JP2001142395A - 拡大鍵生成装置、暗復号装置、拡大鍵生成方法、及び記憶媒体 - Google Patents

Abstract

(57)【要約】 【課題】 本発明は、装置価格や装置規模を抑え、弱鍵
の生成を阻止しつつ拡大鍵の攪拌性を向上でき、もっ
て、暗号強度の向上を図る。 【解決手段】 各鍵変換関数ｆｋ１〜ｆｋｎとしては、
入力された鍵から得られた第１鍵ＫＡに基づいてＳボッ
クス１４_ｉ（置換テーブル）により変換処理を行い、加
算部１６_ｉが、このＳボックス１４_ｉによる変換結果を
左シフトさせた値と、入力された鍵から得られた第２鍵
ＫＢとに基づいて拡大鍵Ｋ１〜Ｋ１６を算出する拡大鍵
生成装置、暗復号装置及び記憶媒体。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、秘密鍵ブロック暗
号に適用される拡大鍵生成装置、暗復号装置、拡大鍵生
成方法、及び記憶媒体に関する。

【０００２】

【従来の技術】近年の計算機・通信技術の分野では、送
信データを暗号化して送信し、受信データを復号して受
信内容を得る暗号技術が広く知られている。この種の暗
号技術では、暗号化と復号に同じ秘密鍵（以下、共通鍵
という）を用いる暗号化アルゴリズムは共通鍵暗号と呼
ばれている。共通鍵暗号では、一般に、入力メッセージ
が固定長の入力ブロックに分割され、各ブロックが鍵に
基づいて攪拌処理され、暗号文が生成されている。係る
共通鍵暗号としては、例えばＤＥＳ（データ暗号化規
格：data encryption standard）と呼ばれる方式が広く
用いられている。

【０００３】ＤＥＳ方式による暗号化では、図１８
（ａ）に示すように、平文に初期転置ＩＰを施したデー
タに対し、ラウンド関数による処理を１６回施す。さら
にラウンド関数処理されたデータに初期転置の逆転置Ｉ
Ｐ^-1を施すことで暗号文を得ている。また、各ラウンド
関数に対し、元の鍵から生成される拡大鍵を与えること
でラウンド関数における処理が実行される。

【０００４】つまり、ＤＥＳ方式による暗号化装置は、
多数のラウンド関数によって暗号化対象となるデータを
攪拌する攪拌部と、攪拌部の各ラウンド関数に拡大鍵を
与える鍵生成部をその主要構成としている。なお、従来
技術における鍵生成部による鍵の生成方法としては、例
えば、表や配線を用いてビットの並び替えを行ったり、
データ暗号化部と全く同じ鍵を用いたり、あるいは鍵ビ
ットから無作為に抽出したり等して生成している。

【０００５】一方、ＤＥＳ方式による復号は、図１８
（ｂ）に示すように、暗号化時とは逆の順番で復号対象
のデータにラウンド関数の処理を施す。従って、鍵生成
部からの拡大鍵も、暗号化時の最後のラウンド関数で使
用されたものから順番に生成する。

【０００６】このＤＥＳ方式における第１の利点は、暗
号化回路と復号回路の大半を共通化可能な構成にある。
つまり、図１８（ａ）、図１８（ｂ）に示すように、攪
拌部のラウンド関数は、暗号化時と復号時とでは拡大鍵
の入力順序は逆になるが、同一の回路が使用される。

【０００７】ＤＥＳ方式の第２の利点は、１つの共通鍵
を用いて暗号化と復号とを行うため、管理対象の鍵が少
ないことである。なお、ＤＥＳ方式では、唯一の共通鍵
に基づいて拡大鍵を逆順に生成するため、鍵生成部では
次の処理を行っている。

【０００８】すなわち、暗号化の際には、共通鍵を左巡
回シフト（左ローテート）し、各拡大鍵を生成する。な
お、巡回シフト量の合計値を共通鍵のビット数に定め、
最終段で中間的な鍵が初期状態（共通鍵）に戻される。
これにより、暗号化時の最後の拡大鍵と復号時の最初の
拡大鍵とを同一の値に生成し得る。復号時には、共通鍵
を逆に右巡回シフト（右ローテート）して逆順に各拡大
鍵を生成すればよい。

【０００９】しかしながら、ＤＥＳ方式では、鍵生成部
の処理が転置処理のみで構成されるため、一般に弱鍵
（weak key）と呼ばれる安全性の低い鍵が存在するとい
う問題がある。なお、弱鍵は、本明細書中、互いに同一
な拡大鍵を意味しており、全ての拡大鍵Ｋ１〜Ｋ１６が
互いに同一な場合（Ｋ１＝Ｋ２＝…＝Ｋ１６）と、半分
の拡大鍵Ｋ１〜Ｋ８，Ｋ９〜Ｋ１６が互いに同一な場合
（Ｋ１＝Ｋ１６，Ｋ２＝Ｋ１５，…，Ｋ８＝Ｋ９）とを
含んでいる。

【００１０】但し、係る弱鍵の生成は、脅威的なもので
はなく、弱鍵を生成するパターンをもつ共通鍵の入力を
除去する装置、あるいは生成された拡大鍵が弱鍵でない
か否かを判別し且つ弱鍵のときには除去する装置を付加
することにより、充分に阻止可能であると考えられる。

【００１１】しかしながら、この種の弱鍵の生成阻止に
関する装置を付加した場合、拡大鍵生成装置及び暗復号
装置の価格を上昇させてしまい、さらに、拡大鍵生成装
置及び暗復号装置の規模を増大させる可能性がある。

【００１２】また、ＤＥＳ方式に限らず、弱鍵の生成を
阻止することにより、本来の各ラウンド毎に異なる拡大
鍵を用いた場合の暗号強度を実現させ、さらに、その暗
号強度を向上し得る暗号方式が望まれている。

【００１３】

【発明が解決しようとする課題】以上説明したように従
来の拡大鍵生成装置及び暗復号装置では、安全性の低下
を阻止する観点から、弱鍵の生成阻止に関する装置を付
加すると、拡大鍵生成装置及び暗復号装置の価格を上昇
させてしまい、さらに、拡大鍵生成装置及び暗復号装置
の規模を増大させる可能性がある。

【００１４】また、弱鍵の生成を阻止しても、鍵生成部
の処理が暗号強度の向上にあまり貢献しておらず、暗号
強度の向上が望まれている。

【００１５】本発明は上記実情を考慮してなされたもの
で、装置価格や装置規模を抑え、弱鍵の生成を阻止しつ
つ拡大鍵の攪拌性を向上でき、もって、暗号強度の向上
を図り得る拡大鍵生成装置、暗復号装置、拡大鍵生成方
法、及び記憶媒体を提供することを目的とする。

【００１６】

【課題を解決するための手段】請求項１に対応する発明
は、各ラウンド毎に異なる鍵が入力され、それぞれ前記
鍵に基づいて拡大鍵を生成する複数の鍵変換関数部がカ
スケードに連結された拡大鍵生成装置であって、前記各
鍵変換関数部としては、前記入力された鍵から得られた
第１鍵に基づいて所定の置換テーブルにより変換処理を
行う第１鍵変換手段と、この第１鍵変換手段による変換
結果と前記入力された鍵から得られた第２鍵とに基づい
て前記拡大鍵を算出する拡大鍵算出手段とを備えた拡大
鍵生成装置である。

【００１７】また、請求項２に対応する発明は、請求項
１に対応する拡大鍵生成装置において、前記各鍵変換関
数部としては、入力された鍵を左又は右に巡回シフトさ
せ、前記巡回シフトの完了した鍵を次ラウンドの鍵変換
関数部に入力する巡回シフト手段を備えた拡大鍵生成装
置である。

【００１８】さらに、請求項３に対応する発明は、請求
項２に対応する拡大鍵生成装置において、前記巡回シフ
ト手段のシフト量としては、前記第１鍵変換手段の出力
ビット数と互いに素な値である拡大鍵生成装置である。

【００１９】また、請求項４に対応する発明は、請求項
１に対応する拡大鍵生成装置において、前記各鍵変換関
数部としては、入力された鍵を置換テーブルにより変換
し、この変換の完了した鍵を次ラウンドの鍵変換関数部
に入力する入力鍵変換手段を備えた拡大鍵生成装置であ
る。

