JP3492988B2

JP3492988B2 - データ変換装置及びそのプログラム記録媒体

Info

Publication number: JP3492988B2
Application number: JP2000211244A
Authority: JP
Inventors: 和麻呂青木
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2000-07-12
Filing date: 2000-07-12
Publication date: 2004-02-03
Anticipated expiration: 2020-07-12
Also published as: JP2002023621A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、主に暗号技術で
用いられる共通鍵ブロック暗号に適用されるデータ変換
装置及びそのプログラム記録媒体に関するものである。

【０００２】

【従来の技術】データを秘匿するためには暗号化技術が
有効である。暗号化の方法は共通鍵暗号と公開鍵暗号が
ある。共通鍵暗号では、暗号作成側と暗号復号側で同一
の鍵を用い、この鍵は秘密に管理されている。一方、公
開鍵暗号では暗号文作成の鍵と暗号文復号の鍵は異なっ
ており、暗号文作成のための鍵は公開しても、復号のた
めの鍵は現実的な時間内に求まらないと広く信じられて
いる。処理速度の観点からは共通鍵暗号の方が有利であ
る。

【０００３】高速かつ安全な共通鍵暗号を構成するため
に、暗号化対象のデータを適当な長さのブロックに分割
し、そのブロック毎に暗号化する方法をブロック暗号と
呼ぶ。この様な暗号方式として代表的なＤＥＳ暗号の構
成は、例えば「Bruce Schneier：“Applied Cryptograp
hy”，２nd Edition，pp.270-277,John Wiley & Sons,I
nc., 1996」に示されている。このＤＥＳ暗号をはじめ
多くの共通鍵ブロック暗号はFeistel構造と呼ばれる構
造を有している（図９参照）。すなわち、入力をＭ、出
力をＣと置いたときに以下のステップで暗号化される。

【０００４】Ｓｔｅｐ１：（Ｌ，Ｒ）←Ｍ、つまりＭを
ＬとＲに２分割し、Ｓｔｅｐ２：ｉ＝１，２，…，ｒに対し、（Ｌ，Ｒ）←（Ｆ_i（Ｌ）＋Ｒ，Ｌ）を繰り返す。つまり第ｉ段の入力Ｌに対し段関数演算値
Ｆ_i（Ｌ）を求め、そのＦ_i（Ｌ）と入力Ｒとの線形演
算を行って、その結果をＬとして第ｉ＋１段へ出力し、
入力ＬをＲとして第ｉ＋１段へ出力する。

【０００５】Ｓｔｅｐ３：Ｃ←（Ｒ，Ｌ）ここで、繰り返し回数ｒを段数、Ｆ_iを段関数と呼ぶ。
段関数（図１０参照）は、ＤＥＳ暗号をはじめとする多
くの暗号で換字（substitution）と置換（permutatio
n）の組合せから構成されている。換字置換（図１１参
照）はかなり広い概念であるが、近年ソフトウェア実装
の要請から

【０００６】

【数９】

【０００７】という形の換字置換が多く用いられてきて
いる。ここで演算は全て環Ｒ上での演算を用い、置換を

【０００８】

【数１０】

【０００９】で、換字をｓ_j：Ｒ→Ｒ（ｊ＝１，２，
…，ｎ）とする。つまり、行列の積を置換と考える。式
（１）に示される換字置換は文献「V.Rijmen,et al,:
“The Cipher SHARK,”Fast Software Encryption−Thi
rd International Workshop,Lecture Notes in Compute
r Science 1039,pp.99-111,Springer-Verlag,1996」
（以下『文献Ｓ』と略す）で定義されているＳＨＡＲＫ
暗号でも使われている。文献Ｓには

【００１０】

【数１１】

【００１１】という式変形を用い、予め

【００１２】

【数１２】

【００１３】で示される関数ＳＰ_jの出力値をメモリな
どに事前計算することにより式（１）を効率的に計算す
る方法も示されている。上記換字置換を用いた暗号とし
て、文献「神田ら：“１２８ビットブロック暗号Ｃａｍ
ｅｌｌｉａ，”信学技報，ＩＳＥＣ２０００−６，ｐ
ｐ．４７−７５，２０００」（以下『文献Ｃ』と略す）
で提案されたＣａｍｅｌｌｉａ暗号がある。このＣａｍ
ｅｌｌｉａ暗号は入力１６バイト出力１６バイトで、Ｆ
ｅｉｓｔｅｌ構造を有し、段関数は次の式により計算さ
れる構造を含む。

【００１４】

【数１３】

【００１５】段関数の計算は以下のように記述できる。Ｓｔｅｐ１：入力から表引きの鍵（インデックス）を切
り出す。Ｓｔｅｐ２：表を引く。Ｓｔｅｐ３：表を引いた結果に線形演算を施す。これに
より段関数計算結果が得られる。また、Ｆｅｉｓｔｅｌ構造ではこの段関数の出力にＳｔｅｐ４：線形演算の結果にＲを足し込む。というＳ
ｔｅｐが繰り返し処理中に入る。

