き換えたものに対応する。なお、復号部２２０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋは、上述した暗号化部１２０Ａにおいて用いられるＴＢＣ関数それぞれに入力されるＴｗｅａｋと、実質的に同様に設定されてもよい。
　乱数計算部２３０Ａは、上述した乱数計算部１３０Ａと同様に、ＡＤ処理部２１０Ａ及び復号部２２０Ａで生成される乱数Ｚと、式８に示した所定の行列ＡＭとを用いて、タグを生成するための乱数を計算する。このとき、乱数計算部２３０Ａは、区域ごとに、乱数を計算する。具体的には、乱数計算部２３０Ａは、区域ごとに、ＡＤ処理部２１０Ａ及び復号部２２０Ａで生成される中間値Ｚと、所定の行列ＡＭとを用いて、ω個の乱数Ｓの組（Ｓ＿１，・・・，Ｓ＿ω）を生成する。ここで、上述した乱数計算部１３０Ａの場合と同様に、乱数Ｓの組は、次の区域における処理の初期値を生成するために使用される。また、最後の区域における処理で生成された乱数Ｓの組は、検査用のタグＴ＊を生成するために使用される。乱数計算部２３０Ａは、上述した乱数計算部１３０Ａと同様に、各区域において、ω個のラインｉ（１≦ｉ≦ω）それぞれについて、中間値Ｚ＿ｊとα＿（ｉ，ｊ）との乗算値の排他的論理和を行うことによって、Ｓ＿ｉを算出する。つまり、乱数計算部２３０Ａは、各区域＃ｋにおいて、上記の式９に示すように、行列ＡＭを用いて乱数Ｚ＿１＾（ｋ），・・・，Ｚ＿（２＾ｂ－１）＾（ｋ）を処理して、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を生成する。
　ここで、乱数計算部１３０Ａと同様に、乱数計算部２３０Ａは、区域ごとに、Ｚとαとの乗算値の排他的論理和の各ラインの初期値を、後述する乱数暗号化部２４０Ａで暗号化された、前の区域で生成された乱数の組とする。乱数計算部２３０Ａは、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、乱数暗号化部２４０Ａに出力する。また、乱数計算部２３０Ａは、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、タグ生成部２５０Ａに出力する。
　乱数暗号化部２４０Ａは、上述した乱数暗号化部１４０と同様に、ナンスＮを用いて、最後の区域＃β以外の各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化する。ここで、乱数暗号化部２４０Ａの演算の内容は、図７に示したものと実質的に同様である。したがって、乱数暗号化部２４０Ａは、各区域＃ｋについて生成された乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。そして、乱数暗号化部２４０Ａは、乱数の組Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）を暗号化して得られた暗号化結果を、次の区域＃（ｋ＋１）における処理の初期値（初期ステート）とする。つまり、暗号化された乱数Ｓ＿１＾（ｋ），・・・，Ｓ＿ω＾（ｋ）は、次の区域＃（ｋ＋１）において乱数計算部２３０Ａの処理における各ラインｉ（１≦ｉ≦ω）の初期値となる。
　タグ生成部２５０Ａは、上述したタグ生成部２５０と同様に、最後の区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）と、ナンスＮとを用いて、検査用のタグＴ＊を生成する。なお、タグＴの生成方法については、タグ生成部１５０におけるタグＴの生成方法と実質的に同様である。したがって、タグ生成部２５０Ａは、図９に示した演算を行う。つまり、タグ生成部２５０Ａは、区域＃βについて生成された乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を、ナンスＮを含むＴｗｅａｋ及び鍵Ｋが入力されたＴＢＣ関数を用いて暗号化する。タグ生成部２５０Ａは、乱数の組Ｓ＿１＾（β），・・・，Ｓ＿ω＾（β）を暗号化することによって、暗号化結果であるタグＴ＊［１］，・・・，Ｔ＊［ω］を得る。そして、タグ生成部２５０Ａは、Ｔ＊［１］，・・・，Ｔ＊［ω］を、タグＴ＊＝Ｔ＊［１］｜｜・・・｜｜Ｔ＊［ω］として、タグ検査部２６０に出力する。
＜効果＞
　実施の形態２にかかる認証暗号システム１は、上述した実施の形態１にかかる認証暗号システム１と実質的に同様の効果を奏し得る。つまり、上述したように、実施の形態２にかかる認証暗号化装置１０Ａは、入力ブロック（ＡＤブロック及び平文ブロック）を、比較例にかかる手法で処理可能なサイズである（２＾ｂ－１）個のブロックを含む区域に区分けする。そして、実施の形態２にかかる認証暗号化装置１０Ａは、各区域で生成される乱数Ｓの組から、タグＴを適切に導出するように構成されている。これにより、実施の形態２にかかる認証暗号システム１は、比較例にかかる手法では安全性上不可能であった、（２＾ｂ－１）個以上の入力ブロックを処理することが可能となる。また、実施の形態２にかかる認証暗号システム１においても、処理可能なブロック数の制限がなくなるので、平文のサイズによらないで、一度で、暗号文を送信することが可能となる。つまり、実施の形態２においても、単一の（Ｎ，Ａ，Ｃ，Ｔ）のみの送信を行うだけでよい。したがって、通信の負荷を抑制することが可能となる。
（実施の形態３）
　次に、実施の形態３について説明する。実施の形態３は、上述した実施の形態にかかる構成の概要を示している。
　図２２は、実施の形態３にかかる認証暗号化装置３０の構成を示す図である。実施の形態３にかかる認証暗号化装置３０は、実施の形態１にかかる認証暗号化装置１０及び実施の形態２にかかる認証暗号化装置１０Ａに対応する。実施の形態３にかかる認証暗号化装置３０は、暗号化部３２０と、乱数計算部３３０と、乱数暗号化部３４０と、タグ生成部３５０とを有する。暗号化部３２０は、暗号化手段としての機能を有する。乱数計算部３３０は、乱数計算手段（第１の乱数計算手段）としての機能を有する。乱数暗号化部３４０は、乱数暗号化手段（第１の乱数暗号化手段）としての機能を有する。タグ生成部３５０は、タグ生成手段（第１のタグ生成手段）としての機能を有する。
　暗号化部３２０は、図３に示した暗号化部１２０又は図１６に示した暗号化部１２０Ａが有している機能と実質的に同様の機能によって実現できる。暗号化部３２０は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号（ＴＢＣ関数）を用いて、所定の長さ（例えばｂビット）の平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する。
　ここで、上述した実施の形態では、「所定の長さの区域」は、平文ブロックのビット長をｂビットとした場合に、実施の形態１では（２＾ｂ－２）個のブロックを含み得る区域に対応し、実施の形態２では（２＾ｂ－１）個のブロックを含み得る区域に対応する。しかしながら、「所定の長さの区域」は、これらの数のブロックを含み得る区域に限られない。なお、上述したように、最後の区域では、（２＾ｂ－２）個（又は（２＾ｂ－１）個）のブロックを有する必要はない。また、関連データが入力される場合、少なくとも最初の区域では、（２＾ｂ－２）個（又は（２＾ｂ－１）個）の平文ブロックが含まれていないことがある。これらのことは、後述する実施の形態３にかかる認証復号装置４０においても同様である。