【００２０】さらに、請求項５に対応する発明は、請求
項１乃至請求項４のいずれか１項に対応する拡大鍵生成
装置において、前記各鍵変換関数部としては、前記第１
鍵変換手段による変換結果を拡大変換させて前記拡大鍵
算出手段に入力する拡大変換手段を備えた拡大鍵生成装
置である。

【００２１】また、請求項６に対応する発明は、請求項
５に対応する拡大鍵生成装置において、前記拡大変換手
段による拡大変換としては、所定ビット数のシフトであ
る拡大鍵生成装置である。

【００２２】さらに、請求項７に対応する発明は、請求
項６に対応する拡大鍵生成装置において、所定ビット数
のシフトは、第１鍵変換手段による変換結果のビット数
の半分のビット数、あるいは半分のビット数に変換結果
のビット数の整数倍を加えた値のビット数だけ、当該変
換結果を左シフトすることにより行う拡大鍵生成装置で
ある。

【００２３】さらに、請求項８に対応する発明は、請求
項１乃至請求項７のいずれか１項に対応する拡大鍵生成
装置において、前記拡大鍵演算手段による演算として
は、桁上りを伴う加算である拡大鍵生成装置である。

【００２４】また、請求項９に対応する発明は、請求項
１乃至請求項８のいずれか１項に対応する拡大鍵生成装
置を備えた暗復号装置において、前記各鍵変換関数部に
より生成された各拡大鍵に基づいて、入力された平文を
暗号化して暗号文を出力し、且つ、入力された暗号文を
復号して平文を出力する攪拌部を備えた暗復号装置であ
る。

【００２５】さらに、請求項１０に対応する発明は、請
求項９に対応する暗復号装置において、前記攪拌部が、
前記暗号化及び前記復号のための複数の置換テーブルを
有し、前記攪拌部のいずれかの置換テーブルが、前記第
１鍵変換手段の置換テーブルと共有化されている暗復号
装置である。

【００２６】また、請求項１１に対応する発明は、各ラ
ウンド毎に異なる鍵を入力し、入力された鍵から第１鍵
を生成し、生成された第１鍵を所定の置換テーブルによ
り変換し、変換結果と、入力された鍵から生成された第
２鍵とに基づいて拡大鍵を算出する拡大鍵生成方法であ
る。

【００２７】さらに請求項１２に対応する発明は、コン
ピュータに、各ラウンド毎に入力された異なる鍵から第
１鍵を生成させ、前記生成された第１鍵を所定の置換テ
ーブルにより変換させ、前記変換結果と前記入力された
鍵から得られる第２鍵とに基づいて拡大鍵を算出させる
ためのプログラムを記憶するコンピュータ読取り可能な
記憶媒体である。

【００２８】さらに、請求項１３に対応する発明は、コ
ンピュータに、前記入力された鍵を左又は右に巡回シフ
トさせ、前記巡回シフトの完了した鍵を次ラウンドに入
力させるためのプログラムを記憶したコンピュータ読取
り可能記憶媒体である。

【００２９】さらに、請求項１４に対応する発明は、請
求項１３に対応するコンピュータ読取り可能記憶媒体に
おいて、前記巡回シフトのシフト量は前記第１鍵変換の
出力ビット数と互いに素な値であるコンピュータ読取り
可能記憶媒体である。

【００３０】さらに、請求項１５に対応する発明は、請
求項１４に対応するコンピュータ読取り可能記憶媒体に
おいて、コンピュータに、前記入力された鍵を置換テー
ブルにより変換させ、前記変換の完了した鍵を次ラウン
ドに入力させるためのプログラムを記憶したコンピュー
タ読取り可能記憶媒体である。

【００３１】さらに、請求項１６に対応する発明は、請
求項１２に対応するコンピュータ読取り可能記憶媒体に
おいて、コンピュータに、前記第１鍵にもとづく変換結
果を拡大変換させるためのプログラムを記憶したコンピ
ュータ読取り可能記憶媒体である。

【００３２】さらに、請求項１７に対応する発明は、請
求項１２に対応するコンピュータ読取り可能記憶媒体に
おいて、前記拡大変換させる機能は所定ビット数のシフ
トであるコンピュータ読取り可能記憶媒体である。

【００３３】さらに、請求項１８に対応する発明は、請
求項１７に対応するコンピュータ読取り可能記憶媒体に
おいて、前記所定ビット数のシフトは、前記第１鍵変換
に基づく変換結果のビット数の半分のビット数、あるい
は前記半分のビット数に前記変換結果のビット数の整数
倍を加えた値のビット数だけ、当該変換結果を左シフト
することにより行うコンピュータ読取り可能記憶媒体で
ある。

【００３４】さらに、請求項１９に対応する発明は、請
求項１２に対応するコンピュータ読取り可能記憶媒体に
おいて、前記拡大鍵を算出する機能は、桁上がりを伴う
加算であるコンピュータ読取り可能記憶媒体である。

【００３５】さらに、請求項２０に対応する発明は、コ
ンピュータに、各ラウンド毎に入力された異なる鍵から
第１鍵を生成させ、前記生成された第１鍵を所定の置換
テーブルにより変換させ、前記変換結果と前記入力され
た鍵から得られる第２鍵とに基づいて拡大鍵を算出さ
せ、前記生成された拡大鍵に基づいて入力された平文を
暗号化して出力し、かつ入力された暗号文を復号して平
文を出力する攪拌処理を実行させるためのプログラムを
記憶したコンピュータ読取り可能記憶媒体である。

【００３６】さらに、請求項２１に対応する発明は、請
求項２０に対応するコンピュータ読取り可能記憶媒体に
おいて、前記攪拌処理は、前記暗号化および復号のため
の複数の置換テーブルを有し、前記攪拌処理のいずれか
の置換テーブルは、前記第１鍵に基づく変換に使用され
る置換テーブルと共有化されているコンピュータ読取り
可能記憶媒体である。

【００３７】さらに、請求項２２に対応する発明は、各
ラウンド毎に異なる鍵が入力されそれぞれ前記鍵に基づ
いて拡大鍵を生成する、カスケートに接続された複数の
鍵変換関数部を有し、前記各鍵変換関数部は複数の並列
に配列された拡大変換要素を有し、前記各拡大変換要素
は、定数を保持する定数レジスタと、前記定数レジスタ
に保持された定数と入力された鍵から得られる第１鍵と
の排他的論理和を算出する排他的論理和算出手段と、前
記排他的論理和算出手段から出力された値に基づいて所
定の置換テーブルにより変換処理を行うＳボックスと、
前記Ｓボックスから出力された変換結果を拡大変換する
拡大変換部とを有し、前記複数の拡大変換要素から出力
された変換結果と、前記入力された鍵から得られる第２
鍵とに基づいて拡大鍵を算出する拡大鍵算出手段を有し
た拡大鍵生成装置である。

【００３８】さらに、請求項２３に対応する発明は、各
ラウンド毎に異なる鍵が入力され、それぞれ前記鍵に基
づいて拡大鍵を生成する複数の鍵変換関数部がカスケー
ドに連結された拡大鍵生成装置に使用されるコンピュー
タ読取り可能記憶媒体であって、前記拡大鍵生成装置内
のコンピュータに、前記各鍵変換関数部として、各々
が、定数を保持する定数レジスタと、前記定数レジスタ
に保持された定数と入力された鍵から得られる第１鍵と
の排他的論理和を算出する排他的論理和算出手段と、前
記排他的論理和算出手段から出力された値に基づいて所
定の置換テーブルにより変換処理を行うＳボックスと、
前記Ｓボックスから出力された変換結果を拡大変化する
拡大変換部とからなる複数の並列に配列された拡大変換
要素と、前記複数の拡大変換要素から出力された変換結
果と、前記入力された鍵から得られた第２鍵とに基づい
て拡大鍵を算出する拡大鍵算出手段とを実現させるため
のプログラムを記憶したコンピュータ読取り可能記憶媒
体である。

【００３９】さらに、請求項２４に対応する発明は、各
ラウンド毎に異なる鍵が入力され、それぞれ前記鍵に基
づいて拡大鍵を生成する、カスケードに連結された複数
の鍵変換関数部を有し、前記各鍵変換関数部は、入力さ
れた鍵を非線形的に置換し、その置換結果を出力する置
換処理部と、前記置換処理部から出力された第１鍵に基
づいて所定の置換テーブルにより変換処理を行う第１鍵
変換手段と、前記第１鍵変換手段による変換結果と前記
置換処理部から出力される第１鍵とに基づいて前記拡大
鍵を算出する拡大鍵算出手段と有した拡大鍵生成装置で
ある。