【００１６】３２ビットＣＰＵでは、一つのレジスタの
サイズは３２ビットすなわち４バイトを格納できる。Ｃ
ａｍｅｌｌｉａ暗号の入出力は１６バイトであるから、
データ変換途中の状態は４つのレジスタにより保存でき
る。これを（Ｘ₁，Ｘ₂，Ｘ ₃，Ｘ₄）と記述する。Ｉ
ｎｔｅｌの３２ビットＣＰＵであるＰｅｎｔｉｕｍ（登
録商標）などでは、Ｘ_d←Ｘ_smod２⁸ Ｘ_d←（Ｘ_s／２⁸）mod２⁸ のいずれかを計算する命令がある。すなわちこの前者の
命令を使うと、あるレジスタの最下位バイト又は後者の
命令を使うと２番目の下位バイトを零拡張して他のレジ
スタにコピーすることができる。このレジスタにコピー
されたデータを鍵（インデックス）として表を引くこと
ができる。つまりこの命令は換字置換処理において表引
きの鍵生成に有効であるが、上位２バイトに対する鍵を
生成することができない問題点がある。

【００１７】従って、上位２バイトに対する鍵を生成す
るため、ローテーション命令を利用し、段関数の入力を
表すレジスタの上位２バイトと下位２バイトを入れ替え
て、その下位に移された２バイトを前記二つの命令でそ
れぞれ取出して表を引く鍵（インデックス）とすれば解
決できる。しかしこの上位と下位が入れ替えられたＬが
次段にＲとして出力されると、この段でのＦｅｉｓｔｅ
ｌ構造の加算、すなわちＳｔｅｐ４（段関数計算値とＲ
との加算）を計算する際に、上位下位が入れ替ったまま
であると加算すべきバイト位置が異なり、正しく計算で
きない。そこで、段関数の入力に対し、上位２バイトに
対する鍵を前述したように生成した後にまた、ローテー
ション命令を利用してデータ位置を元に戻す必要があ
る。結局、表を引くための鍵生成に伴うローテーション
命令の数が多くなる。

【００１８】またＣａｍｅｌｌｉａ暗号において、段関
数計算に用いる準備すべき表は、文献Ｓの方法に従う
と、図１２に示す通りである。この表をそのまま使う
と、ｘは２⁸個の値をとることができるから合計１６キ
ロバイト（８×８×２⁸バイト）も要し、いくつかのＣ
ＰＵでは１次キャッシュサイズを越え、大きな性能低下
をもたらす。

【００１９】

【発明が解決しようとする課題】この発明の目的はデー
タ変換を計算するために必要な表（テーブル）を引く
（参照する）ための鍵（インデックス）の生成コスト、
つまり所要の命令数を低減することができるデータ変換
装置及びそのプログラム記録媒体を提供することにあ
る。この発明の他の目的はデータ変換を計算するために
必要な表（テーブル）を格納するメモリ量を少なくし、
通常のＣＰＵの一次キャッシュサイズに納まるようにし
たデータ変換装置及びそのプログラム記録媒体を提供す
ることにある。

【００２０】

【課題を解決するための手段】この発明の第１観点によ
れば、各４バイトの入力データＸ₁，Ｘ₂，Ｘ₃，Ｘ ₄
が入力されＦｅｉｓｔｅｌ構造の各段ごとにそのＸ₁，
Ｘ₂の各下位２バイトによる表の参照と、その後、
Ｘ₁，Ｘ₂をそれぞれ上位２バイトと下位２バイトを入
れ替えて、その各新たな下位２バイトによる表の参照を
行い、その入れ替えられたＸ₁，Ｘ₂を次段へＸ₃，Ｘ
₄として出力し、第ｎ段において参照される各表は、ｎ
mod４＝１及びｎmod４＝０に対して出力の上位２バイト
と下位２バイトが入れ替えられてないものであり、ｎmo
d４＝２及びｎmod４＝３に対しては出力の上位２バイト
と下位２バイトが入れ替えられたものである。

【００２１】つまりこのような表を用いることにより、
各段のＸ₁，Ｘ₂は表参照のために下位２バイトと上位
２バイトが入れ替えられたまま、次段へＸ₃，Ｘ₄とし
て出力されても正しく動作する。この発明の第２観点に
よれば、置換行列Ｐにおいて、各列中に上位４要素と下
位４要素とが同一なものがあり、かつその同一の４要素
が、他の列の上位又は下位４要素と同一のものがある場
合に、前記上位４要素と下位４要素が同一のものとに対
応する表は省略し、その上位又は下位要素と同一のもの
と対応する表を引いた後、得られたデータ中の同一４バ
イトを並置し、省略した表を参照したものと同一のデー
タを得る。このようにして表の数を省略することができ
る。