　乱数計算部３３０は、図３に示した乱数計算部１３０又は図１６に示した乱数計算部１３０Ａが有している機能と実質的に同様の機能によって実現できる。乱数計算部３３０は、暗号化において、各区域におけるＴｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する。
　ここで、「Ｔｗｅａｋａｂｌｅブロック暗号に関する関数」は、上述した実施の形態では、ＴＢＣ関数に対応する。また、「第１のデータ」は、実施の形態１では、ＴＢＣ関数から出力された乱数Ｚに対応する。一方、実施の形態２では、「第１のデータ」は、ＴＢＣ関数に入力される平文ブロック（中間値Ｚ）に対応する。なお、第１のデータは、ＴＢＣ関数に入力されるデータ、又は、ＴＢＣ関数から出力されるデータに限られない。第１のデータは、ＴＢＣ関数の入力データ及び出力データの両方を用いて導出されてもよい。また、「Ｔｗｅａｋａｂｌｅブロック暗号に関する関数」は、上述した実施の形態におけるＴＢＣ関数に限られない。これらのことは、後述する実施の形態３にかかる認証復号装置４０においても同様である。
　また、「所定の行列」は、上述した行列ＡＭに対応するが、これに限られない。なお、上述した実施の形態１では、「所定の行列」は、式５に示した行列ＡＭに対応する。また、上述した実施の形態２では、「所定の行列」は、式８に示した行列ＡＭに対応する。また、「所定の値」とは、上述した行列ＡＭにおける要素であるαに対応するが、これに限られない。また、乱数計算部３３０によって生成される乱数は、上述した乱数Ｓに対応するが、これに限られない。これらのことは、後述する実施の形態３にかかる認証復号装置４０においても同様である。
　乱数暗号化部３４０は、図３に示した乱数暗号化部１４０又は図１６に示した乱数暗号化部１４０Ａが有している機能と実質的に同様の機能によって実現できる。乱数暗号化部３４０は、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする。
　タグ生成部３５０は、図３に示したタグ生成部１５０又は図１６に示したタグ生成部１５０Ａが有している機能と実質的に同様の機能によって実現できる。タグ生成部３５０は、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する。ここで、生成されるタグは、上述したタグＴに対応する。
　また、上述した実施の形態のように、乱数計算部３３０は、各区域について同じ所定の行列を用いて、乱数の組を生成してもよい。また、上述した実施の形態のように、乱数計算部３３０は、β個の区域それぞれについて、所定のセキュリティレベルを示す値ωに対応する数の乱数からなる乱数の組を生成してもよい。このとき、乱数暗号化部３４０は、１番目から（β－１）番目までの各区域それぞれについて、生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化し、暗号化されたω個の乱数それぞれを次の区域における処理の初期値としてもよい。また、このとき、タグ生成部３５０は、β番目の区域で生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、ω個のタグの組を生成してもよい。これらのことは、後述する実施の形態３にかかる認証復号装置４０においても同様である。
　図２３は、実施の形態３にかかる認証復号装置４０の構成を示す図である。実施の形態３にかかる認証復号装置４０は、実施の形態１にかかる認証復号装置２０及び実施の形態２にかかる認証復号装置２０Ａに対応する。実施の形態３にかかる認証復号装置４０は、復号部４２０と、乱数計算部４３０と、乱数暗号化部４４０と、タグ生成部４５０と、タグ検査部４６０とを有する。復号部４２０は、復号手段としての機能を有する。乱数計算部４３０は、乱数計算手段（第２の乱数計算手段）としての機能を有する。乱数暗号化部４４０は、乱数計算手段（第２の乱数暗号化手段）としての機能を有する。タグ生成部４５０は、タグ生成手段（第２のタグ生成手段）としての機能を有する。タグ検査部４６０は、タグ検査手段としての機能を有する。
　復号部４２０は、図１０に示した復号部２２０又は図２１に示した復号部２２０Ａが有している機能と実質的に同様の機能によって実現できる。復号部４２０は、ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号（ＴＢＣ関数）を用いて、所定の長さ（例えばｂビット）の暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する。
　乱数計算部４３０は、図１０に示した乱数計算部２３０又は図２１に示した乱数計算部２３０Ａが有している機能と実質的に同様の機能によって実現できる。乱数計算部４３０は、復号において、各区域におけるＴｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する。
　乱数暗号化部４４０は、図１０に示した乱数暗号化部２４０又は図２１に示した乱数暗号化部２４０Ａが有している機能と実質的に同様の機能によって実現できる。乱数暗号化部４４０は、各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする。
　タグ生成部４５０は、図１０に示したタグ生成部２５０又は図２１に示したタグ生成部２５０Ａが有している機能と実質的に同様の機能によって実現できる。タグ生成部４５０は、最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成する。ここで、生成されるタグは、上述したタグＴ＊に対応する。
　タグ検査部４６０は、図１０又は図２１に示したタグ検査部２６０が有している機能と実質的に同様の機能によって実現できる。タグ検査部４６０は、検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行う。
　実施の形態３にかかる認証暗号化装置３０及び認証復号装置４０は、上述した構成によって、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能となる。なお、認証暗号化装置３０及び認証復号装置４０を有する認証暗号システムによっても、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能となる。また、認証暗号化装置３０によって実行される認証暗号化方法及び認証暗号化方法を実行するプログラムによっても、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能となる。また、暗号化及び復号における遅延を抑制することが可能である。また、認証復号装置４０によって実行される認証復号方法及び認証復号方法を実行するプログラムによっても、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能となる。
（第２の比較例）
　ここで、第２の比較例について説明する。