【００４０】さらに、請求項２５に対応する発明は、各
ラウンド毎に異なる鍵を入力し、入力された鍵を非線形
的に置換し、前記置換により得られる第１鍵を所定の置
換テーブルにより変換し、前記変換結果と前記置換によ
り得られる第２鍵とにもとづいて前記拡大鍵を算出する
拡大鍵生成方法である。

【００４１】さらに、請求項２６に対応する発明は、コ
ンピュータに、ラウンド毎に入力された異なる鍵から第
１鍵を生成させ、前記入力された鍵を非線形的に置換さ
せ、置換結果を出力させ、前記置換により得られた第１
鍵を所定の置換テーブルにより変換させ、前記変換結果
と前記置換により得られる第２鍵とに基づいて拡大鍵を
算出させるためのプログラムを記憶したコンピュータ読
取り可能記憶媒体である。

【００４２】（作用）従って、請求項１、１１、１２に
対応する発明は以上のような手段を講じたことにより、
各鍵変換関数部としては、第１鍵変換手段が、入力され
た鍵から得られた第１鍵に基づいて所定の置換テーブル
により変換処理を行い、拡大鍵算出手段が、この第１鍵
変換手段による変換結果と入力された鍵から得られた第
２鍵とに基づいて拡大鍵を算出する。

【００４３】このように、外部装置を付加しない簡易な
構成を用いており、拡大鍵を生成する際に、置換テーブ
ルによる非線形変換処理を行うため、装置価格や装置規
模を抑え、弱鍵の生成を阻止しつつ拡大鍵の攪拌性を向
上でき、もって、暗号強度を向上させることができる。

【００４４】また、請求項２、１３に対応する発明は、
各鍵変換関数部としては、巡回シフト手段が、入力され
た鍵を左又は右に巡回シフトさせ、巡回シフトの完了し
た鍵を次ラウンドの鍵変換関数部に入力するので、請求
項１、１１、１２に対応する作用に加え、容易且つ確実
に、各ラウンドに入力される鍵を互いに相違させること
ができる。

【００４５】さらに、請求項３、１４に対応する発明
は、巡回シフト手段のシフト量としては、第１鍵変換手
段の出力ビット数と互いに素な値であるので、各ラウン
ドにおけるほぼ全ての第１鍵を互いに相違させることが
でき、請求項２、１３に対応する作用をより一層、容易
且つ確実に奏することができる。

【００４６】また、請求項４、１５に対応する発明は、
各鍵変換関数部としては、入力鍵変換手段が、入力され
た鍵を置換テーブルにより変換し、この変換の完了した
鍵を次ラウンドの鍵変換関数部に入力するので、請求項
１、１１、１２に対応する作用に加え、容易且つ確実
に、各ラウンドに入力される鍵を互いに相違させること
ができる。

【００４７】さらに、請求項５、１６に対応する発明
は、各鍵変換関数部としては、拡大変換手段が、第１鍵
変換手段による変換結果を拡大変換させて拡大鍵算出手
段に入力するので、請求項１〜４、１２のいずれかに対
応する作用に加え、第１鍵の攪拌作用を拡大鍵の任意の
領域に反映させることができる。

【００４８】また、請求項７、１８に対応する発明は、
所定ビット数のシフトを、第１鍵変換による変換結果の
ビット数の半分のビット数、あるいは半分のビット数に
変換結果のビット数の整数倍を加えた値のビット数だ
け、変換結果を左シフトすることにより行うので、請求
項６、１７に対応する作用を容易且つ確実に奏すること
ができる。

【００４９】さらに、請求項８、１９に対応する発明
は、拡大鍵演算手段による演算としては、桁上りを伴う
加算であるので、請求項１〜７、１２のいずれかに対応
する作用を、容易且つ確実に奏することができる。

【００５０】また、請求項９、２０に対応する発明は、
攪拌部が、各鍵変換関数部により生成された各拡大鍵に
基づいて、入力された平文を暗号化して暗号文を出力
し、且つ、入力された暗号文を復号して平文を出力する
ので、請求項１〜８のいずれかに対応する拡大鍵生成装
置を備えた暗復号装置を実現することができる。

【００５１】さらに、請求項１０、２１に対応する発明
は、攪拌部が、暗号化及び復号のための複数の置換テー
ブルを有し、攪拌部のいずれかの置換テーブルが、第１
鍵変換手段の置換テーブルと共有化されているので、請
求項９、２０に対応する作用に加え、装置規模の縮小化
を図ることができる。

【００５２】

【発明の実施の形態】以下、本発明の各実施形態につい
て図面を参照して説明する。

【００５３】（第１の実施形態）図１は本発明の第１の
実施形態に係る暗復号装置の構成を示すブロック図であ
り、図２はこの暗復号装置内の拡大鍵生成部の構成を示
すブロック図である。

【００５４】この暗復号装置は、パーソナルコンピュー
タやワークステーション等の計算機の暗復号処理部とし
て構成されており、ハードウェア又はソフトウェアによ
って暗号化処理と復号処理を行うものであって、具体的
には、共通鍵からｎ段の拡大鍵Ｋ１〜Ｋｎを生成する拡
大鍵生成部１０と、拡大鍵生成部１０により生成された
拡大鍵Ｋ１〜Ｋｎを順次各ラウンドＲ１〜Ｒｎに用いて
暗号化又は復号を行う攪拌部２０とを備えている。すな
わち、拡大鍵生成部１０及び攪拌部２０は、暗号化と復
号に共通して用いられており、ソフトウェアにより暗復
号装置を実現する場合には両者の動作を示すプログラム
が予め記憶媒体からインストールされている。なお、拡
大鍵生成部１０及び攪拌部２０との間には転置処理等を
設けてもよい。

【００５５】ここで、拡大鍵生成部１０は、各ラウンド
Ｒ１〜Ｒｎに対応し、順にカスケード接続された鍵変換
関数ｆｋ１〜ｆｋｎ（単に鍵変換関数ｆｋともいう）が
設けられている。鍵変換関数ｆｋ１〜ｆｋｎは、共通鍵
ＫＣ若しくは中間的な鍵変換結果ｋｃ１〜ｋｃn-1が入
力されると、これを変換して得られた拡大鍵Ｋ１〜Ｋｎ
を攪拌部２０のラウンド関数ｆｒ１〜ｆｒｎに出力し、
また別途得られた中間的な鍵変換関数ｋｃ１〜ｋｃn-1
を次段の鍵変換関数ｆｋ２〜ｆｋｎに入力する機能をも
っている。

【００５６】ここで、鍵変換関数ｆｋ１〜ｆｋｎは、図
２に示すように、一時鍵レジスタ１１_１〜１１_ｎ、定数
レジスタ１２_１〜１２_ｎ、ＸＯＲ素子１３_１〜１３_ｎ、
Ｓボックス１４_１〜１４_ｎ、拡大変換部１５_１〜１
５_ｎ、加算部１６_１〜１６_ｎ及び巡回シフト部１７_１〜
１７_ｎ-1を備えている。なお、最終段の巡回シフト部１
７ _ｎは、次段に鍵変換関数ｆｋ(ｎ+1)が無く、不要であ
るため、省略されている。

【００５７】一時鍵レジスタ１１_ｉ（但し、１≦ｉ≦
ｎ、以下も同様）は、拡大鍵生成部１０に入力された共
通鍵又は前段の鍵変換関数ｆｋ(i-1)から入力された中
間的な鍵変換結果を保持するものであり、ここでは、５
６ビットのレジスタが使用されている。

【００５８】定数レジスタ１２_ｉには、鍵変換関数ｆｋ
ｉの属するラウンド数に対応して定数が設定され、ＸＯ
Ｒ素子１３_ｉに供給可能となっている。具体的には、定
数レジスタ１２_ｉは、ラウンド数ｎ＝１６の例を図３
（ａ）に示すように、拡大鍵Ｋ１〜Ｋ１６を逆順（Ｋ１
６〜Ｋ１）にも生成可能な観点から、保持する定数がラ
ウンド数の中央値（ｎ＝８，９）を中心として左右対称
（前段，後段で対称）に設定されている。但し、これに
限らず、定数レジスタ１２_ｉは、拡大鍵Ｋ１〜Ｋ１６を
逆順（Ｋ１６〜Ｋ１）にも生成可能であれば、保持する
定数は任意であり、例えば図３（ｂ）に示すように、暗
号化と復号の時とで定数を置換しても良い。なお、定数
レジスタ１２_ｉは、図３（ａ）に示すように保持する定
数のうち、少なくともどれか一つの値を他とは異ならせ
て設定されていれば良い。