【００２２】

【発明の実施の形態】図１にこの第１観点の発明の実施
例を示し、この例ではＦｅｉｓｔｅｌ構造の第１段より
第４段まで示され、図に示した構成におけるＬとしてＸ
₁，Ｘ₂がＲとしてＸ₃，Ｘ₄が入力される。各段にお
いてＸ₁，Ｘ₂は第１線形変換部で線形変換され、表を
利用する換字置換部により換字置換され、更に第２線形
変換部により線形変換されて、段関数演算結果が得ら
れ、その段関数演算結果が入力Ｘ ₃，Ｘ₄と排他的論理
和演算などの線形演算がなされ、次段へＸ₁，Ｘ₂とし
て出力される。

【００２３】各段において、その換字置換部における表
を引く（参照する）ために、図２に示すようにその入力
Ｘ₁はＸ₁mod２⁸によりＸ₁の最下位バイトによる表
を引くための鍵（インデックス）Ｘ₁₁が求められて（Ｓ
１）表を引き、計算値ＳＰ（Ｘ₁₁）を得（Ｓ２）、また
（Ｘ₁／２⁸）mod２⁸によりＸ₁の２番目の下位バイ
トによる表を引くための鍵Ｘ₁₂が求められ（Ｓ３）、表
を引きＳＰ（Ｘ₁₂）が求められる（Ｓ４）。同様にＸ₂
についても、最下位バイト及び２番目の下位バイトによ
る表を引くための鍵Ｘ₂₁，Ｘ₂₂がそれぞれ求められ（Ｓ
１，Ｓ３）、それら鍵Ｘ₂₁，Ｘ₂₂により表が引かれて、
その結果ＳＰ（Ｘ₂₁），ＳＰ（Ｘ₂₂）が得られる。

【００２４】その後、Ｘ₁，Ｘ₂をそれぞれ２バイト循
環シフトして上位２バイトと下位２バイトが入れ替えら
れたＸ₁′，Ｘ₂′を求め（Ｓ５）、これらについて同
様に、Ｘ₁′mod２⁸、Ｘ₂′mod２⁸によりそれぞれ鍵
Ｘ₁₃，Ｘ₂₃を得て（Ｓ６）、これらにより表を引いて、
ＳＰ（Ｘ₁₃），ＳＰ（Ｘ₂₃）を求める（Ｓ７）。更に
（Ｘ₁′／２⁸）mod２⁸，（Ｘ₂′／２⁸）mod２⁸に
より鍵Ｘ₁₄，Ｘ₂₄を求めて（Ｓ８）、これらにより表を
引いてＳＰ（Ｘ₁₄），ＳＰ（Ｘ₂₄）を得る（Ｓ９）。以
上のＳＰは全て異なっていても構わない。

【００２５】なお図１では第１段目のＸ₁の４バイトを
ａｂｃｄ、Ｘ₂の４バイトをｅｆｇｈ、Ｘ₃の４バイト
をｉｊｈｌ、Ｘ₄の４バイトをｍｎｏｐとして示してい
る。従って、前記鍵Ｘ₁₁，Ｘ₁₂，Ｘ₁₃，Ｘ₁₄はそれぞれ
ｄ，ｃ，ｂ，ａとなり、鍵Ｘ ₂₁，Ｘ₂₂，Ｘ₂₃，Ｘ₂₄はそ
れぞれｈ，ｇ，ｆ，ｅとなる。換字置換部の表をこのよ
うにして参照するためその表の参照が終った状態ではＸ
₁，Ｘ₂はｃｄａｂ，ｇｈａｆと上位２バイトと下位２
バイトとが入れ替った状態となっているが、そのまま次
段へＸ₃，Ｘ₄として出力される。図１中では各データ
Ｘ₁，Ｘ₂，Ｘ₃，Ｘ₄中の各バイトの上位、下位の入
れ替え状態を解り易くするため、段の移行に伴うＸ₁，
Ｘ₂とＸ₃，Ｘ₄の入れ替えを行うことなく、その上
位、下位の入れ替えをａｂｃｄ，ｅｆｇｈ，ｉｊｋｌ，
ｍｎｏｐで示してある。