　図２４及び図２５は、第２の比較例を説明するための図である。第２の比較例にかかる認証暗号化装置９０は、実施の形態１にかかる認証暗号化装置１０の構成要素の乱数暗号化部１４０を有さず、タグ生成部１５０の代わりにタグ生成部９４０を有している。
　実施の形態１では、区域＃（ｋ＋１）における処理の初期値は、区域＃ｋにおける処理で生成された乱数の組を暗号化した暗号化結果である。これに対し、第２の比較例では、区域ごとに、初期値がリセットされる。つまり、区域ごとに、初期値が０＾ｂとなる。第２の比較例では、暗号化部１２０は、各区域について、このリセットされた初期値を用いて、上述した実施の形態１と実質的に同様にして、平文ブロックを暗号化する。また、第２の比較例では、乱数計算部１３０は、各区域について、このリセットされた初期値を用いて、上述した実施の形態１と実質的に同様にして、乱数の組Ｓを生成する。
　一方、第２の比較例にかかるタグ生成部９５０は、各区域について乱数計算部１３０によって生成された乱数Ｓの組と、ナンスＮとを用いて、Ｔｗｅａｋａｂｌｅブロック暗号を用いたメッセージ認証コードにより、認証用のタグＴを生成する。タグ生成部９５０は、乱数Ｓから安全にタグＴを生成するために、ナンスベースＭＡＣ（Message Authentication Code）を用いて、乱数の組を統合して、タグＴを生成する。ここで、ナンスベースＭＡＣとは、ＭＡＣの入力にナンスが含まれたものである。
　タグ生成部９５０には、ナンス生成部１０４からナンスＮが入力される。また、タグ生成部９５０には、乱数計算部１３０から乱数の組が入力される。乱数計算部１３０が各区域について上述した処理を行うことによって、タグ生成部９５０は、以下の式１１の行列で示されるような乱数の組を得る。ここで、式１１は、乱数Ｓを要素とするω×βの大きさの乱数行列を示す。
Figure JPOXMLDOC01-appb-M000011
 ・・・（１１）
　そして、タグ生成部９５０は、式１１に示す乱数行列の各行に含まれる乱数Ｓ＿ｉ＾（１），・・・，Ｓ＿ｉ＾（β）を、ナンスベースＭＡＣを用いて処理して、タグＴ［ｉ］を生成する。ここで、タグ生成部９５０は、ω個のＭＡＣを用いてタグＴ［１］，・・・，Ｔ［ω］を生成する。つまり、１≦ｉ≦ωとして、タグ生成部９５０は、ｉ番目のＭＡＣ＿ｉを用いて、タグＴ［ｉ］を生成する。
　図２５は、第２の比較例にかかるタグ生成部９５０の演算の概略を示す図である。図２５は、タグ生成部９５０で用いられるタグ導出関数を示す。つまり、図２５は、タグ生成部９５０で用いられるナンスベースＭＡＣを示す。ここで、図２５は、タグ生成部９５０が、式１１におけるｉ番目の行に対応する乱数Ｓ＿ｉ＾（１），・・・，Ｓ＿ｉ＾（β）をＭＡＣ＿ｉで処理して、タグＴ［ｉ］を生成する例を示している。
　タグ生成部９５０は、定数ｆｉｘを、鍵Ｋ、ナンスＮ及びＴｗｅａｋが入力されたＴＢＣ関数ＥＫ ～で暗号化する。タグ生成部９５０は、式１１の各行（各ライン）のインデックスｉ（１≦ｉ≦ω）に対して、（Ｎ，ａ，ｍ，ｉ，１）をＴｗｅａｋとして入力するＴＢＣ関数の暗号化結果を用いて、定数ｆｉｘを暗号化する。この、定数ｆｉｘを暗号化して得られた暗号化結果は、ナンスを含むＴｗｅａｋが入力されたＴＢＣ関数を用いて生成されるので、ナンス由来の乱数と言える。
　また、タグ生成部９５０は、乱数Ｓ＿ｉ＾（１），・・・，Ｓ＿ｉ＾（β）を、ＴＢＣ関数ＥＫ ～’で暗号化する。ここで、ＴＢＣ関数ＥＫ ～’は、どのＴＢＣ関数ＥＫ ～に入力されるＴｗｅａｋとも異なるＴｗｅａｋが入力されるＴＢＣ関数である。したがって、Ｔｗｅａｋの重複を避けることができる。
　そして、タグ生成部９５０は、ＴＢＣ関数ＥＫ ～を用いて定数ｆｉｘを暗号化した暗号化結果と、ＴＢＣ関数ＥＫ ～’を用いて乱数Ｓ＿ｉ＾（１），・・・，Ｓ＿ｉ＾（β）を暗号化した暗号化結果との排他的論理和（総和）を、タグＴ［ｉ］として生成する。タグ生成部９５０は、ｉ＝１～ωについて上記の処理を行い、タグＴ［１］，・・・，Ｔ［ω］を生成する。そして、タグ生成部９５０は、Ｔ［１］，・・・，Ｔ［ω］を、タグＴ＝Ｔ［１］｜｜・・・｜｜Ｔ［ω］として出力する。第２の比較例では、このような処理により、ＭＡＣの安全性を確保することができる。
　ここで、第２の比較例にかかるタグ生成部９５０は、各区域で生成された乱数Ｓの全てを用いて、タグＴを生成している。この場合、乱数行列（式１１）の全ての要素をメモリに保持する必要がある。したがって、全ての区域について生成された乱数Ｓの組を格納しておく記憶領域が必要となる。
　なお、各区域において乱数Ｓが生成されるたびに、タグ生成処理を進めることにより、記憶領域の容量を節約することができる。すなわち、具体的には、図２５において、タグ生成部９５０は、先に、ナンス由来の乱数を生成し、仮のタグとしておく。そして、１番目の区域について乱数Ｓ＿ｉ＾（１）が生成されたら、タグ生成部９５０は、その乱数Ｓ＿ｉ＾（１）をＴＢＣ関数で暗号化して、上記の仮のタグとの排他的論理和を算出し、仮のタグを更新する。タグ生成部９５０は、この処理を、各区域について乱数Ｓが生成されるごとに繰り返すことで、タグＴを生成する。このような処理が行われることによって、乱数行列の全ての要素をメモリに保持することが不要となる。しかしながら、この場合であっても、仮のタグを保持するためのメモリが必要となる。
　これに対し、本実施の形態では、上述したように、乱数Ｓの組は、暗号化されて初期値（又はタグ生成の元）として使用されるので、乱数Ｓの組を記憶しておく必要はない。したがって、本実施の形態にかかる方法は、記憶容量を節約することができる。具体的には、上述した非特許文献１にかかるＰＦＢωの技術と略同等の記憶容量で、高い安全性を実現しつつ、一度の認証暗号において処理できる平文ブロックの数を増やすことが可能となる。
（ハードウェア構成例）
　上述した各実施形態に係る装置およびシステムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、各実施形態に係る装置（認証暗号化装置及び認証復号装置）は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、各実施形態に係る装置は、専用の装置として実現されてもよいし、汎用の情報処理装置で実現されてもよい。
　図２６は、各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。計算処理装置１０００は、ＣＰＵ１００１、揮発性記憶装置１００２、ディスク１００３、不揮発性記録媒体１００４、及び、通信ＩＦ１００７（ＩＦ：Interface）を有する。したがって、各実施形態に係る装置は、ＣＰＵ１００１、揮発性記憶装置１００２、ディスク１００３、不揮発性記録媒体１００４、及び、通信ＩＦ１００７を有しているといえる。計算処理装置１０００は、入力装置１００５及び出力装置１００６に接続可能であってもよい。計算処理装置１０００は、入力装置１００５及び出力装置１００６を備えていてもよい。また、計算処理装置１０００は、通信ＩＦ１００７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。