【００５９】ＸＯＲ素子１３_ｉは、一時鍵レジスタ１１
_ｉ内の８ビットのデータからなる第１鍵ＫＡと、定数レ
ジスタ内の定数との排他的論理和を算出し、得られた８
ビットの算出結果をＳボックスに入力するものである。

【００６０】Ｓ（置換：substitution）ボックス１４_ｉ
は、弱鍵（全ての段で同じ拡大鍵）の生成を阻止するた
めのものであり、具体的には、ＸＯＲ素子１３_ｉから入
力された８ビットの値を非線形変換し、得られた８ビッ
トの変換結果を拡大変換部１５_ｉに入力する機能を有す
る。Ｓボックス１４ｉは、例えば図４に示すように入力
ビットと出力ビットとを置換するための置換テーブルを
使用して非線形の変換を行う。例えば、Ｓボックス１４
ｉでは、入力ビットが（０００００００１）である場
合、その（０００００００１）という情報を２進表現で
あるとみなし、さらにその２進表現を１０進表現した値
「１」に変換する。

【００６１】そして、図４の置換テーブルを参照し、最
初に出現する「４８」を０番目とすると、「１番目」の
要素「５４」（１０進表現）を決定し、その２進表現で
ある（００１１０１１０）を出力ビットとして出力す
る。そのため、入力ビット（０００００００１）を出力
ビット（００１１０１１０）に置換することができる。

【００６２】なお、上述のように図４の置換テーブルは
０番〜２５５番目までの２５６個の入力に対応した要素
を保持しており、０〜２５５の値が入力された場合に対
応する０〜２５５の値を決定する場合に用いられるもの
である。

【００６３】また、Ｓボックス１４_ｉは、装置規模の縮
小化の観点から、後述するラウンド関数ｆｋ内のいずれ
かのＳボックスと共有することが好ましい。

【００６４】拡大変換部１５_ｉは、Ｓボックス１４_ｉか
ら入力された８ビットの変換結果を大きな値に変換する
ものであり、ここでは、８ビットの変換結果を４ビット
だけ左シフトさせるように拡大変換し、下位４ビットに
「０」を埋め込むことにより得られた１２ビットの拡大
変換結果を加算部１６_ｉに入力する機能をもっている。

【００６５】なお、拡大変換部１５_ｉのシフト量は、Ｓ
ボックス１４_ｉの出力ビットを後述する攪拌部２０の２
つのＳボックスＳ３，Ｓ４に反映させる観点から、等価
的にＳボックス１４_ｉの出力ビット数（＝８）の半分
（＝４ビット）とすることが好ましい。ここで、「等価
的に」の語は、４ビットシフトに代えて、例えば１２
（＝４＋８×１）ビットシフト又は２０（＝４＋８×
２）ビットシフトのように、出力ビット数の整数倍を加
えた変形例（換言すると、出力ビット数（＝８）で除算
すると、余りが除数の半分（＝４）のビット数となるシ
フト量をもつ変形例）を包含することを意味している。
また、Ｓボックス１４_ｉの出力ビットは、１２ビットシ
フトされた場合には、ＳボックスＳ３，Ｓ４ではなく、
ＳボックスＳ２，Ｓ３に反映され、２０ビットシフトさ
れた場合にはＳボックスＳ１，Ｓ２に反映される。さら
に、Ｓボックス１４_ｉの出力ビットを２つのＳボックス
Ｓ３，Ｓ４（Ｓ２，Ｓ３又はＳ１，Ｓ２を含む）に反映
させる場合、４ビットずつの組合せに限らず、順不同で
１ビットと７ビット、２ビットと６ビットあるいは３ビ
ットと５ビットの組合せとしてもよい。すなわち、等価
的な４ビットシフトに代えて、等価的な１〜３，５〜７
の任意のビットシフトとしてもよい。

【００６６】加算部１６_ｉは、拡大変換部１５_ｉから入
力された１２ビットの拡大変換結果と、一時鍵レジスタ
１１_ｉ内の３２ビットのデータからなる第２鍵ＫＢとを
加算し（桁上りを伴う通常の加算）、得られた加算結果
（３２ビット（桁上がりは無視する））をラウンドＲｉ
の拡大鍵Ｋｉとして攪拌部２０のラウンド関数ｆｒｉに
入力する機能をもっている。

【００６７】なお、一時鍵レジスタ１１_ｉから抽出され
る第１鍵ＫＡ及び第２鍵ＫＢは、図２においては、それ
ぞれ連続する領域から個別に取出されたが、これに限ら
ず、不連続な領域から取り出してもよい。すなわち、第
１鍵ＫＡは、一時鍵レジスタ１１_ｉ内の任意の合計８ビ
ットのデータであればよく、第２鍵ＫＢは、一時鍵レジ
スタ１１_ｉ内の任意の合計３２ビットのデータであれば
よい。また、第１鍵ＫＡは、第２鍵ＫＢと重なっていて
もよい。なお、第１鍵ＫＡのビット長は、攪拌部２０の
Ｓボックスの入力ビット長と等しくすることがＳボック
スの共有化の観点から好ましい。第２鍵ＫＢのビット長
は、拡大鍵Ｋｉのビット長と等しくすることが、設計の
簡易化の観点から好ましい（但し、所望により、第２鍵
ＫＢと拡大鍵Ｋｉのビット長を互いに異ならせてもよ
く、この場合、例えば縮約型転置(permutation)や拡大
転置等を用い、最終的に拡大鍵Ｋｉのビット長を調整可
能である）。

【００６８】巡回シフト部１７_ｉは、一時鍵レジスタ１
１_ｉの値を所定のシフト量だけ巡回シフトさせて次段の
一時鍵レジスタ１１_i+1に入力するものであり、ここで
は図５に示すように、各鍵変換関数ｆｋ１〜ｆｋｎ毎
に、シフト量が設定されている。なお、巡回シフト部１
７_ｉのシフト量は、鍵の攪拌性を高める観点から、少な
くとも共通鍵ＫＣのビット数又はＳボックス１４_ｉの出
力ビット数のいずれかと互いに素であることが好まし
く、三者が互いに素であることが最も好ましい。また、
このシフト量は、拡大鍵Ｋ１〜Ｋ１６を逆順（Ｋ１６〜
Ｋ１）にも生成可能とする観点から、最終段を除いた鍵
変換関数ｆｋ１〜ｆｋ(ｎ+1)の中央値（ｎ＝８）を中心
として左右対称（前段，後段で対称）に設定されてい
る。但し、これに限らず、巡回シフト部１７_ｉは、拡大
鍵Ｋ１〜Ｋ１６を逆順（Ｋ１６〜Ｋ１）にも生成可能で
あれば、シフト量及び巡回方向を任意に設定可能であ
る。

【００６９】一方、攪拌部２０は、夫々ラウンドＲ１か
らラウンドＲｎまでのｎラウンドの処理において、拡大
鍵生成部１０から順に拡大鍵Ｋ１〜Ｋ１６が与えられる
とき、入力された平文を暗号化して暗号文を出力する暗
号化機能を有し、また、拡大鍵生成部１０から暗号化と
は逆順に拡大鍵Ｋ１６〜Ｋ１が与えられるとき、入力さ
れた暗号文を復号して平文を出力する復号機能を有して
いる。攪拌部２０には、各ラウンドＲ１〜Ｒｎに対応し
て、順にカスケード接続されたラウンド関数ｆｒ１〜ｆ
ｒｎが設けられている。

【００７０】ラウンド関数ｆｒｉは、暗号化のとき、平
文又は中間的な暗号化結果を、拡大鍵生成部１０から入
力された拡大鍵Ｋｉに基づいて変換し、中間的な暗号化
結果又は暗号文を出力する関数であり、復号のとき、暗
号文又は中間的な復号結果を、拡大鍵生成部１０から逆
順に入力された拡大鍵Ｋ(n+1-i)に基づいて変換し、中
間的な復号結果又は平文を出力する関数であって、ここ
では一例として図６に示す如きFeistel構造が使用され
ている。