【００２６】換字置換部に用いる表は、図１中の第１段
目と第４段目とにおいては本来の上下関係が保持された
ものである。つまり例えば図３ＢのＳＰ_no1（ｘ）に示
すように、上位２バイトが０，ｓ₁（ｘ）、下位２バイ
トがｓ₁（ｘ），ｓ₁（ｘ）とすると、その上下関係を
保って出力される。しかし、図１中の第２段目と第３段
目に用いられる表は上位２バイトと下位２バイトが入れ
替えられて出力される。つまり、図３ＢのＳＰ
_no1（ｘ）に対し、図３ＣのＳＰ_in1（ｘ）に示すよう
に本来の下位２バイトｓ₁（ｘ），ｓ₁（ｘ）が上位２
バイトとして出力され、本来の上位２バイト０，ｓ
₁（ｘ）が下位２バイトとして出力される。このように
正常な表に対し、上位２バイトと下位２バイトとが入れ
替えられた出力を出すように作られている。図１中で正
常な上下関係に出力される通常表をＳＰ_noとして示し、
上位２バイトと下位２バイトを入れ替えて出力する入替
表をＳＰ_inとして示す。

【００２７】このデータ変換装置はコンピュータにより
動作させることもできる。その場合は例えば図４に示す
ように入出力部１１、通常表ＳＰ_noの各ＳＰ₁，Ｓ
Ｐ₂，…の各ｘについて計算されたものが記憶された通
常表記憶部１２、この通常表記憶部１２の各ＳＰ_noの上
位バイトと下位バイトが入れ替えられたものＳＰ_inが記
憶された入替表記憶部１３、このデータ変換処理をコン
ピュータに行わせるためのプログラムが格納されたプロ
グラムメモリ１４、プロセッサ１５がバス１６に接続さ
れている。

【００２８】データＸ₁，Ｘ₂，Ｘ₃，Ｘ₄が入力され
ると、Ｘ₁，Ｘ₂とＸ₃，Ｘ₄に分けられ、まず図１中
の第１段目の処理が行われる。以下の処理手順は図９に
示した場合と同様であるが、各換字置換部における表を
参照するために図２に示した処理を行っており、表を参
照するデータＸ₁，Ｘ₂の各上位２バイトと下位２バイ
トが入れ替えられた状態で次段へＸ₃，Ｘ₄として出力
される。しかしこの発明では正しい処理が行われること
を、そのバイトの入れ替えに影響されない点を重点的に
以下に説明する。第１段目：Ｘ₁（ａｂｃｄ），Ｘ₂（ｅｆｇｈ）を入力
として段関数を計算する際に通常の表ＳＰ_noを引く。こ
の表引きの処理の結果、Ｘ₁，Ｘ₂の上位下位は入れ替
わり、ｃｄａｂ，ｇｈｅｆとなり、Ｘ₃，Ｘ₄として第
２段目へ出力される。第２段目：Ｘ₁（ｉｊｋｌ），Ｘ₂（ｍｎｏｐ）を入力
して段関数を計算する際に上位下位が入れ替った表ＳＰ
_inを引く。従って段関数計算出力は上位下位が入れ替っ
ており、上位下位が入れ替っているＸ₃（ｃｄａｂ），
Ｘ₄（ｇｈｅｆ）との和演算は対応するバイトごとに行
われる。この上位下位が入れ替った和演算結果がＸ
₁（ｃｄａｂ），Ｘ₂（ｇｈｅｆ）として第３段目へ出
力され、また表引き処理に伴って上位下位が入れ替った
Ｘ₁（ｋｌｉｊ），Ｘ₂（ｏｐｍｎ）がＸ₃，Ｘ₄とし
て第３段目へ出力される。第３段目：Ｘ₁（ｃｄａｂ），Ｘ₂（ｇｈｅｆ）を入力
として段関数計算に入替表ＳＰ_inを引き、その際に入力
の上位下位が入れ替っているのでそれに応じて表を引く
順序を修正する。

【００２９】この点について少し説明する。いま簡単
にするため、換字置換関数が図３Ａで示される時、ｘの
２⁸個の値について図３Ｂに示す４つの通常表ＳＰ_no1
（ｘ），ＳＰ_no2（ｘ），ＳＰ_no3（ｘ），ＳＰ
_no4（ｘ）を用意し、また図３Ｃに示すように４つの入
替表ＳＰ_in1（ｘ），ＳＰ_in2（ｘ），ＳＰ
_in3（ｘ），ＳＰ_in4（ｘ）を用意しておく。Ｘ₁＝
（ａ，ｂ，ｃ，ｄ）で通常表を引く場合は、ｄを鍵とし
てＳＰ _no _４（ｘ）を引きＳＰ_no4（ｄ）を得、次にｃ
を鍵としてＳＰ_no3（ｘ）を引きＳＰ_no3（ｃ）を得、
次にａ，ｂを下位に移動してｂを鍵としてＳＰ
_no2（ｘ）を引きＳＰ_no2（ｂ）を得、次にａを鍵とし
てＳＰ_no1（ｘ）を引きＳＰ_no1（ａ）を得、これらの
和を求める。つまり図５Ａに示す式の和演算を行う。こ
の場合は通常表をＳＰ_no4（ｘ），ＳＰ_no3（ｘ），Ｓ
Ｐ_no2（ｘ），ＳＰ_no1（ｘ）の順に引くことになる。

【００３０】一方、Ｘ₁＝（ａ，ｂ，ｃ，ｄ）の上位下
位が入れ替えられたＸ₁′＝（ｃ，ｄ，ａ，ｂ）で通常
表を引く場合は、図５Ｂに示すようにｂによりＳＰ_no2
（ｘ）を引き、次にａによりＳＰ_no1（ｘ）を引き、そ
の後、Ｘ₁′の上位下位を入れ替えてｄでＳＰ
_no4（ｘ）を引き、次にｃでＳＰ_no3（ｘ）を引くこと
になる。つまりこの場合の通常表を引く順にＳＰ
_no2（ｘ），ＳＰ_no1（ｘ），ＳＰ_no ₄（ｘ），ＳＰ
_no3（ｘ）となり、Ｘ₁＝（ａ，ｂ，ｃ，ｄ）の場合と
表を引く順が異なる。

【００３１】同様にＸ₁＝（ａ，ｂ，ｃ，ｄ）により入
替表を引いて加算する場合を表を引く順に図５Ｃに示
し、Ｘ₁′＝（ｃ，ｄ，ａ，ｂ）により入替表を引いた
順に並べてその和を図５Ｄに示す。第３段目のＸ₁（ｃ
ｄａｂ）による入替表ＳＰ_inを引く順は図５Ｄに示した
順となる。同様にＸ₂（ｇｈｅｆ）による入替表ＳＰ_in
を引く順も図５Ｄに示した順と同様にする。段関数の演
算結果は上位下位が入れ替っているため、Ｘ₃（ｋｌｉ
ｊ），Ｘ₄（ｏｐｍｎ）と対応したバイトごとの和演算
を行うことができる。

【００３２】表を引く際にＸ₁，Ｘ₂の上位下位が入れ
替えられ、Ｘ₃（ａｂｃｄ），Ｘ₄（ｅｆｇｈ）として
第４段目へ出力される。第４段目：Ｘ₁（ｋｌｉｊ），Ｘ₂（ｏｐｍｎ）により
段関数を計算する際に通常の表ＳＰ_noを引く。この表を
引く際に、その入力の上位下位が入れ替っているのでそ
れに応じて表を引く順序を修正する。この段関数演算結
果は上位下位が入れ替っていなく、かつこれと和演算を
行うＸ₃（ａｂｃｄ），Ｘ₄（ｅｆｇｈ）も上位下位が
入れ替っていないため、正しい和演算が行える。

【００３３】表を引く際の処理において、入力Ｘ₁（ｋ
ｌｉｊ），Ｘ₂（ｏｐｍｎ）の上位下位が入れ替えら
れ、Ｘ₃（ｉｊｋｌ），Ｘ₄（ｍｎｏｐ）として出力さ
れ、和演算出力も上位下位の配列が正常になる。このよ
うに第４段目で出力されるＸ₁，Ｘ₂とＸ₃，Ｘ₄は共
に上位と下位は正常なものとなる。一般にはこのＦｅｉ
ｓｔｅｌ構造の段数は４以上であり、図６に示すよう
に、参照する（引く）表と、表を引く順の変更について
みれば第５段目以後は第１段目〜第４段目が繰返され
る。

【００３４】最終段の出力Ｘ₁，Ｘ₂，Ｘ₃，Ｘ₄につ
いては、それが第１段目〜第４段目の繰返しの何れの段
に相当するかにより上位と下位が正しい配列になってい
ない場合はその入れ替え補正処理を行う。つまり最終段
の計算の結果、Ｘ₁，Ｘ₂，Ｘ₃，Ｘ₄に対し、全段数
の値ｒによりデータ構造を以下の様に補正する。ｒmod
４＝０のとき、図１中の第４段目に相当する出力である
からなにもしない。

【００３５】ｒmod４＝１のときは図１中の第１段目に
相当する出力であるからＸ₃，Ｘ₄の上位２バイトと下
位２バイトの入れ替えを行う。ｒmod４＝２のときは図
１中の第２段目に相当する出力であるからＸ₁，Ｘ₂，
Ｘ₃，Ｘ₄の全ての上位下位を入れ替える。ｒmod４＝
３のときは図１中の第３段目に相当する出力であるから
Ｘ₁，Ｘ₂の上位下位を入れ替える。

【００３６】以上述べたようにこの実施例によれば表引
きのためにローテーションしたデータをそのまま利用し
ているため、つまり、バイトの配列順を元に戻す処理を
行わないで済む。表引きの際の鍵生成のためのローテー
ションのコストが削減できる。なお図３Ａに示す表引き
は、Ｘ₁とＸ₂で同一でもよいし、異なってもよいこと
に注意されたい。次に第２観点の発明の実施例を述べ
る。この実施例はＣａｍｅｌｌｉａ暗号に適用した場合
であり、式（２）に対し、従来において準備すべき表は
図１２に示したものであった。この表をよく調べると、
ＳＰ₁（ｘ），ＳＰ₂（ｘ），ＳＰ ₃（ｘ），ＳＰ
₄（ｘ）はそれぞれ上位４バイトと下位４バイトが同一
であり、かつＳＰ₁（ｘ），ＳＰ₂（ｘ），ＳＰ
₃（ｘ），ＳＰ₄（ｘ）の各下位４バイトはＳＰ
₅（ｘ），ＳＰ₆（ｘ），ＳＰ₇（ｘ），ＳＰ₈（ｘ）
の各下位バイトとそれぞれ同一である。従って、この実
施例では、ＳＰ₁（ｘ），ＳＰ₂（ｘ），ＳＰ
₃（ｘ），ＳＰ₄（ｘ）については表を用意することな
くこれらを求める場合は、ＳＰ₅（ｘ），ＳＰ
₆（ｘ），ＳＰ₇（ｘ），ＳＰ₈（ｘ）の表を引き、そ
の引いた出力に対し、その下位４バイトを上位バイトに
コピーして求める。このようなコピーは、Ｉｎｔｅｌの
３２ビットＣＰＵであるＰｅｎｔｉｕｍなどには下位４
バイトを上位４バイトにコピーする命令があり、この命
令を用いればよい。

【００３７】つまり図７に示すように、入出力部２１、
記憶部２２、それぞれｘの２⁸個の値に対する表ＳＰ₅
（ｘ），ＳＰ₆（ｘ），ＳＰ₇（ｘ），ＳＰ₈（ｘ）が
格納された表メモリ２３、このデータ変換処理をコンピ
ュータに行わせるためのプログラムが格納されたプログ
ラムメモリ２４、プロセッサ２５がバス２６に接続され
ている。図８に示すように、各１バイトのデータｘ₁〜
ｘ₈が入力されると、これを記憶部２２に格納し（Ｓ
１）、式（２）から理解されるように、記憶部２２から
これらデータを取り出し、ｘ₈とｘ₁により表ＳＰ
₅（ｘ）を、ｘ₅とｘ₂により表ＳＰ₆（ｘ）を、ｘ₆
とｘ₃により表ＳＰ₇（ｘ）を、ｘ₇とｘ₄により表Ｓ
Ｐ₈（ｘ）をそれぞれ参照してＳＰ₅（ｘ₈），ＳＰ₅
（ｘ₁），ＳＰ₆（ｘ₅），ＳＰ₆（ｘ₂），ＳＰ
₇（ｘ₆），ＳＰ₇（ｘ₃），ＳＰ₈（ｘ₇），ＳＰ ₈
（ｘ₄）をそれぞれ求めて記憶部２２に記憶し（Ｓ
２）、その後、ＳＰ₅（ｘ₈），ＳＰ₆（ｘ₅），ＳＰ
₇（ｘ₆），ＳＰ₈（ｘ₇）を順次取出し、それぞれそ
の下位４バイトを上位４バイトにコピーしてＳＰ₁（ｘ
₈），ＳＰ₂（ｘ₅），ＳＰ₃（ｘ₆），ＳＰ
₄（ｘ₇）を求め、これらを記憶部２２に記憶し（Ｓ
３）、記憶部２２から取り出して、ＳＰ₁（ｘ₈）とＳ
Ｐ₂（ｘ₅）とＳＰ₃（ｘ₆）とＳＰ₄（ｘ₇）とＳＰ
₅（ｘ₁）とＳＰ₆（ｘ₂）とＳＰ₇（ｘ₃）とＳＰ ₈
（ｘ₄）との和を求め（Ｓ４）、その和演算結果を出力
する（Ｓ５）。

【００３８】なおステップＳ４の和演算は加算又は排他
的論理和演算である。また下位４バイトを上位４バイト
にコピーする命令をpunpckldqと書くと、

【００３９】

【数１４】

【００４０】により換字置換を行うことができる。つま
り図８中に破線で示すように、ステップＳ２で表の読み
出しを行って記憶部２２に記憶した後、ＳＰ₅（ｘ₈）と
ＳＰ₈（ｘ₇）とＳＰ₇（ｘ₆）とＳＰ₆（ｘ₅）との和演算
を行い（Ｓ6）、その和演算の結果の下位４バイトを上
位４バイトにコピーし（Ｓ７）、そのコピー結果と、Ｓ
Ｐ₈（ｘ₄）と、ＳＰ₇（ｘ₃）とＳＰ₆（ｘ₂）とＳＰ
₅（ｘ₁）との和演算を行い（Ｓ８）、その結果を出力す
る（Ｓ５）。このようにすることにより、punpckldqを
一段毎に１回用いるだけで表のためのメモリを、従来の
半分、つまり８キロバイトで済む。この程度の表記憶容
量であれば、多くのＣＰＵの一次キャッシュサイズに納
まる。

【００４１】なお、この発明はＣａｍｅｌｌｉａｎ暗号
の換字置換のみならず、一般に置換行列Ｐの何れかの列
において、上位４ビットと下位４ビットが同一であり、
かつその４ビットと同一の上位又は下位４ビットの他の
列がある場合は、その上位下位４ビットが等しいものと
対応する表を省略し、その４ビットと等しい上位又は下
位４ビットをもつ列に対応する表を参照し、その参照結
果に対しその上位又は下位４バイトを下位又は上位４バ
イトにコピーして使用するようにすることにより、それ
だけ、表のためのメモリ容量を小さくすることができ
る。

【００４２】

【発明の効果】以上述べたように、データ変換を計算す
る場合にこの発明の第１観点によれば表を参照するため
の鍵生成コストを削減でき高速処理が可能となり、この
発明の第２観点によれば、表のメモリ量を小さくするこ
とができ、第１観点と第２観点を組合せることにより、
表のために少ないメモリ容量でかつ表参照のための鍵生
成コストを削減し、高速処理が可能となる。

【図面の簡単な説明】

【図１】この発明の実施例を示す図。

【図２】表を引くための鍵生成手順の例を示す流れ図。

【図３】換字置換関数と、その演算のための通常表と、
上位２バイトと下位２バイトを入れ替えをデータを出力
する入替表との各例を示す図。

【図４】図１をコンピュータにより処理させる場合の構
成例を示す図。

【図５】上位と下位の入れ替えがないデータによる表参
照の順と、上位と下位の入れ替えがあるデータによる表
参照の順との例を示す図。

【図６】繰返し換字置換処理における各段の表の種類
と、表引き順の変更の有無と、最終段以後での補正処理
を示す流れ図。

【図７】この発明の他の実施例の機能構成を示す図。

【図８】図７に示した実施例の動作手順の例を示す流れ
図。

【図９】一般的なＦｅｉｓｔｅｌ構造を示す図。

【図１０】段関数の処理例を示す図。

【図１１】換字置換の処理例を示す図。

【図１２】換字置換を用いる表の例を示す図。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献神田雅透，盛合志帆，青木和麻呂，植田広樹，大久保美也子，高嶋洋一，太田和夫，松本勉，“128ビットブロック暗号Ｅ２の提案”，電子情報通信学会技術研究報告（ＩＳＥＣ98−10〜19），日本，社団法人電子情報通信学会，1998年７月30日，Ｖｏｌ．98，Ｎｏ．227, ｐ．13−24 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 610 G09C 1/00 650

Claims

(57)【特許請求の範囲】

【請求項１】１命令でＸ _d ←Ｘ _s mod ２ ⁸ ，Ｘ _d ←
（Ｘ _s ／２ ⁸ ） mod ２ ⁸ を演算することができるプロセ
ッサを備え、それぞれが４バイトのデータＸ₁，Ｘ₂，
Ｘ₃，Ｘ₄が入力され、入力されたＸ₁，Ｘ₂について
段関数演算【数１５】を（ｘ₁，ｘ₂，ｘ₃，ｘ₄はデータＸ₁，Ｘ₂中の各
上位から１バイトごとのデータをそれぞれ表わす）、各ｘについてあらかじめ計算して表として記憶された【数１６】を参照して求め、その演算結果を入力されたＸ₃，Ｘ₄
とのバイトごとの線形演算を行ない、その演算結果を次
段へＸ₁，Ｘ₂として出力し、かつ上記入力された
Ｘ₁，Ｘ₂を次段へＸ₃，Ｘ₄として出力することを複
数段繰返すデータ変換装置であって、上記各ｘについて計算された各ＳＰ _j （ｘ）が通常表Ｓ
Ｐ _noj （ｘ）として記憶され、上記各ＳＰ _noj （ｘ）の上
位２バイトＰ _1j ｓ _j （ｘ），Ｐ _2j ｓ _j （ｘ）が下位２バイ
トと、下位２バイトＰ _3j ｓ _j （ｘ），Ｐ _4j ｓ _j （ｘ）が上
位２バイトとそれぞれされたものが入替表ＳＰ _inj （ｘ
）として記憶されている記憶部と、上記各段に入力されたＸ₁，Ｘ₂の各下位２バイトによ
る表の参照と、Ｘ ₁，Ｘ₂をそれぞれ上位２バイトと下
位２バイトとを入れ替えて、その各新たな下位バイトに
よる表の参照を行い、その入れ替えられたＸ₁，Ｘ₂を
次段へＸ₃，Ｘ₄として出力する手段と、第ｎ段の上記段関数演算を、ｎmod４＝１及びｎmod４＝
０では上記通常表ＳＰ _noj （ｘ）を参照し、ｎmod４＝２
及びｎmod４＝３では上記入替表ＳＰ _inj （ｘ）を参照し
て求める手段と、最終段において、全段数をｒとすると、ｒmod４＝０で
なにもせず、ｒmod４＝１でＸ₃，Ｘ₄の各上位２バイ
トと下位２バイトを入れ替え、ｒmod４＝２でＸ₁ ^，Ｘ ₂
^，Ｘ ₃ ^，Ｘ ₄の各上位２バイトと下位２バイトをそれぞ
れ入れ替え、ｒmod４＝３でＸ₁，Ｘ₂の上位２バイト
と下位２バイトを入れ替える手段と、を備えることを特徴とするデータ変換装置。
【請求項２】入力データｘ₁，ｘ₂，…，ｘ₈に対
し、【数１】を演算する装置であって、【数２】ｘのとり得る値の全てについて上記ＳＰ₅（ｘ），ＳＰ
₆（ｘ），ＳＰ₇（ｘ），ＳＰ₈（ｘ）をそれぞれ演算
した結果がそれぞれ表として格納され、ｘにより参照さ
れて対応する演算結果を出力する４つの表メモリと、ｘ₈とｘ₁により上記ＳＰ₅（ｘ）の表メモリを参照
してＳＰ₅（ｘ₈）とＳＰ₅（ｘ₁）を出力し、ｘ₅とｘ
₂により上記ＳＰ₆（ｘ）の表メモリを参照してＳＰ₆
（ｘ₅）とＳＰ₆（ｘ₂）を出力し、上記ｘ₆とｘ₃に
より上記ＳＰ₇（ｘ）の表メモリを参照してＳＰ₇（ｘ
₆）とＳＰ₇（ｘ₃）を出力し、上記ｘ₇とｘ₄により上
記ＳＰ₈（ｘ）の表メモリを参照してＳＰ₈（ｘ₇）と
ＳＰ₈（ｘ₄）を出力する表参照手段と、上記ＳＰ₅（ｘ₈），ＳＰ₆（ｘ₅），ＳＰ₇（ｘ₆），
ＳＰ₈（ｘ₇）のそれぞれについて下位４バイトを上位
４バイトにコピーしてそれぞれＳＰ₁（ｘ₈），ＳＰ₂
（ｘ₅），ＳＰ₃（ｘ₆），ＳＰ₄（ｘ₇）を求めるコピ
ー手段と、上記ＳＰ₁（ｘ₈）とＳＰ₂（ｘ₅）とＳＰ₃（ｘ₆）と
ＳＰ₄（ｘ₇）と上記ＳＰ₅（ｘ₁）とＳＰ₆（ｘ₂）と
ＳＰ₇（ｘ₃）とＳＰ₈（ｘ₄）とを和演算して、出力す
る和演算手段とを具備するデータ変換装置。
【請求項３】入力データｘ₁，ｘ₂，…，ｘ₈に対
し、【数３】を演算する装置であって、【数４】ｘのとり得る値の全てについて上記ＳＰ₅（ｘ），ＳＰ
₆（ｘ），ＳＰ₇（ｘ），ＳＰ₈（ｘ）をそれぞれ演算
した結果がそれぞれ表として格納され、ｘにより参照さ
れて対応する演算結果を出力する４つの表メモリと、ｘ₈とｘ₁により上記ＳＰ₅（ｘ）の表メモリを参照
してＳＰ₅（ｘ₈）とＳＰ₅（ｘ₁）を出力し、ｘ₅とｘ
₂により上記ＳＰ₆（ｘ）の表メモリを参照してＳＰ₆
（ｘ₅）とＳＰ₆（ｘ₂）を出力し、上記ｘ₆とｘ₃に
より上記ＳＰ₇（ｘ）の表メモリを参照してＳＰ₇（ｘ
₆）とＳＰ₇（ｘ₃）を出力し、上記ｘ₇とｘ₄により上
記ＳＰ₈（ｘ）の表メモリを参照してＳＰ₈（ｘ₇）と
ＳＰ₈（ｘ₄）を出力する表参照手段と、上記ＳＰ₅（ｘ₈）とＳＰ₆（ｘ₅）とＳＰ₇（ｘ₆）と
ＳＰ₈（ｘ₇）との和演算を行う第１和演算手段と、その第１和演算手段の演算結果について下位４バイトを
上位４バイトにコピーするコピー手段と、上記コピー手段のコピー結果と上記ＳＰ₅（ｘ₁）とＳ
Ｐ₆（ｘ₂）とＳＰ₇（ｘ₃）とＳＰ₈（ｘ₄）とを和演
算して、出力する第２和演算手段とを具備するデータ変
換装置。
【請求項４】請求項１〜３の何れかに記載のデータ変
換装置としてコンピュータを実行させるためのプログラ
ムを記録したコンピュータ読取り可能な記録媒体。