　不揮発性記録媒体１００４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Compact Disc)、デジタルバーサタイルディスク（Digital Versatile Disc）である。また、不揮発性記録媒体１００４は、ＵＳＢ（Universal Serial Bus）メモリ、ソリッドステートドライブ（Solid State Drive）等であってもよい。不揮発性記録媒体１００４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。なお、不揮発性記録媒体１００４は、上述した媒体に限定されない。また、不揮発性記録媒体１００４の代わりに、通信ＩＦ１００７及び通信ネットワークを介して、係るプログラムが供給されてもよい。
　揮発性記憶装置１００２は、コンピュータが読み取り可能であって、一時的にデータを記憶することができる。揮発性記憶装置１００２は、ＤＲＡＭ（dynamic random Access memory）、ＳＲＡＭ（static random Access memory）等のメモリ等である。
　すなわち、ＣＰＵ１００１は、ディスク１００３に格納されているソフトウェアプログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際に揮発性記憶装置１００２にコピーし、演算処理を実行する。ＣＰＵ１００１は、プログラムの実行に必要なデータを揮発性記憶装置１００２から読み取る。表示が必要な場合、ＣＰＵ１００１は、出力装置１００６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ１００１は、入力装置１００５からプログラムを取得する。ＣＰＵ１００１は、上述した図３，図１０，図１６，図２１～図２３に示される各構成要素の機能（処理）に対応するプログラムを解釈し実行する。ＣＰＵ１００１は、上述した各実施形態において説明した処理を実行する。言い換えると、上述した図３，図１０，図１６，図２１～図２３に示される各構成要素の機能は、ディスク１００３又は揮発性記憶装置１００２に格納されたプログラムを、ＣＰＵ１００１が実行することによって実現され得る。
　すなわち、各実施形態は、上述したプログラムによっても成し得ると捉えることができる。さらに、上述したプログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、上述した各実施形態は成し得ると捉えることができる。
（変形例）
　なお、本発明は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートにおいて、各処理（ステップ）の順序は、適宜、変更可能である。また、複数ある処理（ステップ）のうちの１つ以上は、省略されてもよい。
　例えば、図１４に示したフローチャートにおいて、Ｓ１０８の処理は、Ｓ１０４又はＳ１０６の処理の前に実行されてもよい。さらに、Ｓ１０８の処理は、Ｓ１０４，Ｓ１０６の処理と、並行して実行され得る。このことは、図１５のフローチャートにおいても同様である。
　また、上述した実施の形態１において、関連データＡ及び平文Ｍの分割は、分割部１０２によって行われるとしたが、このような構成に限られない。関連データＡの分割については、ＡＤ処理部１１０が行ってもよい。同様に、平文Ｍの分割については、暗号化部１２０が行ってもよい。また、ＡＤブロックの各区域への区分けについても、ＡＤ処理部１１０が行ってもよい。同様に、平文ブロックの各区域への区分けについても、暗号化部１２０が行ってもよい。これらの場合、分割部１０２は、なくてもよい。これらのことは、図１０、図１６及び図２１に示した分割部についても同様である。
　また、上述した実施の形態では、先に、ブロック（ＡＤブロック、平文ブロック又は暗号文ブロック）を各区域に区分けするとしたが、このような構成に限られない。先頭のブロックから、各区域に含まれるブロック数（実施の形態１では（２＾ｂ－１）個、実施の形態２では（２＾ｂ－１）個）のブロックを区分けして暗号化（又は復号）及び乱数の生成の処理を行ってもよい。その場合、１番目の区域についての処理が終わったら、２番目の区域についてブロックの区分けを行い、暗号化（又は復号）及び乱数の生成の処理を行ってもよい。以降の区域についても同様である。
　上述の例において、プログラムは、コンピュータに読み込まれた場合に、実施形態で説明された１又はそれ以上の機能をコンピュータに行わせるための命令群（又はソフトウェアコード）を含む。プログラムは、非一時的なコンピュータ可読媒体又は実体のある記憶媒体に格納されてもよい。限定ではなく例として、コンピュータ可読媒体又は実体のある記憶媒体は、random-access memory（RAM）、read-only memory（ROM）、フラッシュメモリ、solid-state drive（SSD）又はその他のメモリ技術、CD-ROM、digital versatile disk（DVD）、Blu-ray（登録商標）ディスク又はその他の光ディスクストレージ、磁気カセット、磁気テープ、磁気ディスクストレージ又はその他の磁気ストレージデバイスを含む。プログラムは、一時的なコンピュータ可読媒体又は通信媒体上で送信されてもよい。限定ではなく例として、一時的なコンピュータ可読媒体又は通信媒体は、電気的、光学的、音響的、またはその他の形式の伝搬信号を含む。
　以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
　上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
　（付記１）
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する暗号化手段と、
　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する乱数計算手段と、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする乱数暗号化手段と、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成するタグ生成手段と、
　を有する認証暗号化装置。
　（付記２）
　前記乱数計算手段は、各区域について同じ前記所定の行列を用いて、前記乱数の組を生成する
　付記１に記載の認証暗号化装置。
　（付記３）
　前記乱数計算手段は、β個の前記区域それぞれについて、所定のセキュリティレベルを示す値ωに対応する数の乱数からなる前記乱数の組を生成し、
　前記乱数暗号化手段は、１番目から（β－１）番目までの各区域それぞれについて、生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化し、暗号化されたω個の乱数それぞれを次の区域における処理の初期値とし、
　前記タグ生成手段は、β番目の前記区域で生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、ω個のタグの組を生成する、
　付記１又は２に記載の認証暗号化装置。
　（付記４）
　前記暗号化手段は、前記区域ごとに、前記平文ブロックと、当該平文ブロックの前の平文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて暗号化して得られた暗号化結果との排他的論理和によって、暗号文ブロックを生成し、