【００７１】図６中のFeistel構造は、与えられた２つ
のサブブロックＬｉ，Ｒｉからなるデータブロックのう
ち、一方のサブブロックＲｉを拡大鍵Ｋｉに基づいてＦ
関数で非線形変換し、この変換結果と他方のサブブロッ
クＬｉとの排他的論理和をＸＯＲ素子２１で算出し、こ
の算出結果Ｒi+1と一方のサブブロックＬi+1（＝Ｒｉ）
との位置を交替して次段に与える、という構成を備えて
いる。

【００７２】ここで、Ｆ関数は、図６中において、拡大
鍵ＫとサブブロックＲｉ（又はＬｉ）との排他的論理和
を算出するＸＯＲ素子２２と、ＸＯＲ素子２２の出力を
４分割して夫々非線形変換する４つのＳボックスＳ１乃
至Ｓ４とから構成される。なお、各ＳボックスＳ１乃至
Ｓ４は、例えば図３に示すような置換テーブルを有する
が、各Ｓボックスが共通の置換テーブルを持つように構
成してもよいし、それぞれ異なる置換テーブルを持つよ
うに構成してもよい。

【００７３】なお、各ラウンド関数ｆｒによる変換は、
同じ変換を２回繰り返すと、元のデータが復元されるイ
ンボルーション（involution）という性質をもってい
る。このため、攪拌部２０では、平文を拡大鍵Ｋ１〜Ｋ
１６の順に変換して暗号文を生成したとき、この暗号文
を拡大鍵Ｋ１６〜Ｋ１の順に再度変換すると、平文が生
成可能となっている。

【００７４】次に、以上のように構成された暗復号装置
の動作を図７に示すフローチャートも参照して説明す
る。暗号化の際には、図１に示すように、入力された共
通鍵ＫＣ又は中間的な鍵変換結果ｋｃｉは、鍵変換関数
ｆｋｉにより１ラウンド毎に拡大鍵Ｋｉに変換される。

【００７５】詳しくは図８に示すように、鍵変換関数ｆ
ｋｉにおいては、一時鍵レジスタ１１_ｉから取り出した
８ビットの第１鍵ＫＡと定数レジスタ１２_ｉ内の定数と
の排他的論理和をＸＯＲ素子１３_ｉが算出し（図７のス
テップＳ１）、この算出結果をＳボックス１４_ｉが非線
形変換する（図７のステップＳ３）。非線形変換として
は、例えば図４に示した関係で入力と出力とを各ビット
毎に置換する。この置換結果は、拡大変換部１５_ｉによ
り４ビット左シフト（＝１６倍）されて加算部１６_ｉに
入力される（図７のステップＳ５）。

【００７６】加算部１６_ｉは、入力されたシフト結果
（１２ビット）と一時鍵レジスタ１１ _ｉから取り出した
３２ビットの第２鍵ＫＢとを加算し、加算結果を３２ビ
ットの拡大鍵Ｋｉとして攪拌部２０に出力する（図７の
ステップＳ７）。

【００７７】この拡大鍵Ｋｉにおいては、Ｓボックス１
４_ｉで変換された８ビットの第１鍵ＫＡが、右（最下位
桁）から５ビット目〜１２ビット目に位置する。このビ
ット位置は、第３及び第４のＳボックスＳ３，Ｓ４への
入力に対応する。従って、拡大鍵生成部１０のＳボック
ス１４_ｉによる攪拌作用を攪拌部２０の２つのＳボック
スＳ３，Ｓ４に反映でき、拡大鍵の攪拌性が向上されて
いる。

【００７８】また、攪拌部２０では、平文が、各ラウン
ド関数ｆｒ１〜ｆｒｎ毎に各拡大鍵Ｋ１〜Ｋｎに基づい
て変換され、中間的な暗号化結果を経て最終的に暗号文
に変換される。

【００７９】一方、復号の際には、拡大鍵生成部１０に
おいては、前述同様に共通鍵ＫＣが入力されると、暗号
化時とは逆順に鍵変換処理が行われ、拡大鍵Ｋｎ〜Ｋ１
が順次、攪拌部２０に出力される。

【００８０】攪拌部２０では、入力された暗号文が、暗
号化時とは逆順の拡大鍵Ｋｎ〜Ｋ１に基づいて変換さ
れ、中間的な復号結果を経て最終的に平文に変換され
る。

【００８１】上述したように本実施形態によれば、各鍵
変換関数ｆｋ１〜ｆｋｎとしては、入力された鍵から得
られた第１鍵ＫＡに基づいてＳボックス１４_ｉ（置換テ
ーブル）により非線形変換処理を行い、加算部１６
_ｉが、このＳボックス１４_ｉによる変換結果を左シフト
させた値と、入力された鍵から得られた第２鍵ＫＢとに
基づいて拡大鍵Ｋ１〜Ｋ１６を算出する。

【００８２】このように、外部装置を付加しない簡易な
構成を用いており、拡大鍵Ｋｉを生成する際に、置換テ
ーブル（Ｓボックス１４ｉ）による非線形変換処理を行
うため、装置価格や装置規模を抑え、弱鍵の生成を阻止
しつつ拡大鍵の攪拌性を向上でき、もって、暗号強度を
向上させることができる。

【００８３】また、各鍵変換関数ｆｋｉでは、巡回シフ
ト部１７_ｉが、入力された鍵を左（又は右）に巡回シフ
トさせ、巡回シフトの完了した鍵を次ラウンドの鍵変換
関数ｆｋ(i+1)に入力するので、容易且つ確実に、各ラ
ウンドに入力される鍵を互いに相違させることができ
る。

【００８４】さらに、巡回シフト部１７_ｉのシフト量と
しては、例えば、Ｓボックス１４_ｉの出力ビット数と互
いに素な値とした場合、各ラウンドＲ１〜Ｒｎにおける
ほぼ全ての第１鍵ＫＡを互いに相違させることができ、
前述した効果をより一層、容易且つ確実に得ることがで
きる。

【００８５】さらに、各鍵変換関数ｆｋｉとしては、拡
大変換部１５_ｉが、Ｓボックス１４ _ｉによる変換結果を
拡大変換させて加算部１６_ｉに入力するので、前述した
効果に加え、第１鍵ＫＡの攪拌作用を拡大鍵Ｋｉの任意
の領域に反映させることができる。

【００８６】また、拡大変換部１５_ｉによる拡大変換と
しては、所定ビット数のシフトであるので、前述した効
果を容易且つ確実に得ることができる。

【００８７】さらに、攪拌部２０が、暗号化及び復号の
ための複数のＳボックスＳ１〜Ｓ４を有し、攪拌部２０
のいずれかのＳボックスが、鍵変換関数ｆｋ１〜ｆｋｎ
のＳボックス１４_ｉと共有化されているので、装置規模
の縮小化を図ることができる。

【００８８】また、各鍵変換関数ｆｋ１〜ｆｋｎとして
は、拡大変換部１５_ｉが、Ｓボックス１４_ｉによる変換
結果を受けたとき、この変換結果のビット数の半分のビ
ット数、あるいは半分のビット数に変換結果のビット数
の整数倍を加えた値のビット数だけ、当該変換結果を左
シフトさせて加算部１６_ｉに入力するので、第１鍵ＫＡ
の攪拌作用を拡大鍵Ｋｉにて左シフトさせた領域に反映
させることができ、この場合、攪拌部２０の複数のＳボ
ックスＳ３，Ｓ４に入力される領域に反映させることが
できるので、より一層、暗号強度の向上を図ることがで
きる。

【００８９】（第２の実施形態）図９は本発明の第２の
実施形態に係る拡大鍵生成装置に適用される鍵変換関数
の構成を示すブロック図であり、図２と同一部分には同
一符号を付してその詳しい説明を省略し、ここでは異な
る部分についてのみ述べる。なお、以下の各実施形態も
同様にして重複した説明を省略する。

【００９０】すなわち、本実施形態は、第１の実施形態
の変形例であり、拡大鍵の攪拌性のより一層の向上を図
るものであり、具体的には図２に示すように、各鍵変換
関数において、前述した定数レジスタ１２_ｉ、ＸＯＲ素
子１３_ｉ、Ｓボックス１４_ｉ及び拡大変換部１５_ｉから
なる変換要素が互いに並列に、一時鍵レジスタ１１_ｉと
加算部１６_ｉとの間に接続されている。

【００９１】ここで、２つのＳボックス１４_ｉは、１種
類で設けてもよく、又は複数の種類で設けてもよいが、
複数の種類を用いる場合、共通鍵ＫＣに基づいて拡大鍵
Ｋｉを正順及び逆順の両方で生成可能とする観点から、
前半の鍵変換関数ｆｋ１〜ｆｋ８と後半の鍵変換関数ｆ
ｋ９〜ｆｋ１６とでは中央（ｆｋ８，９）から上下対称
となるように種類が設けられることが好ましい。

【００９２】また、２つの拡大変換部１５ｉは、互いに
同一のシフト量とすることも可能であるが、２つのＳボ
ックス１４_ｉによる攪拌効果をより広範囲に反映させる
観点から、互いに異なるシフト量でＳボックス１４_ｉの
出力を左シフトさせることが好ましい。この場合、例え
ば一方の拡大変換部１５_ｉを４ビットの左シフトとし、
他方の拡大変換部１５_ｉを２０ビットの左シフトとする
と、第１鍵ＫＡの攪拌効果を攪拌部２０のＳボックスＳ
１〜Ｓ４の全てに反映できるので好ましい。

【００９３】以上のような構成によれば、第１鍵ＫＡに
よる攪拌性をさらに向上できるので、第１の実施形態の
効果に加え、拡大鍵Ｋｉの攪拌性をより一層向上させる
ことができる。

【００９４】（第３の実施形態）図１０は本発明の第３
の実施形態に係る拡大鍵生成装置の構成を示すブロック
図である。本実施形態は、第１又は第２の実施形態の変
形形態であり、一時鍵レジスタ１１_ｉ及び巡回シフト部
１７_ｉに代えて、入力される共通鍵ＫＣ又は中間的な鍵
ｋｃ１〜ｋｃn-1の各ビットを互いに非線形的に置換
し、得られた中間的な鍵の一部を自己の段のＸＯＲ素子
１３_ｉ並びに加算部１６_ｉに入力すると共に、その中間
的な鍵の全体を次段の置換処理部１８_(i+1)に入力する
置換処理部１８_ｉを備えている。

【００９５】各置換処理部１８_ｉは、共通鍵ＫＣに基づ
いて拡大鍵Ｋｉを正順及び逆順の両方で生成可能とする
観点から、共通鍵ＫＣを正順にｎ回置換した結果が元の
共通鍵ＫＣに等しくなるように夫々設定され、且つラウ
ンド数ｎ＝１６の場合の例を図１１に示すように、暗号
化の際には昇順に変換を行い、復号の際には降順に逆変
換を行うように設定されている。各置換処理部１８ｉの
具体的な処理としては、例えば共通鍵ＫＣを任意のビッ
ト数左にローテートシフトすることにより行われる。

【００９６】図１０に示す実施形態においては、図１２
のステップＳ２１において、置換処理部１８ｉにより、
共通鍵ＫＣを非線形に変換する処理が行われる。次に、
ステップＳ２３において、置換処理部１８ｉから得られ
る第１鍵ＫＡと、定数レジスタ１２ｉに保持される定数
との排他的論理和がＸＯＲ素子１３ｉにより演算され
る。そしてステップＳ２５において、ＸＯＲ素子１３Ｉ
からの排他的論理和がＳボックス１４ｉにより置換テー
ブルを用いて非線形に変換される。そして、ステップＳ
２７において、非線形変換された値が拡大変換部１５ｉ
において、４ビット左シフトされ、１２ビットの拡大変
換された結果が得られる。そして、ステップＳ２９にお
いて、１２ビット拡大変換された結果と、置換処理部１
８ｉから得られる第２鍵ＫＢとが加算され、拡大鍵が生
成される。以上のような構成としても、第１又は第２の
実施形態と同様の効果を得ることができ、これに加え、
容易且つ確実に、各鍵変換関数ｆｋ１〜ｆｋｎに入力さ
れる鍵ＫＣ，ｋｃ１〜ＫＣn-1を互いに相違させること
ができる。

【００９７】なお、上記各実施形態では、Ｓボックス１
４_ｉの入力側に、定数を排他的論理和するＸＯＲ素子１
３_ｉを設けた場合について説明したが、これに限らず、
ＸＯＲ素子１３_ｉを省略し、Ｓボックス１４_ｉに代え
て、定数の排他的論理和を算出した後のＳボックス１４
ｘ_ｉを設けた構成としても、本発明を同様に実施して同
様の効果を得ることができる。すなわち、例えばＫＡの
値と定数のとの排他的論理和をあらかじめ計算しておい
て、表の形で保持し、Ｓボックス１４ｘｉがＫＡの値を
入力パラメータとして表を引き、排他的論理和の算出結
果を得るように構成してもよい。

【００９８】図１３は、上述したこの発明の拡大鍵生成
装置、暗復号装置及び記憶媒体を具現化した、スマート
カードの構成を示す機能ブロック図である。同図に示す
ようにはスマートカード５１は、ＣＰＵ５３、ＲＡＭ５
５、ＲＯＭ５７、ＥＥＰＲＯＭ５９、及びコンタクタ６
１を有する。ＲＡＭ５５は、各種データの記憶や、ワー
クエリアなどに使用される。ＲＯＭ５７は、各種データ
の記憶やプログラムの記憶等に使用される。ＥＥＰＲＯ
Ｍ５９は、上述した図Ｘ、Ｙに示すフローチャートで示
されるプログラム等を記憶する。コンタクタ６１は、図
示しないスマートカードリーダ／ライタとの電気的接触
を得る。なお、図７および１２に示すプログラムは、Ｅ
ＥＰＲＯＭ５９の代わりに、ＲＡＭ５５あるいはＲＯＭ
５７に記憶するようにししてもよい。（第４の実施形
態）次に、本発明の第４の実施形態に係る暗復号装置に
ついて図１４を用いて説明する。この暗復号装置３０
は、第１乃至第３の実施形態のいずれかで述べた構成を
有し、例えば画像データや音楽データ等のディジタル情
報（以下、生データという）を保護するためのものであ
る。

【００９９】係る暗復号装置３０は、例えば図１４に示
すように、記憶媒体からプログラムがインストールされ
ることにより、パーソナルコンピュータ（以下、パソコ
ンという）ＰＣに実現されているとする。ここで、暗復
号装置３０は、例えばユーザＩＤを共通鍵とし、パソコ
ンＰＣに入力された生データを暗号化し、得られた暗号
化データ（前述した暗号文に相当）を携帯可能な記憶素
子３１に記憶させる。この種の記憶素子３１としては、
スマートカード、スマートメディア又はメモリカードな
どがある。

【０１００】この記憶素子３１がユーザ宅へ配布され、
ユーザ宅内の図示しない暗復号装置は、自己のユーザＩ
Ｄに基づいて記憶素子３１内の暗号化データを復号し、
得られた画像データや音楽データをスピーカ等から再生
出力させる。これにより、例えば予め契約したユーザの
みに生データ（コンテンツ）を配布することができる。

【０１０１】また、本実施形態は、以下のように種々変
形可能となっている。例えば、図１５に示すように、パ
ソコンＰＣに代えて、例えばハードウェア回路からなる
暗復号装置３０を備えた記録装置３２を設けた構成であ
る。この構成によれば、コンテンツを記憶素子３１に書
込む際に、暗復号装置３０がユーザＩＤ等により生デー
タを暗号化して記憶素子３１に記憶させる。宅配から復
号に至る過程は、前述した通りである。このように、パ
ソコンＰＣ等の汎用のコンピュータでなくとも、専用の
記録装置３２に暗復号装置３０を設けた構成としてもよ
い。

【０１０２】また、図１６に示すように、暗復号装置３
０を設けたホストコンピュータ３３が、ネットワークＮ
Ｗを介してパソコンＰＣに接続された構成としてもよ
い。この場合、ホストコンピュータ３３からダウンロー
ドされた暗号化データがパソコンＰＣを介して暗号化さ
れた状態で記憶素子３２に記憶される。宅配から復号に
至る過程は、前述した通りである。この変形例によれ
ば、前述した効果に加え、ネットワークＮＷ上でのコン
テンツ（生データ）の盗聴などを防止することができ
る。

【０１０３】さらに、図１７に示すように、記憶素子を
例えばＤＶＤ（digital versatiledisc）としてもよ
い。図１７（ａ）に示す場合、予め暗号化データが格納
されたＤＶＤ３４がユーザに頒布される。ユーザ宅の暗
復号装置３０は、ＤＶＤ３４内の暗号化データを復号
し、得られた画像データや音楽データをスピーカ等から
再生出力させる。