　前記乱数計算手段は、前記第１のデータに対応する前記暗号化結果と、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
　付記１から３のいずれか１項に記載の認証暗号化装置。
　（付記５）
　前記暗号化手段は、前記区域ごとに、複数の前記平文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて並列に暗号化することによって、暗号文ブロックを生成し、
　前記乱数計算手段は、前記第１のデータに対応する前記平文ブロックと、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
　付記１から３のいずれか１項に記載の認証暗号化装置。
　（付記６）
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する復号手段と、
　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する乱数計算手段と、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする乱数暗号化手段と、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成するタグ生成手段と、
　前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うタグ検査手段と、
　を有する認証復号装置。
　（付記７）
　前記乱数計算手段は、各区域について同じ前記所定の行列を用いて、前記乱数の組を生成する
　付記６に記載の認証復号装置。
　（付記８）
　前記乱数計算手段は、β個の前記区域それぞれについて、所定のセキュリティレベルを示す値ωに対応する数の乱数からなる前記乱数の組を生成し、
　前記乱数暗号化手段は、１番目から（β－１）番目までの各区域それぞれについて、生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化し、暗号化されたω個の乱数それぞれを次の区域における処理の初期値とし、
　前記タグ生成手段は、β番目の前記区域で生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、ω個のタグの組を生成する、
　付記６又は７に記載の認証復号装置。
　（付記９）
　前記復号手段は、前記区域ごとに、前記暗号文ブロックと、当該暗号文ブロックの前の暗号文ブロックを用いて得られた平文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて暗号化して得られた暗号化結果との排他的論理和によって、平文ブロックを生成し、
　前記乱数計算手段は、前記第１のデータに対応する前記暗号化結果と、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
　付記６から８のいずれか１項に記載の認証復号装置。
　（付記１０）
　前記復号手段は、前記区域ごとに、複数の前記暗号文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて並列に復号することによって、平文ブロックを生成し、
　前記乱数計算手段は、前記第１のデータに対応する前記平文ブロックと、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
　付記６から８のいずれか１項に記載の認証復号装置。
　（付記１１）
　認証暗号化装置と、
　前記認証暗号化装置との間で通信を行う認証復号装置と、
　を有し、
　前記認証暗号化装置は、
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する暗号化手段と、
　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出されるデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する第１の乱数計算手段と、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする第１の乱数暗号化手段と、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する第１のタグ生成手段と、
　を有し、
　前記認証復号装置は、
　前記ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する復号手段と、
　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出されるデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する第２の乱数計算手段と、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする第２の乱数暗号化手段と、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成する第２のタグ生成手段と、
　前記検査用のタグと、入力された前記認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うタグ検査手段と、
　を有する、
　認証暗号システム。
　（付記１２）
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化し、
　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成し、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とし、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する、
　認証暗号化方法。
　（付記１３）
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号し、
　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成し、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とし、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成し、
　前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行う、
　認証復号方法。
　（付記１４）
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化するステップと、
　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成するステップと、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とするステップと、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成するステップと、