【０１０４】また、図１７（ｂ）に示す場合、画像や音
楽等の生データがユーザ宅の暗復号装置３０によって所
定の共通鍵を用いて暗号化され、得られた暗号化データ
がＤＶＤ−ＲＡＭ３５に格納される。この暗号化データ
は、ユーザにより設定された所定の共通鍵により復号さ
れるが、共通鍵が知られない限り、他人には復号されな
い。従って、趣味的な画像データや音楽データなどを他
人から保護しつつ保存することができる。

【０１０５】（他の実施形態）尚、本発明における拡大
鍵生成装置及び暗復号装置の処理を実現させるためのプ
ログラムが記憶された記憶媒体としては、磁気ディス
ク、フロッピー（登録商標）ディスク、ハードディス
ク、光ディスク（ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ
等）、光磁気ディスク（ＭＯ等）、半導体メモリ等が適
用可能である。実際には、プログラムを記憶でき、かつ
コンピュータが読み取り可能な記憶媒体であれば、その
記憶形式は何れの形態であっても良い。

【０１０６】また、記憶媒体からコンピュータにインス
トールされたプログラムの指示に基づきコンピュータ上
で稼働しているＯＳ（オペレーティングシステム）や、
データベース管理ソフト、ネットワークソフト等のＭＷ
（ミドルウェア）等が本実施形態を実現するための各処
理の一部を実行しても良い。

【０１０７】さらに、本発明における記憶媒体は、コン
ピュータと独立した媒体に限らず、ＬＡＮやインターネ
ット等により伝送されたプログラムをダウンロードして
記憶または一時記憶した記憶媒体も含まれる。

【０１０８】また、記憶媒体は１つに限らず、複数の媒
体から本実施形態における処理が実行される場合も本発
明における記憶媒体に含まれ、媒体構成は何れの構成で
あっても良い。

【０１０９】尚、本発明におけるコンピュータは、記憶
媒体に記憶されたプログラムに基づき、本実施形態にお
ける各処理を実行するものであって、パソコン等の１つ
からなる装置、複数の装置がネットワーク接続されたシ
ステム等の何れの構成であっても良い。

【０１１０】また、本発明におけるコンピュータとは、
パソコンに限らず、情報処理機器に含まれる演算処理装
置、マイコン等も含み、プログラムによって本発明の機
能を実現することが可能な機器、装置を総称している。

【０１１１】また、本発明は、ＤＥＳ暗号系に限らず、
ラウンド関数を用いるブロック暗号系であれば適用可能
であり、例えば、Lucifer、LOKI、MISTY 1、MISTY 2及
びSAFER(Secure And Fast Encryption Routine)といっ
た暗号系に適用してもよい。

【０１１２】また、上述した実施例では、Ｓボックスは
置換表を用いて非線形変換を行う要に構成したが、配線
により非線形変換を行うように構成してもよい。

【０１１３】また、図９に示した実施例では、定数レジ
スタ12i、XOR素子13i、Sボックス14iおよび拡大変換部1
5iからなる変換要素が２セット並列に設けられるように
構成したが、２セット以上の変換要素を並列に設けるよ
うに構成してもよい。

【０１１４】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０１１５】

【発明の効果】以上説明したように本発明によれば、装
置価格や装置規模を抑え、弱鍵の生成を阻止しつつ拡大
鍵の攪拌性を向上でき、もって、暗号強度を向上できる
拡大鍵生成装置、暗復号装置、拡大鍵生成方法、及び記
憶媒体を提供できる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る暗復号装置の構
成を示すブロック図である。

【図２】同実施形態における暗復号装置内の拡大鍵生成
部の構成を示すブロック図である。

【図３】同実施形態における定数レジスタの設定値を説
明するための模式図である。

【図４】同実施形態におけるＳボックスの構成を説明す
るための模式図である。

【図５】同実施形態における巡回シフト部の設定を説明
するための模式図である。

【図６】同実施形態におけるラウンド関数の構造を示す
ブロック図である。

【図７】暗復号装置の動作を示すフローチャートであ
る。

【図８】同実施形態における動作を説明するための模式
図である。

【図９】本発明の第２の実施形態に係る拡大鍵生成装置
に適用される鍵変換関数の構成を示すブロック図であ
る。

【図１０】本発明の第３の実施形態に係る拡大鍵生成装
置の構成を示すブロック図である。

【図１１】同実施形態における置換処理部の設定を説明
するための模式図である。

【図１２】図１０に示す実施例の動作を示すフローチャ
ートである。

【図１３】この発明の拡大鍵生成装置、暗復号装置およ
び記憶媒体を具現化したスマートカードの構成を示す機
能ブロック図である。

【図１４】本発明の第４の実施形態に係る暗復号装置を
説明するための模式図である。

【図１５】同実施形態における変形例を説明するための
模式図である。

【図１６】同実施形態における変形例を説明するための
模式図である。

【図１７】同実施形態における変形例を説明するための
模式図である。

【図１８】従来の共通鍵暗号の一例としてのＤＥＳ方式
を説明するためのブロック図である。

【符号の説明】

１０…拡大鍵生成部 １１_１〜１１_ｎ…一時鍵レジスタ １２_１〜１２_ｎ…定数レジスタ １３_１〜１３_ｎ…ＸＯＲ素子 １４_１〜１４_ｎ…Ｓボックス １５_１〜１５_ｎ…拡大変換部 １６_１〜１６_ｎ…加算部 １７_１〜１７_ｎ-1…巡回シフト部 １８_ｉ…置換処理部 ２０…攪拌部 ３０…暗復号装置 ３１…記憶素子 ３２…記録装置 ３３…ホストコンピュータ ３４…ＤＶＤ ３５…ＤＶＤ−ＲＡＭ ｆｋ１〜ｆｋｎ…鍵変換関数 Ｒ１〜Ｒｎ…ラウンド Ｋ１〜Ｋｎ…拡大鍵 ＫＣ…共通鍵 ｋｃ１〜ｋｃn-1…鍵変換結果 ＫＡ…第１鍵 ＫＢ…第２鍵 ＰＣ…パソコン ＮＷ…ネットワーク

───────────────────────────────────────────────────── フロントページの続き (72)発明者 横田 薫 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 関部 勉 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 館林 誠 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 佐野 文彦 東京都府中市東芝町１番地 株式会社東芝 府中事業所内 (72)発明者 川村 信一 神奈川県川崎市幸区小向東芝町１番地 株 式会社東芝研究開発センター内

Claims (26)

【特許請求の範囲】
1. 【請求項１】 各ラウンド毎に異なる鍵が入力され、そ
   れぞれ前記鍵に基づいて拡大鍵を生成する、カスケード
   に連結された複数の鍵変換関数部を有し、 前記各鍵変換関数部は、 前記入力された鍵から得られた第１鍵に基づいて所定の
   置換テーブルにより変換処理を行う第１鍵変換手段と、 この第１鍵変換手段による変換結果と前記入力された鍵
   から得られた第２鍵とに基づいて前記拡大鍵を算出する
   拡大鍵算出手段とを備えたことを特徴とする拡大鍵生成
   装置。
2. 【請求項２】 前記各鍵変換関数部は、 入力された鍵を左又は右に巡回シフトさせ、前記巡回シ
   フトの完了した鍵を次ラウンドの鍵変換関数部に入力す
   る巡回シフト手段を備えたことを特徴とする請求項１記
   載の拡大鍵生成装置。
3. 【請求項３】 前記巡回シフト手段のシフト量は、前記
   第１鍵変換手段の出力ビット数と互いに素な値であるこ
   とを特徴とする請求項２記載の拡大鍵生成装置。
4. 【請求項４】 前記各鍵変換関数部は、 入力された鍵を置換テーブルにより変換し、この変換の
   完了した鍵を次ラウンドの鍵変換関数部に入力する入力
   鍵変換手段を備えたことを特徴とする請求項１記載の拡
   大鍵生成装置。
5. 【請求項５】 前記各鍵変換関数部は、 前記第１鍵変換手段による変換結果を拡大変換させて前
   記拡大鍵算出手段に入力する拡大変換手段を備えたこと
   を特徴とする請求項１乃至請求項４のいずれか１項記載
   の拡大鍵生成装置。
6. 【請求項６】 前記拡大変換手段による拡大変換は、所
   定ビット数のシフトであることを特徴とする請求項５記
   載の拡大鍵生成装置。
7. 【請求項７】前記所定ビット数のシフトは、前記第１鍵
   変換手段による変換結果のビット数の半分のビット数、
   あるいは前記半分のビット数に前記変換結果のビット数
   の整数倍を加えた値のビット数だけ、当該変換結果を左
   シフトすることにより行うことを特徴とする請求項６記
   載の拡大鍵生成装置。
8. 【請求項８】 前記拡大鍵演算手段による演算は、桁上
   りを伴う加算であることを特徴とする請求項１乃至請求
   項７のいずれか１項に記載の拡大鍵生成装置。
9. 【請求項９】 前記各鍵変換関数部により生成された各
   拡大鍵に基づいて、入力された平文を暗号化して暗号文
   を出力し、且つ、入力された暗号文を復号して平文を出
   力する攪拌部を備えたことを特徴とする請求項１乃至請
   求項８のいずれか１項に記載の拡大鍵生成装置を備えた
   暗復号装置。
10. 【請求項１０】 前記攪拌部は、前記暗号化及び前記復
    号のための複数の置換テーブルを有し、 前記攪拌部のいずれかの置換テーブルは、前記第１鍵変
    換手段の置換テーブルと共有化されていることを特徴と
    する請求項９に記載の暗復号装置。
11. 【請求項１１】 各ラウンド毎に異なる鍵を入力し、 前記入力された鍵から第１鍵を生成し、 前記生成された第１鍵を所定の置換テーブルにより変換
    し、 前記変換結果と、前記入力された鍵から生成された第２
    鍵とに基づいて拡大鍵を算出する、ことを特徴とする拡
    大鍵生成方法。
12. 【請求項１２】 コンピュータに、 各ラウンド毎に入力された異なる鍵から第１鍵を生成さ
    せ、 前記生成された第１鍵を所定の置換テーブルにより変換
    させ、 前記変換結果と前記入力された鍵から得られる第２鍵と
    に基づいて拡大鍵を算出させるためのプログラムを記憶
    するコンピュータ読取り可能な記憶媒体。
13. 【請求項１３】 コンピュータに、 前記入力された鍵を左又は右に巡回シフトさせ、前記巡
    回シフトの完了した鍵を次ラウンドに入力させるための
    プログラムを記憶した請求項１２記載のコンピュータ読
    取り可能記憶媒体。
14. 【請求項１４】 前記巡回シフトのシフト量は前記第１
    鍵変換の出力ビット数と互いに素な値であることを特徴
    とする請求項１３記載のコンピュータ読取り可能記憶媒
    体。
15. 【請求項１５】 コンピュータに、 前記入力された鍵を置換テーブルにより変換させ、 前記変換の完了した鍵を次ラウンドに入力させるための
    プログラムを記憶した請求項１４記載のコンピュータ読
    取り可能記憶媒体。
16. 【請求項１６】 コンピュータに、 前記第１鍵にもとづく変換結果を拡大変換させるための
    プログラムを記憶した請求項１２記載のコンピュータ読
    取り可能記憶媒体。
17. 【請求項１７】 前記拡大変換させる機能は所定ビット
    数のシフトであることを特徴とする請求項１２記載のコ
    ンピュータ読取り可能記憶媒体。
18. 【請求項１８】 前記所定ビット数のシフトは、前記第
    １鍵変換に基づく変換結果のビット数の半分のビット
    数、あるいは前記半分のビット数に前記変換結果のビッ
    ト数の整数倍を加えた値のビット数だけ、当該変換結果
    を左シフトすることにより行うことを特徴とする請求項
    １７記載のコンピュータ読取り可能記憶媒体。
19. 【請求項１９】 前記拡大鍵を算出する機能は、桁上が
    りを伴う加算であることを特徴とする請求項１２記載の
    コンピュータ読取り可能記憶媒体。
20. 【請求項２０】 コンピュータに、 各ラウンド毎に入力された異なる鍵から第１鍵を生成さ
    せ、 前記生成された第１鍵を所定の置換テーブルにより変換
    させ、 前記変換結果と前記入力された鍵から得られる第２鍵と
    に基づいて拡大鍵を算出させ、 前記生成された拡大鍵に基づいて入力された平文を暗号
    化して出力し、かつ入力された暗号文を復号して平文を
    出力する攪拌処理を実行させる、ためのプログラムを記
    憶したコンピュータ読取り可能記憶媒体。
21. 【請求項２１】 前記攪拌処理は、前記暗号化および復
    号のための複数の置換テーブルを有し、 前記攪拌処理のいずれかの置換テーブルは、前記第１鍵
    に基づく変換に使用される置換テーブルと共有化されて
    いることを特徴とする請求項２０記載のコンピュータ読
    取り可能記憶媒体。
22. 【請求項２２】各ラウンド毎に異なる鍵が入力されそれ
    ぞれ前記鍵に基づいて拡大鍵を生成する、カスケートに
    接続された複数の鍵変換関数部を有し、 前記各鍵変換関数部は複数の並列に配列された拡大変換
    要素を有し、前記各拡大変換要素は、 定数を保持する定数レジスタと、 前記定数レジスタに保持された定数と入力された鍵から
    得られる第１鍵との排他的論理和を算出する排他的論理
    和算出手段と、 前記排他的論理和算出手段から出力された値に基づいて
    所定の置換テーブルにより変換処理を行うＳボックス
    と、 前記Ｓボックスから出力された変換結果を拡大変換する
    拡大変換部と、を有し、 前記複数の拡大変換要素から出力された変換結果と、前
    記入力された鍵から得られる第２鍵とに基づいて拡大鍵
    を算出する拡大鍵算出手段を有したことを特徴とする拡
    大鍵生成装置。
23. 【請求項２３】 各ラウンド毎に異なる鍵が入力され、
    それぞれ前記鍵に基づいて拡大鍵を生成する複数の鍵変
    換関数部がカスケードに連結された拡大鍵生成装置に使
    用されるコンピュータ読取り可能記憶媒体であって、 前記拡大鍵生成装置内のコンピュータに、 前記各鍵変換関数部として、 各々が、 定数を保持する定数レジスタと、 前記定数レジスタに保持された定数と入力された鍵から
    得られる第１鍵との排他的論理和を算出する排他的論理
    和算出手段と、 前記排他的論理和算出手段から出力された値に基づいて
    所定の置換テーブルにより変換処理を行うＳボックス
    と、 前記Ｓボックスから出力された変換結果を拡大変化する
    拡大変換部とからなる複数の並列に配列された拡大変換
    要素と、 前記複数の拡大変換要素から出力された変換結果と、前
    記入力された鍵から得られた第２鍵とに基づいて拡大鍵
    を算出する拡大鍵算出手段と、 を実現させるためのプログラムを記憶したコンピュータ
    読取り可能記憶媒体。
24. 【請求項２４】 各ラウンド毎に異なる鍵が入力され、
    それぞれ前記鍵に基づいて拡大鍵を生成する、カスケー
    ドに連結された複数の鍵変換関数部を有し、 前記各鍵変換関数部は、 入力された鍵を非線形的に置換し、その置換結果を出力
    する置換処理部と、 前記置換処理部から出力された第１鍵に基づいて所定の
    置換テーブルにより変換処理を行う第１鍵変換手段と、 前記第１鍵変換手段による変換結果と前記置換処理部か
    ら出力される第１鍵とに基づいて前記拡大鍵を算出する
    拡大鍵算出手段と、を有したことを特徴とする拡大鍵生
    成装置。
25. 【請求項２５】 各ラウンド毎に異なる鍵を入力し、 入力された鍵を非線形的に置換し、 前記置換により得られる第１鍵を所定の置換テーブルに
    より変換し、 前記変換結果と前記置換により得られる第２鍵とにもと
    づいて前記拡大鍵を算出する、ことを特徴とする拡大鍵
    生成方法。
26. 【請求項２６】 コンピュータに、 ラウンド毎に入力された異なる鍵から第１鍵を生成さ
    せ、 前記入力された鍵を非線形的に置換させ、置換結果を出
    力させ、 前記置換により得られた第１鍵を所定の置換テーブルに
    より変換させ、 前記変換結果と前記置換により得られる第２鍵とに基づ
    いて拡大鍵を算出させるためのプログラムを記憶したコ
    ンピュータ読取り可能記憶媒体。