　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
　（付記１５）
　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号するステップと、
　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成するステップと、
　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とするステップと、
　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成するステップと、
　前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うステップと、
　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
１　認証暗号システム
１０　認証暗号化装置
２０　認証復号装置
３０　認証暗号化装置
４０　認証復号装置
１００　入力部
１０２　分割部
１０４　ナンス生成部
１１０　ＡＤ処理部
１２０　暗号化部
１３０　乱数計算部
１４０　乱数暗号化部
１５０　タグ生成部
１６０　出力部
２００　入力部
２０２　分割部
２１０　ＡＤ処理部
２２０　復号部
２３０　乱数計算部
２４０　乱数暗号化部
２５０　タグ生成部
２６０　タグ検査部
３２０　暗号化部
３３０　乱数計算部
３４０　乱数暗号化部
３５０　タグ生成部
４２０　復号部
４３０　乱数計算部
４４０　乱数暗号化部
４５０　タグ生成部
４６０　タグ検査部

Claims (15)

  1. 　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する暗号化手段と、
    　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する乱数計算手段と、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする乱数暗号化手段と、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成するタグ生成手段と、
    　を有する認証暗号化装置。
  2. 　前記乱数計算手段は、各区域について同じ前記所定の行列を用いて、前記乱数の組を生成する
    　請求項１に記載の認証暗号化装置。
  3. 　前記乱数計算手段は、β個の前記区域それぞれについて、所定のセキュリティレベルを示す値ωに対応する数の乱数からなる前記乱数の組を生成し、
    　前記乱数暗号化手段は、１番目から（β－１）番目までの各区域それぞれについて、生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化し、暗号化されたω個の乱数それぞれを次の区域における処理の初期値とし、
    　前記タグ生成手段は、β番目の前記区域で生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、ω個のタグの組を生成する、
    　請求項１又は２に記載の認証暗号化装置。
  4. 　前記暗号化手段は、前記区域ごとに、前記平文ブロックと、当該平文ブロックの前の平文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて暗号化して得られた暗号化結果との排他的論理和によって、暗号文ブロックを生成し、
    　前記乱数計算手段は、前記第１のデータに対応する前記暗号化結果と、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
    　請求項１から３のいずれか１項に記載の認証暗号化装置。
  5. 　前記暗号化手段は、前記区域ごとに、複数の前記平文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて並列に暗号化することによって、暗号文ブロックを生成し、
    　前記乱数計算手段は、前記第１のデータに対応する前記平文ブロックと、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
    　請求項１から３のいずれか１項に記載の認証暗号化装置。
  6. 　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する復号手段と、
    　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する乱数計算手段と、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする乱数暗号化手段と、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成するタグ生成手段と、
    　前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うタグ検査手段と、
    　を有する認証復号装置。
  7. 　前記乱数計算手段は、各区域について同じ前記所定の行列を用いて、前記乱数の組を生成する
    　請求項６に記載の認証復号装置。
  8. 　前記乱数計算手段は、β個の前記区域それぞれについて、所定のセキュリティレベルを示す値ωに対応する数の乱数からなる前記乱数の組を生成し、
    　前記乱数暗号化手段は、１番目から（β－１）番目までの各区域それぞれについて、生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化し、暗号化されたω個の乱数それぞれを次の区域における処理の初期値とし、
    　前記タグ生成手段は、β番目の前記区域で生成されたω個の乱数それぞれをＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、ω個のタグの組を生成する、
    　請求項６又は７に記載の認証復号装置。
  9. 　前記復号手段は、前記区域ごとに、前記暗号文ブロックと、当該暗号文ブロックの前の暗号文ブロックを用いて得られた平文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて暗号化して得られた暗号化結果との排他的論理和によって、平文ブロックを生成し、
    　前記乱数計算手段は、前記第１のデータに対応する前記暗号化結果と、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
    　請求項６から８のいずれか１項に記載の認証復号装置。
  10. 　前記復号手段は、前記区域ごとに、複数の前記暗号文ブロックをＴｗｅａｋａｂｌｅブロック暗号に関する関数を用いて並列に復号することによって、平文ブロックを生成し、
    　前記乱数計算手段は、前記第１のデータに対応する前記平文ブロックと、前記所定の行列の要素との乗算値の排他的論理和を行うことによって、前記乱数を生成する、
    　請求項６から８のいずれか１項に記載の認証復号装置。
  11. 　認証暗号化装置と、
    　前記認証暗号化装置との間で通信を行う認証復号装置と、
    　を有し、
    　前記認証暗号化装置は、
    　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化する暗号化手段と、
    　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出されるデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する第１の乱数計算手段と、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする第１の乱数暗号化手段と、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する第１のタグ生成手段と、
    　を有し、
    　前記認証復号装置は、
    　前記ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号する復号手段と、
    　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出されるデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成する第２の乱数計算手段と、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とする第２の乱数暗号化手段と、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成する第２のタグ生成手段と、
    　前記検査用のタグと、入力された前記認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うタグ検査手段と、
    　を有する、
    　認証暗号システム。
  12. 　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化し、
    　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成し、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とし、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成する、
    　認証暗号化方法。
  13. 　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号し、
    　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成し、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とし、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成し、
    　前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行う、
    　認証復号方法。
  14. 　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの平文ブロックに分割された平文を、所定の長さの区域ごとに暗号化するステップと、
    　前記暗号化において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成するステップと、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とするステップと、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、認証用のタグを生成するステップと、
    　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
  15. 　ナンスをＴｗｅａｋとして用いたＴｗｅａｋａｂｌｅブロック暗号を用いて、所定の長さの暗号文ブロックに分割された暗号文を、所定の長さの区域ごとに復号するステップと、
    　前記復号において、各区域における前記Ｔｗｅａｋａｂｌｅブロック暗号に関する関数の入力及び出力の少なくとも一方から導出される第１のデータと、所定の値を要素とする所定の行列とを用いて、区域ごとに乱数の組を生成するステップと、
    　各区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、暗号化された乱数それぞれを次の区域における処理の初期値とするステップと、
    　最後の区域で生成された乱数の組をＴｗｅａｋａｂｌｅブロック暗号を用いて暗号化して、検査用のタグを生成するステップと、
    　前記検査用のタグと、入力された認証用のタグとを比較することによって、改ざんの有無を検査し、検査結果を出力するための制御を行うステップと、
    　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2021/043216 2021-11-25 2021-11-25 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体 WO2023095249A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2023563415A JPWO2023095249A5 (ja) 2021-11-25 認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラム
PCT/JP2021/043216 WO2023095249A1 (ja) 2021-11-25 2021-11-25 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2021/043216 WO2023095249A1 (ja) 2021-11-25 2021-11-25 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2023095249A1 true WO2023095249A1 (ja) 2023-06-01

Family

ID=86539184

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/043216 WO2023095249A1 (ja) 2021-11-25 2021-11-25 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体

Country Status (1)

Country Link
WO (1) WO2023095249A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008151890A (ja) * 2006-12-15 2008-07-03 Konica Minolta Business Technologies Inc 暗号処理方法及び暗号処理装置
WO2021157003A1 (ja) * 2020-02-06 2021-08-12 三菱電機株式会社 暗号化装置、復号装置、暗号化方法、復号方法、暗号化プログラム及び復号プログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008151890A (ja) * 2006-12-15 2008-07-03 Konica Minolta Business Technologies Inc 暗号処理方法及び暗号処理装置
WO2021157003A1 (ja) * 2020-02-06 2021-08-12 三菱電機株式会社 暗号化装置、復号装置、暗号化方法、復号方法、暗号化プログラム及び復号プログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"16th European Conference - Computer Vision – ECCV 2020", vol. 24, 1 May 2020, CORNELL UNIVERSITY LIBRARY,, 201 Olin Library Cornell University Ithaca, NY 14853, article NAITO YUSUKE; SASAKI YU; SUGAWARA TAKESHI: "Lightweight Authenticated Encryption Mode Suitable for Threshold Implementation", pages: 705 - 735, XP047550413, DOI: 10.1007/978-3-030-45724-2_24 *

Also Published As

Publication number Publication date
JPWO2023095249A1 (ja) 2023-06-01

Similar Documents

Publication Publication Date Title
Souyah et al. An image encryption scheme combining chaos-memory cellular automata and weighted histogram
JP6934963B2 (ja) データを暗号化する方法およびシステム
JP6413598B2 (ja) 暗号処理方法、暗号処理装置、及び暗号処理プログラム
EP2922234A1 (en) Protecting a white-box implementation against attacks
US11153068B2 (en) Encryption device, encryption method, decryption device and decryption method
EP3167569B1 (en) Method and system for providing a secure update of code on a memory-constrained device
US20120314857A1 (en) Block encryption device, block decryption device, block encryption method, block decryption method and program
JP6575532B2 (ja) 暗号化装置、復号装置、暗号処理システム、暗号化方法、復号方法、暗号化プログラム、及び復号プログラム
US10326589B2 (en) Message authenticator generating apparatus, message authenticator generating method, and computer readable recording medium
CN110169010B (zh) 同态运算装置、加密系统和计算机能读取的存储介质
US11463235B2 (en) Encryption device, encryption method, program, decryption device, and decryption method
US20200160755A1 (en) Encryption device, encryption method, decryption device, and decryption method
US11764945B2 (en) Data processing device, method, and computer program
Ahmad et al. Distributed text-to-image encryption algorithm
JP7136226B2 (ja) 認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法、認証暗号化プログラムおよび認証復号プログラム
US11500786B2 (en) System and method for protecting memory encryption against template attacks
WO2015125293A1 (ja) 暗号システム及び暗号プログラム
WO2023095249A1 (ja) 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
WO2020044485A1 (ja) メッセージ認証装置、メッセージ認証方法及びメッセージ認証プログラム
WO2022239163A1 (ja) 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
JP7126635B2 (ja) 再暗号化装置、暗号システム、再暗号化方法及び再暗号化プログラム
Walia et al. Multi Encryption Approach to Provide Security for Cloud Integrated Internet of Things
WO2024180612A1 (ja) 認証暗号化装置、認証復号装置、認証暗号システム、方法及びコンピュータ可読媒体
Rajput et al. An improved cryptographic technique to encrypt images using extended hill cipher
KR20170005850A (ko) 암호 장치, 기억 시스템, 복호 장치, 암호 방법, 복호 방법, 암호 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체 및 복호 프로그램을 기록한 컴퓨터 판독 가능한 기록 매체

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21965621

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2023563415

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE