JP3503638B1 - 暗号装置及び暗号プログラム - Google Patents
暗号装置及び暗号プログラムInfo
- Publication number
- JP3503638B1 JP3503638B1 JP2002280469A JP2002280469A JP3503638B1 JP 3503638 B1 JP3503638 B1 JP 3503638B1 JP 2002280469 A JP2002280469 A JP 2002280469A JP 2002280469 A JP2002280469 A JP 2002280469A JP 3503638 B1 JP3503638 B1 JP 3503638B1
- Authority
- JP
- Japan
- Prior art keywords
- cache
- encryption
- processing
- conversion table
- plaintext
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/70—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer
- G06F21/71—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information
- G06F21/72—Protecting specific internal or peripheral components, in which the protection of a component leads to protection of the entire computer to assure secure computing or processing of information in cryptographic circuits
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/02—Addressing or allocation; Relocation
- G06F12/08—Addressing or allocation; Relocation in hierarchically structured memory systems, e.g. virtual memory systems
- G06F12/0802—Addressing of a memory level in which the access to the desired data or data block requires associative addressing means, e.g. caches
- G06F12/0862—Addressing of a memory level in which the access to the desired data or data block requires associative addressing means, e.g. caches with prefetch
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/602—Providing cryptographic facilities or services
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/002—Countermeasures against attacks on cryptographic mechanisms
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
- H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
- H04L9/0625—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation with splitting of the data block into left and right halves, e.g. Feistel based algorithms, DES, FEAL, IDEA or KASUMI
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/08—Randomization, e.g. dummy operations or using noise
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Physics & Mathematics (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- General Physics & Mathematics (AREA)
- Software Systems (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Mathematical Physics (AREA)
- Health & Medical Sciences (AREA)
- Bioethics (AREA)
- General Health & Medical Sciences (AREA)
- Storage Device Security (AREA)
- Memory System Of A Hierarchy Structure (AREA)
Abstract
【要約】
【課題】 キャッシュ攻撃型暗号解読法という新たな暗
号解読法に対する防御機能を備えた暗号装置を提供す
る。 【解決手段】 ビット列変換に使用する換字テーブル３
０５を用いて暗号処理を行う暗号プログラム３Ａがキャ
ッシュ４を有するコンピュータに実装された暗号装置に
おいて、暗号処理に先立って換字テーブル３０５をキャ
ッシュ４にプリロードする手段３１１を備える。１つの
平文の暗号処理における換字テーブル３０５に対するア
クセス時のキャッシュミスヒット回数が、任意の平文に
ついてほぼ均一化されるため、換字テーブルの動作エン
トリ数が少ない平文も多い平文も、その暗号時間がほぼ
同じになり、キャッシュ型攻撃暗号解読法の要である鍵
差分を抽出する際に用いる平文の抽出が困難となる。
号解読法に対する防御機能を備えた暗号装置を提供す
る。 【解決手段】 ビット列変換に使用する換字テーブル３
０５を用いて暗号処理を行う暗号プログラム３Ａがキャ
ッシュ４を有するコンピュータに実装された暗号装置に
おいて、暗号処理に先立って換字テーブル３０５をキャ
ッシュ４にプリロードする手段３１１を備える。１つの
平文の暗号処理における換字テーブル３０５に対するア
クセス時のキャッシュミスヒット回数が、任意の平文に
ついてほぼ均一化されるため、換字テーブルの動作エン
トリ数が少ない平文も多い平文も、その暗号時間がほぼ
同じになり、キャッシュ型攻撃暗号解読法の要である鍵
差分を抽出する際に用いる平文の抽出が困難となる。
Description
【０００１】
【発明の属する技術分野】本発明はデータの通信や蓄積
の際にデータを秘匿するための暗号装置に関し、特に換
字テーブルなどの変換表を用いてデータを暗号化する暗
号装置の改良に関する。
の際にデータを秘匿するための暗号装置に関し、特に換
字テーブルなどの変換表を用いてデータを暗号化する暗
号装置の改良に関する。
【０００２】
【従来の技術】一般に暗号方式は、共通鍵暗号と公開鍵
暗号に大別される。共通鍵暗号では、暗号化アルゴリズ
ムは公開するが、暗号化の鍵と復号化の鍵が同一であ
り、鍵の値を秘密にする。他方、公開鍵暗号は、暗号化
の鍵と復号化の鍵が異なっており、暗号化アルゴリズム
に加えて暗号化の鍵を公開し、復号化の鍵を秘密にす
る。公開鍵暗号は、鍵の配送の手間がかからず鍵管理が
容易である等の利点を有するが、共通鍵暗号に比べて処
理量が多くなり処理速度が遅くなるといった問題がある
ため、大量データの暗号化には共通鍵暗号が専ら使用さ
れている。
暗号に大別される。共通鍵暗号では、暗号化アルゴリズ
ムは公開するが、暗号化の鍵と復号化の鍵が同一であ
り、鍵の値を秘密にする。他方、公開鍵暗号は、暗号化
の鍵と復号化の鍵が異なっており、暗号化アルゴリズム
に加えて暗号化の鍵を公開し、復号化の鍵を秘密にす
る。公開鍵暗号は、鍵の配送の手間がかからず鍵管理が
容易である等の利点を有するが、共通鍵暗号に比べて処
理量が多くなり処理速度が遅くなるといった問題がある
ため、大量データの暗号化には共通鍵暗号が専ら使用さ
れている。
【０００３】共通鍵暗号は、更に、ブロック暗号とスト
リーム暗号とに分けられる。ストリーム暗号は、乱数生
成器が出力する乱数列を１ビットずつデータに作用させ
るビット単位の処理によって暗号化する。他方、ブロッ
ク暗号は、数十ビット以上の比較的長いデータブロック
毎に暗号化および復号化を行う。ブロック暗号の代表的
なものに、ＤＥＳ暗号、ＦＥＡＬ暗号などがある。
リーム暗号とに分けられる。ストリーム暗号は、乱数生
成器が出力する乱数列を１ビットずつデータに作用させ
るビット単位の処理によって暗号化する。他方、ブロッ
ク暗号は、数十ビット以上の比較的長いデータブロック
毎に暗号化および復号化を行う。ブロック暗号の代表的
なものに、ＤＥＳ暗号、ＦＥＡＬ暗号などがある。
【０００４】ＤＥＳ暗号やＦＥＡＬ暗号などの暗号処理
部は、データランダム化部と鍵生成部とで構成される。
鍵生成部は、鍵を拡大し、データランダム化部に出力す
る。データランダム化部は、平文（または暗号文）と鍵
を混ぜ合わせ、暗号文（または平文）を出力する。デー
タランダム化部は、通常、入力部、データ変換部および
出力部で構成される。入力部は、初期置換（ＩＰ：Ｉｎ
ｉｔｉａｌ Ｐｅｒｍｕｔａｔｉｏｎ）など簡単な処理
を行い、出力部は逆初期置換（ＩＰ-1）などの処理を行
う。データ変換部は、入力部の出力と鍵生成部で生成さ
れた鍵とを用いて、基本的な単位操作を複数回繰り返
し、結果を出力部へ出力する。単位操作では、排他的論
理和、換字（ｓｕｂｓｔｉｔｕｔｉｏｎ）、置換（ｃｏ
ｏｒｄｉｎａｔｅ ｐｅｒｍｕｔａｔｉｏｎ）などの操
作が組み合わされる。
部は、データランダム化部と鍵生成部とで構成される。
鍵生成部は、鍵を拡大し、データランダム化部に出力す
る。データランダム化部は、平文（または暗号文）と鍵
を混ぜ合わせ、暗号文（または平文）を出力する。デー
タランダム化部は、通常、入力部、データ変換部および
出力部で構成される。入力部は、初期置換（ＩＰ：Ｉｎ
ｉｔｉａｌ Ｐｅｒｍｕｔａｔｉｏｎ）など簡単な処理
を行い、出力部は逆初期置換（ＩＰ-1）などの処理を行
う。データ変換部は、入力部の出力と鍵生成部で生成さ
れた鍵とを用いて、基本的な単位操作を複数回繰り返
し、結果を出力部へ出力する。単位操作では、排他的論
理和、換字（ｓｕｂｓｔｉｔｕｔｉｏｎ）、置換（ｃｏ
ｏｒｄｉｎａｔｅ ｐｅｒｍｕｔａｔｉｏｎ）などの操
作が組み合わされる。
【０００５】換字の処理を行う部分は、Ｓボックスとも
呼ばれる。Ｓボックスでは、一般に換字テーブルと呼ば
れる変換表が使われ、Ｓボックスの入力ビット列で表さ
れる番地に格納されているビット列を換字テーブルから
読み出し、Ｓボックスの出力として出力する。一般にＳ
ボックスは、使用する換字テーブルの種類に応じて複数
種類存在し、入力ビット数に応じてＳ７ボックス、Ｓ９
ボックスなどとして区別される。各Ｓｉボックスは、一
般に１ブロックの暗号化（または復号）の過程で複数回
実行される。
呼ばれる。Ｓボックスでは、一般に換字テーブルと呼ば
れる変換表が使われ、Ｓボックスの入力ビット列で表さ
れる番地に格納されているビット列を換字テーブルから
読み出し、Ｓボックスの出力として出力する。一般にＳ
ボックスは、使用する換字テーブルの種類に応じて複数
種類存在し、入力ビット数に応じてＳ７ボックス、Ｓ９
ボックスなどとして区別される。各Ｓｉボックスは、一
般に１ブロックの暗号化（または復号）の過程で複数回
実行される。
【０００６】図９に換字テーブルの簡単な例を示す。こ
の例の換字テーブルは１６個のエントリを有し、各エン
トリに１６進数で０からＦの番地が振られており、各エ
ントリに０からＦの値が格納されている。左上のエント
リを０番地とし、右方向に１、２、３番地を割振り、２
段目は左から右に４、５、６、７番地を、３段目は同じ
く左から右に８、９、Ａ、Ｂ番地を、４段目は同じく左
から右にＣ、Ｄ、Ｅ、Ｆ番地を割振るものとすると、例
えば、入力ビットが００００（１６進数で０）の場合、
０番地のエントリに格納されている１６進数で８の値が
読み出され、２進数で表現した１０００が出力される。
このような換字テーブルを使用すると、換字テーブルを
交換するだけで異なる暗号変換を実施でき、秘匿通信の
柔軟性が向上する等の利点がある。
の例の換字テーブルは１６個のエントリを有し、各エン
トリに１６進数で０からＦの番地が振られており、各エ
ントリに０からＦの値が格納されている。左上のエント
リを０番地とし、右方向に１、２、３番地を割振り、２
段目は左から右に４、５、６、７番地を、３段目は同じ
く左から右に８、９、Ａ、Ｂ番地を、４段目は同じく左
から右にＣ、Ｄ、Ｅ、Ｆ番地を割振るものとすると、例
えば、入力ビットが００００（１６進数で０）の場合、
０番地のエントリに格納されている１６進数で８の値が
読み出され、２進数で表現した１０００が出力される。
このような換字テーブルを使用すると、換字テーブルを
交換するだけで異なる暗号変換を実施でき、秘匿通信の
柔軟性が向上する等の利点がある。
【０００７】図１０は従来の暗号装置のブロック図であ
る。図１０において、１はＣＰＵ（演算装置）、２はメ
モリ（主記憶）、３は暗号プログラム、４はキャッシュ
であり、ＣＰＵ１とキャッシュ４との間はデータ線、ア
ドレス線および制御線を含むプロセッサバス５によって
接続され、キャッシュ４とメモリ２との間は、同じくデ
ータ線、アドレス線および制御線を含むメモリバス６に
よって接続されている。周知のようにキャッシュ４は、
メモリ２よりも高速アクセス可能な小容量のメモリであ
り、メモリ２の内容の一部の写しを保持する。ＣＰＵ１
がプロセッサバス５を通じて要求する命令やデータがキ
ャッシュ４に存在すれば（これをキャッシュヒットと呼
ぶ）、キャッシュ４はキャッシュヒットした命令やデー
タを直ちにＣＰＵ１に返却する。他方、ＣＰＵ１が要求
する命令やデータがキャッシュ４に存在しなければ（こ
れをキャッシュミスヒットと呼ぶ）、キャッシュ４はミ
スヒットした命令やデータを含む所定サイズのデータを
メモリバス６を通じてメモリ２から読み出して自身に格
納すると共にＣＰＵ１に該当する命令やデータを返却す
る。ここで、所定サイズのデータとは、例えば３２バイ
ト、１２８バイトといったサイズである。このようなサ
イズでキャッシュ４に読み込んでおくことにより、命令
が実行される場合には実行アドレスが近い命令が続けて
実行されることが多いという原理（命令の局所性の原
理）により、キャッシュヒット率を高めることができ、
高速化が可能となる。
る。図１０において、１はＣＰＵ（演算装置）、２はメ
モリ（主記憶）、３は暗号プログラム、４はキャッシュ
であり、ＣＰＵ１とキャッシュ４との間はデータ線、ア
ドレス線および制御線を含むプロセッサバス５によって
接続され、キャッシュ４とメモリ２との間は、同じくデ
ータ線、アドレス線および制御線を含むメモリバス６に
よって接続されている。周知のようにキャッシュ４は、
メモリ２よりも高速アクセス可能な小容量のメモリであ
り、メモリ２の内容の一部の写しを保持する。ＣＰＵ１
がプロセッサバス５を通じて要求する命令やデータがキ
ャッシュ４に存在すれば（これをキャッシュヒットと呼
ぶ）、キャッシュ４はキャッシュヒットした命令やデー
タを直ちにＣＰＵ１に返却する。他方、ＣＰＵ１が要求
する命令やデータがキャッシュ４に存在しなければ（こ
れをキャッシュミスヒットと呼ぶ）、キャッシュ４はミ
スヒットした命令やデータを含む所定サイズのデータを
メモリバス６を通じてメモリ２から読み出して自身に格
納すると共にＣＰＵ１に該当する命令やデータを返却す
る。ここで、所定サイズのデータとは、例えば３２バイ
ト、１２８バイトといったサイズである。このようなサ
イズでキャッシュ４に読み込んでおくことにより、命令
が実行される場合には実行アドレスが近い命令が続けて
実行されることが多いという原理（命令の局所性の原
理）により、キャッシュヒット率を高めることができ、
高速化が可能となる。
【０００８】暗号プログラム３は、前述したＤＥＳ暗号
やＦＥＡＬ暗号などの共通鍵暗号を実現するプログラム
であり、通常は図示しない磁気ディスク等の補助記憶装
置に格納されており、使用時に図１０に示すようにメモ
リ２にロードされて実行される。図１０のメモリ２のブ
ロックの右に記載した構成図は、１つの平文を暗号化す
る際の暗号プログラム３の処理の内容を示している。
やＦＥＡＬ暗号などの共通鍵暗号を実現するプログラム
であり、通常は図示しない磁気ディスク等の補助記憶装
置に格納されており、使用時に図１０に示すようにメモ
リ２にロードされて実行される。図１０のメモリ２のブ
ロックの右に記載した構成図は、１つの平文を暗号化す
る際の暗号プログラム３の処理の内容を示している。
【０００９】暗号プログラム３は、他のプログラムから
の呼出しなどによって起動されると（ステップ３０
１）、先ず、入力部３０２によって、平文の入力、初期
置換などの処理を行い、その後、鍵生成部３０３による
鍵生成処理、データ変換部３０４によるデータ変換処理
が実行される。鍵生成部３０３では、暗号プログラム３
に設定されている鍵を拡大し、データ変換部３０４で使
う幾つかの鍵（拡大鍵）を生成する。拡大鍵は、共通鍵
が変更されなければ変化せず、平文や暗号文に依存しな
い。そのため、鍵生成部３０３をあらかじめ一度実行し
て拡大鍵を生成記憶し、暗号化／復号化では記憶した拡
大鍵を使い、鍵生成部３０３を動作させない場合もあ
る。データ変換部３０４は、入力部３０２から出力され
た初期置換後の平文と鍵生成部３０３で生成された鍵を
混ぜ合わせる基本操作を複数回繰り返し、結果のデータ
を出力する。このとき、換字を行う場合は、暗号プログ
ラム３に予め設定されている換字テーブル３０５をアク
セスして換字処理が実行される。データ変換部３０４で
複数回の基本操作が繰り返されて得られたデータは、出
力部３０６において逆初期置換などの処理が実行され、
最終的に得られた暗号文が呼出し元のプログラム等に返
却され、１つの平文の暗号化を終える（ステップ３０
７）。復号処理は、暗号化の逆となり、ほぼ同様の動作
となる。
の呼出しなどによって起動されると（ステップ３０
１）、先ず、入力部３０２によって、平文の入力、初期
置換などの処理を行い、その後、鍵生成部３０３による
鍵生成処理、データ変換部３０４によるデータ変換処理
が実行される。鍵生成部３０３では、暗号プログラム３
に設定されている鍵を拡大し、データ変換部３０４で使
う幾つかの鍵（拡大鍵）を生成する。拡大鍵は、共通鍵
が変更されなければ変化せず、平文や暗号文に依存しな
い。そのため、鍵生成部３０３をあらかじめ一度実行し
て拡大鍵を生成記憶し、暗号化／復号化では記憶した拡
大鍵を使い、鍵生成部３０３を動作させない場合もあ
る。データ変換部３０４は、入力部３０２から出力され
た初期置換後の平文と鍵生成部３０３で生成された鍵を
混ぜ合わせる基本操作を複数回繰り返し、結果のデータ
を出力する。このとき、換字を行う場合は、暗号プログ
ラム３に予め設定されている換字テーブル３０５をアク
セスして換字処理が実行される。データ変換部３０４で
複数回の基本操作が繰り返されて得られたデータは、出
力部３０６において逆初期置換などの処理が実行され、
最終的に得られた暗号文が呼出し元のプログラム等に返
却され、１つの平文の暗号化を終える（ステップ３０
７）。復号処理は、暗号化の逆となり、ほぼ同様の動作
となる。
【００１０】一方、暗号アルゴリズムで使われる鍵を解
読する方法が幾つか存在する。古典的な解読方法は、鍵
の全数探索法と呼ばれるもので、鍵の値として取りうる
全ての値を用いて既知の平文の暗号化を試み、既知の暗
号文と一致するかどうかを調べるものである。しかし、
この方法は鍵長が長くなると調べるべき鍵の候補数が膨
大となり、現実的でなくなる。このため、調べるべき鍵
の候補数を現実的な範囲に押え込む解読方法として、差
分解読法や線形解読法が提案されている。更に近年にお
いては、主に公開鍵暗号を対象としたタイミングアタッ
クと呼ばれる方法が提案され（後述する非特許文献１参
照）、更にタイミングアタックに対する防御技術が提案
されている（後述する特許文献１参照）。
読する方法が幾つか存在する。古典的な解読方法は、鍵
の全数探索法と呼ばれるもので、鍵の値として取りうる
全ての値を用いて既知の平文の暗号化を試み、既知の暗
号文と一致するかどうかを調べるものである。しかし、
この方法は鍵長が長くなると調べるべき鍵の候補数が膨
大となり、現実的でなくなる。このため、調べるべき鍵
の候補数を現実的な範囲に押え込む解読方法として、差
分解読法や線形解読法が提案されている。更に近年にお
いては、主に公開鍵暗号を対象としたタイミングアタッ
クと呼ばれる方法が提案され（後述する非特許文献１参
照）、更にタイミングアタックに対する防御技術が提案
されている（後述する特許文献１参照）。
【００１１】非特許文献１に記載されるタイミングアタ
ックは、公開鍵暗号の基本演算である冪乗剰余演算の演
算時間の差違に基づいて秘密鍵の候補を絞り込むもので
あり、このため特許文献１では、冪乗剰余演算毎に伝搬
遅延によるクリティカルパスの遅延時間を変化させるこ
とで、公開鍵暗号に対するタイミングアタックを防御し
ている。
ックは、公開鍵暗号の基本演算である冪乗剰余演算の演
算時間の差違に基づいて秘密鍵の候補を絞り込むもので
あり、このため特許文献１では、冪乗剰余演算毎に伝搬
遅延によるクリティカルパスの遅延時間を変化させるこ
とで、公開鍵暗号に対するタイミングアタックを防御し
ている。
【００１２】
【非特許文献１】Ｐａｕｌ Ｃ.Ｋｏｈｃｅｒ，”Ｔｉ
ｍｉｎｇ Ａｔｔａｃｋｓ ｏｎ Ｉｍｐｌｅｍｅｎｔ
ａｔｉｏｎｓ ｏｆ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ，
ＲＳＡ，ＤＳＳ，ａｎｄ Ｏｔｈｅｒ Ｓｙｓｔｅｍ
ｓ，ＡｄｖａｎｃｅｓｍＣｒｙｐｔｏｌｏｇｙ：Ｐｒｏ
ｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐｔｏ ９６，Ｐｌｅ
ｎｕｍ Ｐｒｅｓｓ，１９９５，ｐｐ１０４−１１３
ｍｉｎｇ Ａｔｔａｃｋｓ ｏｎ Ｉｍｐｌｅｍｅｎｔ
ａｔｉｏｎｓ ｏｆ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ，
ＲＳＡ，ＤＳＳ，ａｎｄ Ｏｔｈｅｒ Ｓｙｓｔｅｍ
ｓ，ＡｄｖａｎｃｅｓｍＣｒｙｐｔｏｌｏｇｙ：Ｐｒｏ
ｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐｔｏ ９６，Ｐｌｅ
ｎｕｍ Ｐｒｅｓｓ，１９９５，ｐｐ１０４−１１３
【特許文献１】特開平１０−２２２０６５号公報
【００１３】
【発明が解決しようとする課題】本発明者は、換字テー
ブルを用いて暗号化を行う図１０に示したような暗号装
置の安全性を研究する過程で、新たな暗号解読法を見出
した。以下、この新たな暗号解読法をキャッシュ攻撃型
暗号解読法と呼び、その解読方法について説明する。
ブルを用いて暗号化を行う図１０に示したような暗号装
置の安全性を研究する過程で、新たな暗号解読法を見出
した。以下、この新たな暗号解読法をキャッシュ攻撃型
暗号解読法と呼び、その解読方法について説明する。
【００１４】今、図１１に示すように、平文Ｐ０と鍵ｋ
０の排他的論理和で換字テーブルＳを引いた出力値と、
平文Ｐ１と鍵ｋ１の排他的論理和で同じ換字テーブルＳ
を引いた出力値とを暗号文とする暗号器を考えてみる。
そして、双方で換字テーブルＳのそれぞれ異なるエント
リを引いたものとする。このとき、次式が成り立つ。 Ｐ０○ｋ０≠Ｐ１○ｋ１ Ｐ０○Ｐ１≠ｋ０○ｋ１＝Δｋ …（１） ここで、記号○は排他的論理和を示し、鍵ｋ０、ｋ１の
ビット数はｎである。また、Δｋを鍵差分と呼ぶ。
０の排他的論理和で換字テーブルＳを引いた出力値と、
平文Ｐ１と鍵ｋ１の排他的論理和で同じ換字テーブルＳ
を引いた出力値とを暗号文とする暗号器を考えてみる。
そして、双方で換字テーブルＳのそれぞれ異なるエント
リを引いたものとする。このとき、次式が成り立つ。 Ｐ０○ｋ０≠Ｐ１○ｋ１ Ｐ０○Ｐ１≠ｋ０○ｋ１＝Δｋ …（１） ここで、記号○は排他的論理和を示し、鍵ｋ０、ｋ１の
ビット数はｎである。また、Δｋを鍵差分と呼ぶ。
【００１５】式（１）は２テーブルモデルであるが、一
般にｎテーブルモデルへ拡張することができ、次式が導
き出せる。 ここで、ｉ、ｊ＝１〜ｎである。
般にｎテーブルモデルへ拡張することができ、次式が導
き出せる。 ここで、ｉ、ｊ＝１〜ｎである。
【００１６】式（２）は、暗号過程（または復号過程）
で換字テーブルＳをｎ回引く場面がある場合に、全ての
場面で換字テーブルＳの異なるエントリを引くこととな
る任意の２つの平文Ｐｉと平文Ｐｊの排他的論理和は鍵
差分Δｋｉｊに一致せず、且つ、任意の２つの鍵はその
鍵差分がΔｋｉｊとなる関係にあることを意味する。こ
のような鍵差分Δｋｉｊが求まれば、鍵探索の範囲は２
2Nから２Nに狭まる。例えば、図１１においてｋ０〇ｋ
１＝ΔｋのＮビットが求まれば、ｋ０のＮビットを全数
探査すればｋ１＝ｋ０〇Δｋで他方のＮビットのｋ１が
計算できるからである。これにより、ｋ０とｋ１の２Ｎ
ビットの全数探査が、ｋ０のみのＮビットの全数探査で
済むようになる。
で換字テーブルＳをｎ回引く場面がある場合に、全ての
場面で換字テーブルＳの異なるエントリを引くこととな
る任意の２つの平文Ｐｉと平文Ｐｊの排他的論理和は鍵
差分Δｋｉｊに一致せず、且つ、任意の２つの鍵はその
鍵差分がΔｋｉｊとなる関係にあることを意味する。こ
のような鍵差分Δｋｉｊが求まれば、鍵探索の範囲は２
2Nから２Nに狭まる。例えば、図１１においてｋ０〇ｋ
１＝ΔｋのＮビットが求まれば、ｋ０のＮビットを全数
探査すればｋ１＝ｋ０〇Δｋで他方のＮビットのｋ１が
計算できるからである。これにより、ｋ０とｋ１の２Ｎ
ビットの全数探査が、ｋ０のみのＮビットの全数探査で
済むようになる。
【００１７】鍵差分Δｋｉｊは、例えば以下のようにし
て求めることができる。先ず、図１２（ａ）に示すよう
に、鍵差分Δｋｉｊの取りうる全ての値毎に初期値とし
て値０のカウンタを設定したテーブルを用意する。次
に、暗号過程の全場面で換字テーブルＳの異なるエント
リを引く多数の平文の集合から任意のペアを抽出し、そ
のペアの排他的論理和の値と一致する鍵差分Δｋｉｊに
対応するカウンタを＋１する処理を、全てのペアについ
て繰り返す。この結果、カウンタの値は図１２（ｂ）に
示すように更新されていき、初期値０のまま或いは極め
て小さな値（この値は式（２）の成立確率に依存する）
になっているカウンタに対応する鍵差分Δｋｉｊの値が
求める鍵差分となる。
て求めることができる。先ず、図１２（ａ）に示すよう
に、鍵差分Δｋｉｊの取りうる全ての値毎に初期値とし
て値０のカウンタを設定したテーブルを用意する。次
に、暗号過程の全場面で換字テーブルＳの異なるエント
リを引く多数の平文の集合から任意のペアを抽出し、そ
のペアの排他的論理和の値と一致する鍵差分Δｋｉｊに
対応するカウンタを＋１する処理を、全てのペアについ
て繰り返す。この結果、カウンタの値は図１２（ｂ）に
示すように更新されていき、初期値０のまま或いは極め
て小さな値（この値は式（２）の成立確率に依存する）
になっているカウンタに対応する鍵差分Δｋｉｊの値が
求める鍵差分となる。
【００１８】次に、暗号過程（または復号過程）で換字
テーブルＳをｎ回引く場面がある場合に、全ての場面
（もしくは、かなり多くの場面）で換字テーブルＳの異
なるエントリを引くこととなる任意の平文の集合を求め
る方法について説明する。
テーブルＳをｎ回引く場面がある場合に、全ての場面
（もしくは、かなり多くの場面）で換字テーブルＳの異
なるエントリを引くこととなる任意の平文の集合を求め
る方法について説明する。
【００１９】図１０で説明したように、キャッシュ４を
備えるコンピュータで暗号プログラム３を実行すると、
ＣＰＵ１の処理速度が一定で、他のプログラムが実行さ
れていない理想的な環境下でも、与える平文（または暗
号文）によって暗号化処理時間（または復号時間）が相
違する。その理由は、与える平文が異なれば、換字テー
ブル（Ｓ）３０５の使用するエントリが異なる場合があ
り、換字テーブル３０５アクセス時のキャッシュヒット
率が相違するからである。つまり、キャッシュミスヒッ
トが最も多くなる平文の暗号処理時間が最も長くなる。
キャッシュミスヒットが最も多くなる平文は、換字テー
ブルＳを引く全場面（もしくは、かなり多くの場面）で
異なるエントリを引いている可能性があると推測され
る。
備えるコンピュータで暗号プログラム３を実行すると、
ＣＰＵ１の処理速度が一定で、他のプログラムが実行さ
れていない理想的な環境下でも、与える平文（または暗
号文）によって暗号化処理時間（または復号時間）が相
違する。その理由は、与える平文が異なれば、換字テー
ブル（Ｓ）３０５の使用するエントリが異なる場合があ
り、換字テーブル３０５アクセス時のキャッシュヒット
率が相違するからである。つまり、キャッシュミスヒッ
トが最も多くなる平文の暗号処理時間が最も長くなる。
キャッシュミスヒットが最も多くなる平文は、換字テー
ブルＳを引く全場面（もしくは、かなり多くの場面）で
異なるエントリを引いている可能性があると推測され
る。
【００２０】本発明者は、この推測の正しさを、既知の
暗号アルゴリズムを用いて検証した。検証に使用した暗
号アルゴリズムは、１９９６年に三菱電気株式会社によ
って提案されたＭＩＳＴＹ１という、６４ビットのブロ
ック暗号（鍵長は１２８ビット）である。図１３にＭＩ
ＳＴＹ１のデータランダム化部の構成を示し、図１４に
データランダム化部で使用されるＦＯｉ関数と、さらに
このＦＯｉ関数で使用されるＦＩｉｊ関数の構成を示
す。ＦＯｉ関数は合計８個あり、１つのＦＯｉ関数の中
に３個のＦＩｉｊ関数があり、１つのＦＩｉｊ関数の中
で換字テーブルＳ９が２回使用され、換字テーブルＳ７
が１回使用されている。つまり、暗号化の過程で、換字
テーブルＳ９は、８×３×２＝４８回使用され、換字テ
ーブルＳ７は８×３×１＝２４回使用される。換字テー
ブルＳ９は入力が９ビットで、５１２のエントリ（サン
プルプログラムでは１エントリのサイズは３２ビットで
記述されていた）を有し、換字テーブルＳ７は入力が７
ビットで、１２８のエントリ（サンプルプログラムでは
１エントリのサイズは８ビットで記述されていた）を有
する。
暗号アルゴリズムを用いて検証した。検証に使用した暗
号アルゴリズムは、１９９６年に三菱電気株式会社によ
って提案されたＭＩＳＴＹ１という、６４ビットのブロ
ック暗号（鍵長は１２８ビット）である。図１３にＭＩ
ＳＴＹ１のデータランダム化部の構成を示し、図１４に
データランダム化部で使用されるＦＯｉ関数と、さらに
このＦＯｉ関数で使用されるＦＩｉｊ関数の構成を示
す。ＦＯｉ関数は合計８個あり、１つのＦＯｉ関数の中
に３個のＦＩｉｊ関数があり、１つのＦＩｉｊ関数の中
で換字テーブルＳ９が２回使用され、換字テーブルＳ７
が１回使用されている。つまり、暗号化の過程で、換字
テーブルＳ９は、８×３×２＝４８回使用され、換字テ
ーブルＳ７は８×３×１＝２４回使用される。換字テー
ブルＳ９は入力が９ビットで、５１２のエントリ（サン
プルプログラムでは１エントリのサイズは３２ビットで
記述されていた）を有し、換字テーブルＳ７は入力が７
ビットで、１２８のエントリ（サンプルプログラムでは
１エントリのサイズは８ビットで記述されていた）を有
する。
【００２１】図１５は、ＭＩＳＴＹ１で多数の平文を暗
号化したときの暗号化時間の分布を示し、横軸は暗号化
時間、縦軸は平文数である。また、図１６は、暗号化時
間と変換テーブルＳ９の動作エントリ数の関係を示し、
図１７は、暗号化時間と変換テーブルＳ７の動作エント
リ数の関係を示す。ここで、動作エントリ数とは、変換
テーブルのエントリの内、幾つのエントリが暗号化処理
で使用されたかを示し、変換テーブルＳ９の最大値は４
８、変換テーブルＳ７の最大値は２４である。図１５お
よび図１６から理解されるように、暗号処理時間が或る
しきい値Ｔ以上かかる平文は、換字テーブルＳ９を引く
殆どの場面で異なるエントリを引いており、毎回キャッ
シュミスヒットを起こしているために暗号処理時間が長
くなっている。これに対し、変換テーブルＳ７は、動作
エントリ数にかかわらず暗号処理時間はほぼ一定であ
る。変換テーブルＳ９とＳ７とでこのような差違が生じ
る理由は、変換テーブルＳ７は１２８エントリと小型の
テーブルであるため、何回かミスヒットするとキャッシ
ュ４にテーブルの大部分のエントリがロードされて、そ
の後ミスヒットが発生しなくなるのに対し、変換テーブ
ルＳ９は５１２エントリと大型のテーブルであるため、
そのような状況が発生しないためと考えられる。従っ
て、図１１および図１２で説明した原理による攻撃は、
換字テーブルＳ７に対しては余り効果がなく、換字テー
ブルＳ９が攻撃対象となる。
号化したときの暗号化時間の分布を示し、横軸は暗号化
時間、縦軸は平文数である。また、図１６は、暗号化時
間と変換テーブルＳ９の動作エントリ数の関係を示し、
図１７は、暗号化時間と変換テーブルＳ７の動作エント
リ数の関係を示す。ここで、動作エントリ数とは、変換
テーブルのエントリの内、幾つのエントリが暗号化処理
で使用されたかを示し、変換テーブルＳ９の最大値は４
８、変換テーブルＳ７の最大値は２４である。図１５お
よび図１６から理解されるように、暗号処理時間が或る
しきい値Ｔ以上かかる平文は、換字テーブルＳ９を引く
殆どの場面で異なるエントリを引いており、毎回キャッ
シュミスヒットを起こしているために暗号処理時間が長
くなっている。これに対し、変換テーブルＳ７は、動作
エントリ数にかかわらず暗号処理時間はほぼ一定であ
る。変換テーブルＳ９とＳ７とでこのような差違が生じ
る理由は、変換テーブルＳ７は１２８エントリと小型の
テーブルであるため、何回かミスヒットするとキャッシ
ュ４にテーブルの大部分のエントリがロードされて、そ
の後ミスヒットが発生しなくなるのに対し、変換テーブ
ルＳ９は５１２エントリと大型のテーブルであるため、
そのような状況が発生しないためと考えられる。従っ
て、図１１および図１２で説明した原理による攻撃は、
換字テーブルＳ７に対しては余り効果がなく、換字テー
ブルＳ９が攻撃対象となる。
【００２２】図１８は、暗号過程で換字テーブルＳ９を
ほぼ４８回引く可能性が高い平文の集合を抽出する処理
の一例を示す。先ず、ＭＩＳＴＹ１の暗号プログラムを
コンピュータのメモリにロードする（ステップ１０
１）。次に、乱数によって平文を生成し（ステップ１０
２）、コンピュータのキャッシュをクリアし（ステップ
１０３）、前記生成した平文を暗号化対象の平文に設定
して（ステップ１０４）、ＭＩＳＴＹ１による暗号化と
この暗号化の処理に要した時間の測定とを行う（ステッ
プ１０５）。次に、測定した暗号化時間が予め設定した
しきい値Ｔ以上であるかどうかを判定する（ステップ１
０６）。ここで、しきい値Ｔは図１５および図１６のＴ
で示される暗号化時間を使用する。しきい値Ｔは、解読
が成立するのに必要充分な数の平文が得られるように設
定する。因みに、式（２）の成立確率が高いほど少ない
数の平文で足りる。そして、暗号化時間がしきい値Ｔ以
上であれば、今回の平文を保存し（ステップ１０７）、
ステップ１０２に戻って上述した処理を繰り返す。暗号
化時間がしきい値Ｔ以上でなければ、今回の平文を保存
せずにステップ１０２に戻って上述した処理を繰り返
す。このような処理の繰り返しによって、暗号過程で換
字テーブルＳ９をほぼ４８回引く可能性が高い平文を充
分な数だけ抽出することができる。
ほぼ４８回引く可能性が高い平文の集合を抽出する処理
の一例を示す。先ず、ＭＩＳＴＹ１の暗号プログラムを
コンピュータのメモリにロードする（ステップ１０
１）。次に、乱数によって平文を生成し（ステップ１０
２）、コンピュータのキャッシュをクリアし（ステップ
１０３）、前記生成した平文を暗号化対象の平文に設定
して（ステップ１０４）、ＭＩＳＴＹ１による暗号化と
この暗号化の処理に要した時間の測定とを行う（ステッ
プ１０５）。次に、測定した暗号化時間が予め設定した
しきい値Ｔ以上であるかどうかを判定する（ステップ１
０６）。ここで、しきい値Ｔは図１５および図１６のＴ
で示される暗号化時間を使用する。しきい値Ｔは、解読
が成立するのに必要充分な数の平文が得られるように設
定する。因みに、式（２）の成立確率が高いほど少ない
数の平文で足りる。そして、暗号化時間がしきい値Ｔ以
上であれば、今回の平文を保存し（ステップ１０７）、
ステップ１０２に戻って上述した処理を繰り返す。暗号
化時間がしきい値Ｔ以上でなければ、今回の平文を保存
せずにステップ１０２に戻って上述した処理を繰り返
す。このような処理の繰り返しによって、暗号過程で換
字テーブルＳ９をほぼ４８回引く可能性が高い平文を充
分な数だけ抽出することができる。
【００２３】こうして抽出した平文の集合を用いて、図
１２で示したような方法で鍵差分Δｋを決定し、鍵の候
補を絞り込む。そして、最終的には、確定しなかった鍵
のビット部分について総当りによってビット値を確定す
ることにより、秘密鍵の全ビットを特定する。
１２で示したような方法で鍵差分Δｋを決定し、鍵の候
補を絞り込む。そして、最終的には、確定しなかった鍵
のビット部分について総当りによってビット値を確定す
ることにより、秘密鍵の全ビットを特定する。
【００２４】このように、キャッシュを備えるコンピュ
ータに、換字テーブルを用いて暗号化処理を行う暗号プ
ログラムを実装した暗号装置では、キャッシュ攻撃型暗
号解読法により、暗号化時間から換字エントリの動作エ
ントリ数が推測され、鍵差分の決定によって鍵の候補数
が絞り込まれ、最終的には鍵の全ビットが解読されてし
まう危険性がある。キャッシュ攻撃型暗号解読法はタイ
ミングアタックの一種と考えられるが、冪乗剰余積演算
を使用しない共通鍵暗号に対して適用されるため、特許
文献１記載の技術では防御できない。このため、キャッ
シュ攻撃型暗号解読方法に頑健な暗号装置の開発が強く
望まれる。
ータに、換字テーブルを用いて暗号化処理を行う暗号プ
ログラムを実装した暗号装置では、キャッシュ攻撃型暗
号解読法により、暗号化時間から換字エントリの動作エ
ントリ数が推測され、鍵差分の決定によって鍵の候補数
が絞り込まれ、最終的には鍵の全ビットが解読されてし
まう危険性がある。キャッシュ攻撃型暗号解読法はタイ
ミングアタックの一種と考えられるが、冪乗剰余積演算
を使用しない共通鍵暗号に対して適用されるため、特許
文献１記載の技術では防御できない。このため、キャッ
シュ攻撃型暗号解読方法に頑健な暗号装置の開発が強く
望まれる。
【００２５】本発明はこのような事情に鑑みて提案され
たものであり、その目的は、キャッシュ攻撃型暗号解読
法に対する防御機能を備えた暗号装置を提供することに
ある。
たものであり、その目的は、キャッシュ攻撃型暗号解読
法に対する防御機能を備えた暗号装置を提供することに
ある。
【００２６】
【課題を解決するための手段】第１の観点に基づく本発
明の暗号装置は、ビット列変換に使用する変換表を用い
て暗号処理または復号処理を行う暗号プログラムをキャ
ッシュ装備のコンピュータに実装した暗号装置におい
て、１つの平文または１つの暗号文の暗号処理または復
号処理における前記変換表に対するアクセス時のキャッ
シュミスヒット回数を、任意の平文または暗号文につい
てほぼ均一化する調整手段を備え、前記調整手段は、暗
号処理または復号処理で使用する複数の変換表をキャッ
シュにプリロードするプリロード手段を備え、前記プリ
ロード手段は、前記複数の変換表のうち攻撃対象とされ
る可能性の高いものとして設定された変換表を他の変換
表より後にプリロードするものであることを特徴とす
る。また、ビット列変換に使用する変換表を用いて暗号
処理または復号処理を行う暗号プログラムを、高い優先
度の付いたデータほどキャッシュから掃き出され難くす
ることができるキャッシュ装備のコンピュータに実装し
た暗号装置において、１つの平文または１つの暗号文の
暗号処理または復号処理における前記変換表に対するア
クセス時のキャッシュミスヒット回数を、任意の平文ま
たは暗号文についてほぼ均一化する調整手段を備え、前
記調整手段は、暗号処理または復号処理で使用する複数
の変換表をキャッシュにプリロードするプリロード手段
を備え、前記プリロード手段は、前記複数の変換表のう
ち攻撃対象とされる可能性の高いものとして設定された
変換表は高い優先度を設定してプリロードするものであ
ることを特徴とする。ここで、前記プリロード手段は、
１つの平文または１つの暗号文の暗号処理または復号処
理において同じ変換表を複数の時点でプリロードするも
のであっても良い。
明の暗号装置は、ビット列変換に使用する変換表を用い
て暗号処理または復号処理を行う暗号プログラムをキャ
ッシュ装備のコンピュータに実装した暗号装置におい
て、１つの平文または１つの暗号文の暗号処理または復
号処理における前記変換表に対するアクセス時のキャッ
シュミスヒット回数を、任意の平文または暗号文につい
てほぼ均一化する調整手段を備え、前記調整手段は、暗
号処理または復号処理で使用する複数の変換表をキャッ
シュにプリロードするプリロード手段を備え、前記プリ
ロード手段は、前記複数の変換表のうち攻撃対象とされ
る可能性の高いものとして設定された変換表を他の変換
表より後にプリロードするものであることを特徴とす
る。また、ビット列変換に使用する変換表を用いて暗号
処理または復号処理を行う暗号プログラムを、高い優先
度の付いたデータほどキャッシュから掃き出され難くす
ることができるキャッシュ装備のコンピュータに実装し
た暗号装置において、１つの平文または１つの暗号文の
暗号処理または復号処理における前記変換表に対するア
クセス時のキャッシュミスヒット回数を、任意の平文ま
たは暗号文についてほぼ均一化する調整手段を備え、前
記調整手段は、暗号処理または復号処理で使用する複数
の変換表をキャッシュにプリロードするプリロード手段
を備え、前記プリロード手段は、前記複数の変換表のう
ち攻撃対象とされる可能性の高いものとして設定された
変換表は高い優先度を設定してプリロードするものであ
ることを特徴とする。ここで、前記プリロード手段は、
１つの平文または１つの暗号文の暗号処理または復号処
理において同じ変換表を複数の時点でプリロードするも
のであっても良い。
【００２７】
【００２８】第２の観点に基づく本発明の暗号装置は、
ビット列変換に使用する変換表を用いて暗号処理または
復号処理を行う暗号プログラムをキャッシュ装備のコン
ピュータに実装した暗号装置において、１つの平文また
は１つの暗号文の暗号処理または復号処理における前記
変換表に対するアクセス時のキャッシュミスヒット回数
を、任意の平文または暗号文についてキャッシュミスヒ
ット回数が増加する方向に調整してほぼ均一化する調整
手段を備える。具体的には、以下の（１）乃至（５）に
記載される何れかの調整手段を備える。 （１） 変換表のエントリのうち暗号処理または復号処理
で実際に使用されたエントリを管理する使用エントリ管
理手段と、変換表のエントリのうち暗号処理または復号
処理で実際に使用されなかったエントリをアクセスする
不使用エントリロード手段とを備える調整手段。 （２） 変換表のエントリのうち暗号処理または復号処理
で実際に使用されたエントリを管理する使用エントリ管
理手段と、変換表の使用エントリの最大数と暗号処理ま
たは復号処理で実際に使用されたエントリ数の差分だけ
キャッシュミスヒットを発生させるキャッシュミスヒッ
ト発生手段とを備える調整手段。 （３） 暗号処理または復号処理で変換表のエントリにキ
ャッシュヒットした回数を管理する使用エントリ管理手
段と、前記キャッシュヒットした回数だけキャッシュミ
スヒットを発生させるキャッシュミスヒット発生手段と
を備える調整手段。 （４） 暗号処理または復号処理で変換表のエントリにキ
ャッシュヒットする毎にキャッシュミスヒットを発生さ
せる手段を備える調整手段。 （５） １つの平文または１つの暗号文の暗号処理または
復号処理で参照される総回数がｎ回である同一内容の変
換表をｎ個備え、各参照毎にそれぞれ異なる変換表を参
照させる調整手段。ここで、前記（１）〜（５）の調整
手段は、暗号処理または復号処理で使用する複数の変換
表のうち攻撃対象とされる可能性の高いものとして設定
された変換表のみを調整対象として良い。また、攻撃対
象とされる可能性の高い変換表には、エントリ総数に対
する参照総エントリ数（動作エントリ数）の比である利
用率が小さな変換表を含むようにして良い。
ビット列変換に使用する変換表を用いて暗号処理または
復号処理を行う暗号プログラムをキャッシュ装備のコン
ピュータに実装した暗号装置において、１つの平文また
は１つの暗号文の暗号処理または復号処理における前記
変換表に対するアクセス時のキャッシュミスヒット回数
を、任意の平文または暗号文についてキャッシュミスヒ
ット回数が増加する方向に調整してほぼ均一化する調整
手段を備える。具体的には、以下の（１）乃至（５）に
記載される何れかの調整手段を備える。 （１） 変換表のエントリのうち暗号処理または復号処理
で実際に使用されたエントリを管理する使用エントリ管
理手段と、変換表のエントリのうち暗号処理または復号
処理で実際に使用されなかったエントリをアクセスする
不使用エントリロード手段とを備える調整手段。 （２） 変換表のエントリのうち暗号処理または復号処理
で実際に使用されたエントリを管理する使用エントリ管
理手段と、変換表の使用エントリの最大数と暗号処理ま
たは復号処理で実際に使用されたエントリ数の差分だけ
キャッシュミスヒットを発生させるキャッシュミスヒッ
ト発生手段とを備える調整手段。 （３） 暗号処理または復号処理で変換表のエントリにキ
ャッシュヒットした回数を管理する使用エントリ管理手
段と、前記キャッシュヒットした回数だけキャッシュミ
スヒットを発生させるキャッシュミスヒット発生手段と
を備える調整手段。 （４） 暗号処理または復号処理で変換表のエントリにキ
ャッシュヒットする毎にキャッシュミスヒットを発生さ
せる手段を備える調整手段。 （５） １つの平文または１つの暗号文の暗号処理または
復号処理で参照される総回数がｎ回である同一内容の変
換表をｎ個備え、各参照毎にそれぞれ異なる変換表を参
照させる調整手段。ここで、前記（１）〜（５）の調整
手段は、暗号処理または復号処理で使用する複数の変換
表のうち攻撃対象とされる可能性の高いものとして設定
された変換表のみを調整対象として良い。また、攻撃対
象とされる可能性の高い変換表には、エントリ総数に対
する参照総エントリ数（動作エントリ数）の比である利
用率が小さな変換表を含むようにして良い。
【００２９】
【００３０】第３の観点に基づく本発明の暗号装置は、
ビット列変換に使用する変換表を用いて暗号処理または
復号処理を行う暗号プログラムをキャッシュ装備のコン
ピュータに実装した暗号装置において、１つの平文また
は１つの暗号文の実質的な暗号処理または復号処理に要
した時間を計測する計測手段と、計測された時間が予め
設定された時間より短い場合、予め設定された一定時間
または無作為に決定した時間だけ暗号処理または復号処
理に要する時間を常に或いは無作為に延長する延長手段
とを含む調整手段を備えたことを特徴とする。
ビット列変換に使用する変換表を用いて暗号処理または
復号処理を行う暗号プログラムをキャッシュ装備のコン
ピュータに実装した暗号装置において、１つの平文また
は１つの暗号文の実質的な暗号処理または復号処理に要
した時間を計測する計測手段と、計測された時間が予め
設定された時間より短い場合、予め設定された一定時間
または無作為に決定した時間だけ暗号処理または復号処
理に要する時間を常に或いは無作為に延長する延長手段
とを含む調整手段を備えたことを特徴とする。
【００３１】
【００３２】
【作用】第１および第２の観点に基づく本発明の暗号装
置にあっては、１つの平文または１つの暗号文の暗号処
理または復号処理における換字テーブル等の変換表に対
するアクセス時のキャッシュミスヒット回数が、任意の
平文または暗号文についてほぼ均一化されるため、換字
テーブル等の変換表の動作エントリ数が少ない平文また
は暗号文も、反対に多い平文または暗号文も、その暗号
時間または復号時間がほぼ同じになり、キャッシュ型攻
撃暗号解読法の要である鍵差分を抽出する際に用いる平
文の抽出が困難となる。このため鍵差分を決定できず、
鍵の解読が困難となる。
置にあっては、１つの平文または１つの暗号文の暗号処
理または復号処理における換字テーブル等の変換表に対
するアクセス時のキャッシュミスヒット回数が、任意の
平文または暗号文についてほぼ均一化されるため、換字
テーブル等の変換表の動作エントリ数が少ない平文また
は暗号文も、反対に多い平文または暗号文も、その暗号
時間または復号時間がほぼ同じになり、キャッシュ型攻
撃暗号解読法の要である鍵差分を抽出する際に用いる平
文の抽出が困難となる。このため鍵差分を決定できず、
鍵の解読が困難となる。
【００３３】
【００３４】第３の観点に基づく本発明の暗号装置にあ
っては、真に最大暗号時間を与える平文とそれ以外の平
文の一部とが同じ暗号時間および復号時間になり、キャ
ッシュ型攻撃暗号解読法の要である鍵差分を抽出する際
に用いる平文の抽出が困難となる。その結果、鍵差分を
決定できず、結果として鍵の解読が困難となる。
っては、真に最大暗号時間を与える平文とそれ以外の平
文の一部とが同じ暗号時間および復号時間になり、キャ
ッシュ型攻撃暗号解読法の要である鍵差分を抽出する際
に用いる平文の抽出が困難となる。その結果、鍵差分を
決定できず、結果として鍵の解読が困難となる。
【００３５】
【００３６】
【発明の第１の実施の形態】図１を参照すると、本発明
の第１の実施の形態にかかる暗号装置は、ハードウェア
としてＣＰＵ１とメモリ（主記憶）２とキャッシュ４と
を含んで構成されるコンピュータ上に暗号プログラム３
Ａが実装されている。
の第１の実施の形態にかかる暗号装置は、ハードウェア
としてＣＰＵ１とメモリ（主記憶）２とキャッシュ４と
を含んで構成されるコンピュータ上に暗号プログラム３
Ａが実装されている。
【００３７】ＣＰＵ１とキャッシュ４との間はデータ
線、アドレス線および制御線を含むプロセッサバス５に
よって接続され、キャッシュ４とメモリ２との間は、同
じくデータ線、アドレス線および制御線を含むメモリバ
ス６によって接続されている。キャッシュ４は、メモリ
２よりも高速アクセス可能な小容量のメモリであり、メ
モリ２の内容の一部の写しを保持する。ＣＰＵ１がプロ
セッサバス５を通じて要求する命令やデータがキャッシ
ュ４に存在すれば、キャッシュヒットした命令やデータ
がキャッシュ４から直ちにＣＰＵ１に返却される。他
方、ＣＰＵ１が要求する命令やデータがキャッシュ４に
存在しなければ、キャッシュ４はミスヒットした命令や
データを含む所定サイズのデータをメモリバス６を通じ
てメモリ２から読み出して自身に格納すると共にＣＰＵ
１に該当する命令やデータを返却する。前記所定サイズ
としては、例えば３２バイト、１２８バイトが使用され
る。
線、アドレス線および制御線を含むプロセッサバス５に
よって接続され、キャッシュ４とメモリ２との間は、同
じくデータ線、アドレス線および制御線を含むメモリバ
ス６によって接続されている。キャッシュ４は、メモリ
２よりも高速アクセス可能な小容量のメモリであり、メ
モリ２の内容の一部の写しを保持する。ＣＰＵ１がプロ
セッサバス５を通じて要求する命令やデータがキャッシ
ュ４に存在すれば、キャッシュヒットした命令やデータ
がキャッシュ４から直ちにＣＰＵ１に返却される。他
方、ＣＰＵ１が要求する命令やデータがキャッシュ４に
存在しなければ、キャッシュ４はミスヒットした命令や
データを含む所定サイズのデータをメモリバス６を通じ
てメモリ２から読み出して自身に格納すると共にＣＰＵ
１に該当する命令やデータを返却する。前記所定サイズ
としては、例えば３２バイト、１２８バイトが使用され
る。
【００３８】暗号プログラム３Ａは、ＤＥＳ暗号やＦＥ
ＡＬ暗号など、ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う共通鍵暗号を実現するプ
ログラムであり、通常は図示しない磁気ディスク等の補
助記憶装置に格納されており、使用時に図１に示すよう
にメモリ２にロードされて実行される。図１のメモリ２
のブロックの右に記載した構成図は、１つの平文を暗号
化する際の暗号プログラム３Ａの処理の内容を示してい
る。ここで、プリロード部３１１が調整手段を構成す
る。
ＡＬ暗号など、ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う共通鍵暗号を実現するプ
ログラムであり、通常は図示しない磁気ディスク等の補
助記憶装置に格納されており、使用時に図１に示すよう
にメモリ２にロードされて実行される。図１のメモリ２
のブロックの右に記載した構成図は、１つの平文を暗号
化する際の暗号プログラム３Ａの処理の内容を示してい
る。ここで、プリロード部３１１が調整手段を構成す
る。
【００３９】暗号プログラム３Ａは、他のプログラムか
らの呼出しなどによって起動されると（ステップ３０
１）、先ず、入力部３０２によって、平文の入力、初期
置換などの処理を行う。次いで、本実施の形態の特徴と
して、プリロード部３１１によって、ビット列変換に使
用する変換表である換字テーブル３０５をキャッシュ４
にプリロードする処理を行う（ステップ３１１）。この
プリロードは、例えば、換字テーブル３０５の全エント
リを一度リードする処理で可能である。このプリロード
処理時に発生するキャッシュミスヒット回数をＣ回とす
る。このキャッシュミスヒット回数Ｃは、任意の平文お
よび暗号文について等しい。
らの呼出しなどによって起動されると（ステップ３０
１）、先ず、入力部３０２によって、平文の入力、初期
置換などの処理を行う。次いで、本実施の形態の特徴と
して、プリロード部３１１によって、ビット列変換に使
用する変換表である換字テーブル３０５をキャッシュ４
にプリロードする処理を行う（ステップ３１１）。この
プリロードは、例えば、換字テーブル３０５の全エント
リを一度リードする処理で可能である。このプリロード
処理時に発生するキャッシュミスヒット回数をＣ回とす
る。このキャッシュミスヒット回数Ｃは、任意の平文お
よび暗号文について等しい。
【００４０】プリロード対象とする換字テーブル３０５
は、本実施の形態の場合、暗号処理または復号処理で使
用する全ての換字テーブルのうち、キャッシュ攻撃暗号
解読法で攻撃される可能性の高い換字テーブルである。
攻撃対象とされる可能性の高い換字テーブルは、当該暗
号プログラムのアルゴリズムに照らして事前に決定さ
れ、暗号プログラム３Ａに設定されている。図１３およ
び図１４で説明したＭＩＳＴＹ１の場合、変換テーブル
Ｓ９が設定される。一般的に、図１６で示されるよう
に、暗号時間が長くなるのに応じて動作エントリ数が増
加する傾向を示す換字テーブルが攻撃対象とされる可能
性が高い。また、簡便な方法として、エントリ総数に対
する参照総エントリ数（動作エントリ数）の比である利
用率が小さい変換表を、攻撃対象とされる可能性の高い
換字テーブルとして決定する方法を用いることができ
る。
は、本実施の形態の場合、暗号処理または復号処理で使
用する全ての換字テーブルのうち、キャッシュ攻撃暗号
解読法で攻撃される可能性の高い換字テーブルである。
攻撃対象とされる可能性の高い換字テーブルは、当該暗
号プログラムのアルゴリズムに照らして事前に決定さ
れ、暗号プログラム３Ａに設定されている。図１３およ
び図１４で説明したＭＩＳＴＹ１の場合、変換テーブル
Ｓ９が設定される。一般的に、図１６で示されるよう
に、暗号時間が長くなるのに応じて動作エントリ数が増
加する傾向を示す換字テーブルが攻撃対象とされる可能
性が高い。また、簡便な方法として、エントリ総数に対
する参照総エントリ数（動作エントリ数）の比である利
用率が小さい変換表を、攻撃対象とされる可能性の高い
換字テーブルとして決定する方法を用いることができ
る。
【００４１】次に、暗号プログラム３Ａは、鍵生成部３
０３による鍵生成処理、データ変換部３０４によるデー
タ変換処理を実行する。鍵生成部３０３では、暗号プロ
グラム３Ａが使用する共通鍵を拡大し、データ変換部３
０４で使う幾つかの鍵を生成する。データ変換部３０４
は、入力部３０２から出力された初期置換後の平文と鍵
生成部３０３で生成された鍵を混ぜ合わせる基本操作を
複数回繰り返し、暗号文を出力する。このとき、換字を
行う場合は、暗号プログラム３Ａに予め設定されている
換字テーブル３０５をアクセスして換字処理が実行され
るが、換字テーブルのうちプリロード部３１１でキャッ
シュ４にプリロードされた換字テーブルのアクセス時に
はほぼ１００％近くキャッシュヒットする。換言すれ
ば、攻撃対象となる可能性の高いものとして設定された
換字テーブルに対する、実質的な暗号処理におけるキャ
ッシュミスヒット回数はほぼ０に均一化される。
０３による鍵生成処理、データ変換部３０４によるデー
タ変換処理を実行する。鍵生成部３０３では、暗号プロ
グラム３Ａが使用する共通鍵を拡大し、データ変換部３
０４で使う幾つかの鍵を生成する。データ変換部３０４
は、入力部３０２から出力された初期置換後の平文と鍵
生成部３０３で生成された鍵を混ぜ合わせる基本操作を
複数回繰り返し、暗号文を出力する。このとき、換字を
行う場合は、暗号プログラム３Ａに予め設定されている
換字テーブル３０５をアクセスして換字処理が実行され
るが、換字テーブルのうちプリロード部３１１でキャッ
シュ４にプリロードされた換字テーブルのアクセス時に
はほぼ１００％近くキャッシュヒットする。換言すれ
ば、攻撃対象となる可能性の高いものとして設定された
換字テーブルに対する、実質的な暗号処理におけるキャ
ッシュミスヒット回数はほぼ０に均一化される。
【００４２】データ変換部３０４で複数回の基本操作が
繰り返されて得られたデータは、出力部３０６において
逆初期置換などの処理が実行され、最終的に得られた暗
号文が呼出し元のプログラム等に返却され、１つの平文
の暗号化を終える（ステップ３０７）。
繰り返されて得られたデータは、出力部３０６において
逆初期置換などの処理が実行され、最終的に得られた暗
号文が呼出し元のプログラム等に返却され、１つの平文
の暗号化を終える（ステップ３０７）。
【００４３】以上の暗号プログラム３Ａの動作は平文を
暗号化する際の動作であるが、一般に暗号処理と復号処
理の大部分は同じである。概略を説明すると、先ず、入
力部３０２によって、暗号文の入力、初期置換などの処
理を行い、次いで、プリロード部３１１によって、攻撃
される可能性の高い換字テーブル３０５をキャッシュ４
にプリロードし、鍵生成部３０３による鍵生成処理、デ
ータ変換部３０４によるデータ変換処理を実行する。鍵
生成部３０３では、暗号時と逆の順番で順次に鍵を生成
してデータ変換部３０４に供給し、データ変換部３０４
では、暗号時と逆の順番で基本操作を複数回繰り返し、
その結果を出力する。最後に出力部３０６において逆初
期置換などの処理が実行され、最終的に得られた平文が
呼出し元のプログラム等に返却され、１つの暗号文の復
号を終える（ステップ３０７）。
暗号化する際の動作であるが、一般に暗号処理と復号処
理の大部分は同じである。概略を説明すると、先ず、入
力部３０２によって、暗号文の入力、初期置換などの処
理を行い、次いで、プリロード部３１１によって、攻撃
される可能性の高い換字テーブル３０５をキャッシュ４
にプリロードし、鍵生成部３０３による鍵生成処理、デ
ータ変換部３０４によるデータ変換処理を実行する。鍵
生成部３０３では、暗号時と逆の順番で順次に鍵を生成
してデータ変換部３０４に供給し、データ変換部３０４
では、暗号時と逆の順番で基本操作を複数回繰り返し、
その結果を出力する。最後に出力部３０６において逆初
期置換などの処理が実行され、最終的に得られた平文が
呼出し元のプログラム等に返却され、１つの暗号文の復
号を終える（ステップ３０７）。
【００４４】本実施の形態によれば、キャッシュ型攻撃
暗号解読法の攻撃対象とされる可能性の高い換字テーブ
ルについては、１つの平文または１つの暗号文の実質的
な暗号処理または復号処理におけるアクセス時のキャッ
シュミスヒット回数が、任意の平文または暗号文につい
てほぼ０に均一化される。また、その換字テーブルのプ
リロード時におけるキャッシュミスヒット回数は常に一
定回数Ｃとなる。従って、攻撃対象とされる可能性の高
い換字テーブルの動作エントリ数が少ない平文または暗
号文も、反対に多い平文または暗号文も、その暗号時間
または復号時間がほぼ同じになり、キャッシュ型攻撃暗
号解読法の要である鍵差分を抽出する際に用いる平文の
抽出が困難となる。そうなると、鍵差分を決定できず、
結果として鍵の解読が困難となる。
暗号解読法の攻撃対象とされる可能性の高い換字テーブ
ルについては、１つの平文または１つの暗号文の実質的
な暗号処理または復号処理におけるアクセス時のキャッ
シュミスヒット回数が、任意の平文または暗号文につい
てほぼ０に均一化される。また、その換字テーブルのプ
リロード時におけるキャッシュミスヒット回数は常に一
定回数Ｃとなる。従って、攻撃対象とされる可能性の高
い換字テーブルの動作エントリ数が少ない平文または暗
号文も、反対に多い平文または暗号文も、その暗号時間
または復号時間がほぼ同じになり、キャッシュ型攻撃暗
号解読法の要である鍵差分を抽出する際に用いる平文の
抽出が困難となる。そうなると、鍵差分を決定できず、
結果として鍵の解読が困難となる。
【００４５】以上の説明では、キャッシュ型攻撃暗号解
読法で攻撃される可能性の高い換字テーブルだけをプリ
ロードしたが、キャッシュ４の容量が許すなら、全ての
換字テーブルをプリロードする。この場合、真に残した
い換字テーブルがキャッシュのＬＲＵ等の掃き出しアル
ゴリズムで掃き出されてしまわないように、攻撃される
可能性の高い換字テーブルは他の換字テーブルより後に
プリロードする。また、キャッシュ４に保持されたデー
タに優先度を付けることができ、優先度の高いデータほ
ど掃き出され難くすることができるコンピュータでは、
攻撃される可能性の高い換字テーブルのデータに高い優
先度を設定してプリロードする。
読法で攻撃される可能性の高い換字テーブルだけをプリ
ロードしたが、キャッシュ４の容量が許すなら、全ての
換字テーブルをプリロードする。この場合、真に残した
い換字テーブルがキャッシュのＬＲＵ等の掃き出しアル
ゴリズムで掃き出されてしまわないように、攻撃される
可能性の高い換字テーブルは他の換字テーブルより後に
プリロードする。また、キャッシュ４に保持されたデー
タに優先度を付けることができ、優先度の高いデータほ
ど掃き出され難くすることができるコンピュータでは、
攻撃される可能性の高い換字テーブルのデータに高い優
先度を設定してプリロードする。
【００４６】図１の実施の形態では、換字テーブル３０
５を参照する箇所が暗号プログラム３Ａのデータ変換部
３０４内だけであるＤＥＳ等の共通鍵暗号を対象とした
ので、換字テーブルのプリロード部３１１をデータ変換
部３０４の直前に設けたが、スタートのステップ３０１
の直後に設けるようにしても良い。こうすれば、入力部
３０２や、鍵生成部３０３においても換字テーブル３０
５を参照するような共通鍵暗号に対しても適用可能であ
る。また、同じ換字テーブルのプリロードを複数の時
点、例えばスタートのステップ３０１の直後とデータ変
換部３０４の直前に設けるようにしても良い。更に、暗
号プログラム３Ａが呼出される前に、換字テーブル３０
５のプリロード処理を行うプログラムを別途設けること
も考えられる。
５を参照する箇所が暗号プログラム３Ａのデータ変換部
３０４内だけであるＤＥＳ等の共通鍵暗号を対象とした
ので、換字テーブルのプリロード部３１１をデータ変換
部３０４の直前に設けたが、スタートのステップ３０１
の直後に設けるようにしても良い。こうすれば、入力部
３０２や、鍵生成部３０３においても換字テーブル３０
５を参照するような共通鍵暗号に対しても適用可能であ
る。また、同じ換字テーブルのプリロードを複数の時
点、例えばスタートのステップ３０１の直後とデータ変
換部３０４の直前に設けるようにしても良い。更に、暗
号プログラム３Ａが呼出される前に、換字テーブル３０
５のプリロード処理を行うプログラムを別途設けること
も考えられる。
【００４７】また、図１の実施の形態では、プリロード
対象となる換字テーブルの全エントリがキャッシュ４に
プリロードされるようにしたが、例えば約半分程度のエ
ントリをプリロードしても、キャッシュミスヒット回数
を或る程度均一化できるため、必ずしも全エントリをプ
リロードする必要はない。
対象となる換字テーブルの全エントリがキャッシュ４に
プリロードされるようにしたが、例えば約半分程度のエ
ントリをプリロードしても、キャッシュミスヒット回数
を或る程度均一化できるため、必ずしも全エントリをプ
リロードする必要はない。
【００４８】
【発明の第２の実施の形態】図２（ａ）を参照すると、
本発明の第２の実施の形態にかかる暗号装置は、図１の
第１の実施の形態にかかる暗号装置と比較して、暗号プ
ログラム３Ｂには、換字テーブル３０５のプリロード部
がなく、その代わりに、換字テーブル３０５のエントリ
のうち暗号処理または復号処理で実際に使用されたエン
トリを管理する使用エントリ管理部３１２と、換字テー
ブル３０５のエントリのうち暗号処理または復号処理で
実際に使用されなかったエントリをアクセスする不使用
エントリロード部３１３とを備えている。ここで、使用
エントリ管理部３１２と不使用エントリロード部３１３
とで調整手段を構成する。以下、第１の実施の形態の暗
号装置との相違点を中心に、本実施の形態の構成と動作
を説明する。
本発明の第２の実施の形態にかかる暗号装置は、図１の
第１の実施の形態にかかる暗号装置と比較して、暗号プ
ログラム３Ｂには、換字テーブル３０５のプリロード部
がなく、その代わりに、換字テーブル３０５のエントリ
のうち暗号処理または復号処理で実際に使用されたエン
トリを管理する使用エントリ管理部３１２と、換字テー
ブル３０５のエントリのうち暗号処理または復号処理で
実際に使用されなかったエントリをアクセスする不使用
エントリロード部３１３とを備えている。ここで、使用
エントリ管理部３１２と不使用エントリロード部３１３
とで調整手段を構成する。以下、第１の実施の形態の暗
号装置との相違点を中心に、本実施の形態の構成と動作
を説明する。
【００４９】図２（ｂ）は使用エントリ管理部３１２に
備わる管理テーブルの一例を示す。この管理テーブル
は、キャッシュ攻撃型暗号解読法によって攻撃される可
能性の高い換字テーブル毎に対応して設けられ、対応す
る換字テーブルと同数のエントリを持つ。管理テーブル
の各エントリは、暗号処理および復号処理の開始時点で
未使用を示す値にクリアされる。図２（ｂ）では、×の
記号が未使用を示す。使用エントリ管理部３１２は、暗
号処理または復号処理の過程で、攻撃される可能性の高
い換字テーブルのエントリが参照される毎に、対応する
管理テーブルの対応するエントリを使用済みを示す値に
変更する。図２（ｂ）では、○の記号が使用済みを示
す。つまり、○の記号が付けられたエントリに対応する
換字テーブルエントリは動作エントリであることが示さ
れる。
備わる管理テーブルの一例を示す。この管理テーブル
は、キャッシュ攻撃型暗号解読法によって攻撃される可
能性の高い換字テーブル毎に対応して設けられ、対応す
る換字テーブルと同数のエントリを持つ。管理テーブル
の各エントリは、暗号処理および復号処理の開始時点で
未使用を示す値にクリアされる。図２（ｂ）では、×の
記号が未使用を示す。使用エントリ管理部３１２は、暗
号処理または復号処理の過程で、攻撃される可能性の高
い換字テーブルのエントリが参照される毎に、対応する
管理テーブルの対応するエントリを使用済みを示す値に
変更する。図２（ｂ）では、○の記号が使用済みを示
す。つまり、○の記号が付けられたエントリに対応する
換字テーブルエントリは動作エントリであることが示さ
れる。
【００５０】不使用エントリロード部３１３は、実際の
暗号処理または復号処理でもはや換字テーブル３０５が
参照されなくなった時点で、図２（ｂ）の管理テーブル
を参照し、攻撃対象とされる可能性の高い換字テーブル
毎に、参照されなかったエントリの全てをロード（参
照、リード）する命令を実行する。
暗号処理または復号処理でもはや換字テーブル３０５が
参照されなくなった時点で、図２（ｂ）の管理テーブル
を参照し、攻撃対象とされる可能性の高い換字テーブル
毎に、参照されなかったエントリの全てをロード（参
照、リード）する命令を実行する。
【００５１】次に本実施の形態の効果を説明する。今、
攻撃対象とされる可能性の高い換字テーブルとして、Ｍ
ＩＳＴＹ１の換字テーブルＳ９を考える。この換字テー
ブルＳ９のエントリ総数は５１２、１文の暗号化または
復号化で動作するエントリ数（最大動作エントリ数）は
４８である。図１８で説明したように攻撃者は、暗号プ
ログラム３Ｂの起動前に換字テーブルＳ９をクリアする
ため、１つの平文を暗号化する際の換字テーブルＳ９の
キャッシュミスヒット回数の最大値は４８になる。ま
た、実際上は出現しないかも知れないが、１つの平文を
暗号化する際の換字テーブルＳ９のキャッシュミスヒッ
ト回数の最小数を１とする。
攻撃対象とされる可能性の高い換字テーブルとして、Ｍ
ＩＳＴＹ１の換字テーブルＳ９を考える。この換字テー
ブルＳ９のエントリ総数は５１２、１文の暗号化または
復号化で動作するエントリ数（最大動作エントリ数）は
４８である。図１８で説明したように攻撃者は、暗号プ
ログラム３Ｂの起動前に換字テーブルＳ９をクリアする
ため、１つの平文を暗号化する際の換字テーブルＳ９の
キャッシュミスヒット回数の最大値は４８になる。ま
た、実際上は出現しないかも知れないが、１つの平文を
暗号化する際の換字テーブルＳ９のキャッシュミスヒッ
ト回数の最小数を１とする。
【００５２】キャッシュミスヒット回数が最大の４８の
場合、動作エントリ数も４８なので、不使用エントリロ
ード部３１３は、５１２−４８＝４６４エントリをリー
ドする。このときのキャッシュミスヒット回数は、既に
４８エントリのキャッシュミスヒットにより換字エント
リＳ９の未だ参照されていない他の多くのエントリがキ
ャッシュ４に存在するため、「小さな数の或る回数」と
なる。他方、キャッシュミスヒット回数が最小の１の場
合、動作エントリ数も１なので、不使用エントリロード
部３１３は、５１２−１＝５１１エントリをリードす
る。このときのキャッシュミスヒット回数は、未だ１エ
ントリのキャッシュミスしか起こしていないので換字エ
ントリＳ９の未だ参照されていない他の多くのエントリ
はキャッシュ４に存在しないため、「大きな数の或る回
数」となる。従って、最終的なキャッシュミスヒット回
数は、キャッシュミスヒット回数が最大の４８の場合、
４８＋「小さな数の或る回数」となり、キャッシュミス
ヒット回数が最小の１の場合、１＋「大きな数の或る回
数」となり、両者は均一化される傾向を示す。このた
め、第１の実施の形態と同様の理由で、キャッシュ攻撃
型暗号解読法に対する防御が可能になる。
場合、動作エントリ数も４８なので、不使用エントリロ
ード部３１３は、５１２−４８＝４６４エントリをリー
ドする。このときのキャッシュミスヒット回数は、既に
４８エントリのキャッシュミスヒットにより換字エント
リＳ９の未だ参照されていない他の多くのエントリがキ
ャッシュ４に存在するため、「小さな数の或る回数」と
なる。他方、キャッシュミスヒット回数が最小の１の場
合、動作エントリ数も１なので、不使用エントリロード
部３１３は、５１２−１＝５１１エントリをリードす
る。このときのキャッシュミスヒット回数は、未だ１エ
ントリのキャッシュミスしか起こしていないので換字エ
ントリＳ９の未だ参照されていない他の多くのエントリ
はキャッシュ４に存在しないため、「大きな数の或る回
数」となる。従って、最終的なキャッシュミスヒット回
数は、キャッシュミスヒット回数が最大の４８の場合、
４８＋「小さな数の或る回数」となり、キャッシュミス
ヒット回数が最小の１の場合、１＋「大きな数の或る回
数」となり、両者は均一化される傾向を示す。このた
め、第１の実施の形態と同様の理由で、キャッシュ攻撃
型暗号解読法に対する防御が可能になる。
【００５３】以上の説明では、キャッシュ型攻撃暗号解
読法で攻撃される可能性の高い換字テーブルについてだ
け不使用エントリ分のロードを実行したが、全ての換字
テーブルを対象にして同様のロードを実行しても良い。
読法で攻撃される可能性の高い換字テーブルについてだ
け不使用エントリ分のロードを実行したが、全ての換字
テーブルを対象にして同様のロードを実行しても良い。
【００５４】
【発明の第３の実施の形態】図３を参照すると、本発明
の第３の実施の形態にかかる暗号装置は、図２（ａ）の
第２の実施の形態にかかる暗号装置と比較して、暗号プ
ログラム３Ｃに、不使用エントリロード部３１３の代わ
りに、換字テーブル３０５の使用エントリの最大数と暗
号処理または復号処理で実際に使用されたエントリ数の
差分である不足エントリ数だけキャッシュミスヒットを
発生させるキャッシュミスヒット発生部３１４を備えて
いる。ここで、使用エントリ管理部３１２とキャッシュ
ミスヒット発生部３１４とで調整手段を構成する。以
下、第２の実施の形態の暗号装置との相違点を中心に、
本実施の形態の構成と動作を説明する。
の第３の実施の形態にかかる暗号装置は、図２（ａ）の
第２の実施の形態にかかる暗号装置と比較して、暗号プ
ログラム３Ｃに、不使用エントリロード部３１３の代わ
りに、換字テーブル３０５の使用エントリの最大数と暗
号処理または復号処理で実際に使用されたエントリ数の
差分である不足エントリ数だけキャッシュミスヒットを
発生させるキャッシュミスヒット発生部３１４を備えて
いる。ここで、使用エントリ管理部３１２とキャッシュ
ミスヒット発生部３１４とで調整手段を構成する。以
下、第２の実施の形態の暗号装置との相違点を中心に、
本実施の形態の構成と動作を説明する。
【００５５】第２の実施の形態と同様に使用エントリ管
理部３１２は、図２（ｂ）に示したような管理テーブル
によって、キャッシュ攻撃型暗号解読法によって攻撃さ
れる可能性の高い換字テーブル毎に、暗号処理または復
号処理で実際に使用されたエントリを管理している。キ
ャッシュミスヒット発生部３１４は、実際の暗号処理ま
たは復号処理でもはや換字テーブル３０５が参照されな
くなった時点で、図２（ｂ）の管理テーブルを参照し、
攻撃対象とされる可能性の高い換字テーブル毎に、使用
エントリの最大数と使用されたエントリ数の差分である
不足エントリ数を算出する。そして、その不足エントリ
数の総数だけ、キャッシュミスヒットを発生させる処理
を実行する。この処理は、例えばメモリ２上に暗号化お
よび復号化で使わないデータ領域を設定しておき、キャ
ッシュ４に一度に読み込まれるデータサイズ以上の間隔
でリード要求を発行することで可能である。
理部３１２は、図２（ｂ）に示したような管理テーブル
によって、キャッシュ攻撃型暗号解読法によって攻撃さ
れる可能性の高い換字テーブル毎に、暗号処理または復
号処理で実際に使用されたエントリを管理している。キ
ャッシュミスヒット発生部３１４は、実際の暗号処理ま
たは復号処理でもはや換字テーブル３０５が参照されな
くなった時点で、図２（ｂ）の管理テーブルを参照し、
攻撃対象とされる可能性の高い換字テーブル毎に、使用
エントリの最大数と使用されたエントリ数の差分である
不足エントリ数を算出する。そして、その不足エントリ
数の総数だけ、キャッシュミスヒットを発生させる処理
を実行する。この処理は、例えばメモリ２上に暗号化お
よび復号化で使わないデータ領域を設定しておき、キャ
ッシュ４に一度に読み込まれるデータサイズ以上の間隔
でリード要求を発行することで可能である。
【００５６】次に本実施の形態の効果を説明する。今、
攻撃対象とされる可能性の高い換字テーブルとして、Ｍ
ＩＳＴＹ１の換字テーブルＳ９を考える。この換字テー
ブルＳ９のエントリ総数は５１２、最大動作エントリ数
は４８である。図１８で説明したように攻撃者は、暗号
プログラム３Ｃの起動前に換字テーブルＳ９をクリアす
るため、１つの平文を暗号化する際の換字テーブルＳ９
のキャッシュミスヒット回数の最大値は４８である。ま
た、最小数は第２の実施の形態と同様に１を想定する。
攻撃対象とされる可能性の高い換字テーブルとして、Ｍ
ＩＳＴＹ１の換字テーブルＳ９を考える。この換字テー
ブルＳ９のエントリ総数は５１２、最大動作エントリ数
は４８である。図１８で説明したように攻撃者は、暗号
プログラム３Ｃの起動前に換字テーブルＳ９をクリアす
るため、１つの平文を暗号化する際の換字テーブルＳ９
のキャッシュミスヒット回数の最大値は４８である。ま
た、最小数は第２の実施の形態と同様に１を想定する。
【００５７】キャッシュミスヒット回数が最大の４８の
場合、動作エントリ数も４８なので、キャッシュミスヒ
ット発生部３１４は、不足エントリ数として、４８−４
８＝０を算出する。従って、この場合はキャッシュミス
ヒットはもはや１回も発生させない。他方、キャッシュ
ミスヒット回数が最小の１の場合、動作エントリ数も１
なので、キャッシュミスヒット発生部３１４は、不足エ
ントリ数として、４８−１＝４７を算出する。そして、
４７回だけキャッシュミスヒットを発生させる。従っ
て、最終的なキャッシュミスヒット回数の総数は１＋４
７＝４８となり、両者は均一化される。このため、第２
の実施の形態と同様の理由で、キャッシュ攻撃型暗号解
読法に対する防御が可能になる。
場合、動作エントリ数も４８なので、キャッシュミスヒ
ット発生部３１４は、不足エントリ数として、４８−４
８＝０を算出する。従って、この場合はキャッシュミス
ヒットはもはや１回も発生させない。他方、キャッシュ
ミスヒット回数が最小の１の場合、動作エントリ数も１
なので、キャッシュミスヒット発生部３１４は、不足エ
ントリ数として、４８−１＝４７を算出する。そして、
４７回だけキャッシュミスヒットを発生させる。従っ
て、最終的なキャッシュミスヒット回数の総数は１＋４
７＝４８となり、両者は均一化される。このため、第２
の実施の形態と同様の理由で、キャッシュ攻撃型暗号解
読法に対する防御が可能になる。
【００５８】以上の説明では、キャッシュ型攻撃暗号解
読法で攻撃される可能性の高い換字テーブルについてだ
け不足エントリ分のキャッシュミスヒットを発生させた
が、全ての換字テーブルを対象にして同様のキャッシュ
ミスヒットを発生させるようにしても良い。
読法で攻撃される可能性の高い換字テーブルについてだ
け不足エントリ分のキャッシュミスヒットを発生させた
が、全ての換字テーブルを対象にして同様のキャッシュ
ミスヒットを発生させるようにしても良い。
【００５９】
【発明の第４の実施の形態】図４（ａ）を参照すると、
本発明の第４の実施の形態にかかる暗号装置は、図２
（ａ）の第２の実施の形態にかかる暗号装置と比較し
て、暗号プログラム３Ｄに、使用エントリ管理部３１２
および不使用エントリロード部３１３の代わりに、暗号
処理または復号処理で換字テーブル３０５のエントリに
キャッシュヒットした回数を管理する使用エントリ管理
部３１５および前記キャッシュヒットした回数だけキャ
ッシュミスヒットを発生させるキャッシュミスヒット発
生部３１６とを備えている。ここで、使用エントリ管理
部３１５とキャッシュミスヒット発生部３１６とで調整
手段を構成する。以下、第２の実施の形態の暗号装置と
の相違点を中心に、本実施の形態の構成と動作を説明す
る。
本発明の第４の実施の形態にかかる暗号装置は、図２
（ａ）の第２の実施の形態にかかる暗号装置と比較し
て、暗号プログラム３Ｄに、使用エントリ管理部３１２
および不使用エントリロード部３１３の代わりに、暗号
処理または復号処理で換字テーブル３０５のエントリに
キャッシュヒットした回数を管理する使用エントリ管理
部３１５および前記キャッシュヒットした回数だけキャ
ッシュミスヒットを発生させるキャッシュミスヒット発
生部３１６とを備えている。ここで、使用エントリ管理
部３１５とキャッシュミスヒット発生部３１６とで調整
手段を構成する。以下、第２の実施の形態の暗号装置と
の相違点を中心に、本実施の形態の構成と動作を説明す
る。
【００６０】図４（ｂ）は使用エントリ管理部３１５に
備わる管理テーブルの一例を示す。この管理テーブル
は、キャッシュ攻撃型暗号解読法によって攻撃される可
能性の高い換字テーブル毎に対応して設けられ、対応す
る換字テーブルと同数のエントリを持つ。管理テーブル
の各エントリは、暗号処理および復号処理の開始時点で
０の値にクリアされる。使用エントリ管理部３１５は、
暗号処理または復号処理の過程で、攻撃される可能性の
高い換字テーブルのエントリが参照される毎に、対応す
る管理テーブルの対応するエントリの値を＋１する。
備わる管理テーブルの一例を示す。この管理テーブル
は、キャッシュ攻撃型暗号解読法によって攻撃される可
能性の高い換字テーブル毎に対応して設けられ、対応す
る換字テーブルと同数のエントリを持つ。管理テーブル
の各エントリは、暗号処理および復号処理の開始時点で
０の値にクリアされる。使用エントリ管理部３１５は、
暗号処理または復号処理の過程で、攻撃される可能性の
高い換字テーブルのエントリが参照される毎に、対応す
る管理テーブルの対応するエントリの値を＋１する。
【００６１】キャッシュミスヒット発生部３１６は、実
際の暗号処理または復号処理でもはや換字テーブル３０
５が参照されなくなった時点で、図４（ｂ）の管理テー
ブルを参照し、攻撃対象とされる可能性の高い換字テー
ブル毎に、キャッシュヒットした回数の総数を求め、そ
の総数だけキャッシュミスヒットを発生させる。この処
理は、第３の実施の形態のキャッシュミスヒット発生部
３１４と同様に行える。
際の暗号処理または復号処理でもはや換字テーブル３０
５が参照されなくなった時点で、図４（ｂ）の管理テー
ブルを参照し、攻撃対象とされる可能性の高い換字テー
ブル毎に、キャッシュヒットした回数の総数を求め、そ
の総数だけキャッシュミスヒットを発生させる。この処
理は、第３の実施の形態のキャッシュミスヒット発生部
３１４と同様に行える。
【００６２】次に本実施の形態の効果を説明する。今、
攻撃対象とされる可能性の高い換字テーブルとして、Ｍ
ＩＳＴＹ１の換字テーブルＳ９を考える。この換字テー
ブルＳ９のエントリ総数は５１２、最大動作エントリ数
は４８である。図１８で説明したように攻撃者は、暗号
プログラム３Ｄの起動前に換字テーブルＳ９をクリアす
るため、１つの平文を暗号化する際の換字テーブルＳ９
のキャッシュミスヒット回数の最大値は４８である。ま
た、最小数は第２の実施の形態と同様に１を想定する。
攻撃対象とされる可能性の高い換字テーブルとして、Ｍ
ＩＳＴＹ１の換字テーブルＳ９を考える。この換字テー
ブルＳ９のエントリ総数は５１２、最大動作エントリ数
は４８である。図１８で説明したように攻撃者は、暗号
プログラム３Ｄの起動前に換字テーブルＳ９をクリアす
るため、１つの平文を暗号化する際の換字テーブルＳ９
のキャッシュミスヒット回数の最大値は４８である。ま
た、最小数は第２の実施の形態と同様に１を想定する。
【００６３】キャッシュミスヒット回数が最大の４８の
場合、動作エントリ数も４８なので、図４（ｂ）の管理
テーブルのエントリの値は、何れか４８個のエントリだ
けが値１を示し、他の全てのエントリは値０になる。キ
ャッシュミスヒット発生部３１６は、キャッシュヒット
回数の総数として、２以上の値を持つエントリ毎に、そ
のエントリの値から１を引いた値を計算し、その結果を
合計する。従って、今の場合は０になる。従って、キャ
ッシュミスヒット発生部３１６は１回もキャッシュミス
ヒットを発生させない。この結果、キャッシュミスヒッ
ト回数の総数は４８となる。他方、キャッシュミスヒッ
ト回数が最小の１の場合、動作エントリ数も１なので、
図４（ｂ）の管理テーブルのエントリの値は、何れか１
つのエントリの値が４８になり、他の全てのエントリは
値０になる。従って、キャッシュミスヒット発生部３１
４は、キャッシュヒット回数として、４８−１＝４７を
求め、キャッシュミスヒットを４７回発生させる。この
結果、最終的なキャッシュミスヒット回数の総数は１＋
４７＝４８となり、両者は均一化される。このため、第
２の実施の形態と同様の理由で、キャッシュ攻撃型暗号
解読法に対する防御が可能になる。
場合、動作エントリ数も４８なので、図４（ｂ）の管理
テーブルのエントリの値は、何れか４８個のエントリだ
けが値１を示し、他の全てのエントリは値０になる。キ
ャッシュミスヒット発生部３１６は、キャッシュヒット
回数の総数として、２以上の値を持つエントリ毎に、そ
のエントリの値から１を引いた値を計算し、その結果を
合計する。従って、今の場合は０になる。従って、キャ
ッシュミスヒット発生部３１６は１回もキャッシュミス
ヒットを発生させない。この結果、キャッシュミスヒッ
ト回数の総数は４８となる。他方、キャッシュミスヒッ
ト回数が最小の１の場合、動作エントリ数も１なので、
図４（ｂ）の管理テーブルのエントリの値は、何れか１
つのエントリの値が４８になり、他の全てのエントリは
値０になる。従って、キャッシュミスヒット発生部３１
４は、キャッシュヒット回数として、４８−１＝４７を
求め、キャッシュミスヒットを４７回発生させる。この
結果、最終的なキャッシュミスヒット回数の総数は１＋
４７＝４８となり、両者は均一化される。このため、第
２の実施の形態と同様の理由で、キャッシュ攻撃型暗号
解読法に対する防御が可能になる。
【００６４】以上の説明では、キャッシュ型攻撃暗号解
読法で攻撃される可能性の高い換字テーブルについてだ
けキャッシュヒット回数分のキャッシュミスヒットを発
生させたが、全ての換字テーブルを対象にして同様のキ
ャッシュミスヒットを発生させるようにしても良い。
読法で攻撃される可能性の高い換字テーブルについてだ
けキャッシュヒット回数分のキャッシュミスヒットを発
生させたが、全ての換字テーブルを対象にして同様のキ
ャッシュミスヒットを発生させるようにしても良い。
【００６５】また、本実施の形態では、キャッシュヒッ
トした回数分のキャッシュミスヒットをキャッシュミス
ヒット発生部３１６でまとめて発生したが、他の実施の
形態として、使用エントリ管理部３１５にキャッシュミ
スヒットを発生させる機能を持たせ、キャッシュヒット
が発生する毎に、つまり図４（ｂ）の管理テーブルの或
るエントリの値を＋１したときに２以上の値となる毎
に、１回だけキャッシュミスヒットを発生させるように
しても良い。
トした回数分のキャッシュミスヒットをキャッシュミス
ヒット発生部３１６でまとめて発生したが、他の実施の
形態として、使用エントリ管理部３１５にキャッシュミ
スヒットを発生させる機能を持たせ、キャッシュヒット
が発生する毎に、つまり図４（ｂ）の管理テーブルの或
るエントリの値を＋１したときに２以上の値となる毎
に、１回だけキャッシュミスヒットを発生させるように
しても良い。
【００６６】
【発明の第５の実施の形態】図５を参照すると、本発明
の第５の実施の形態にかかる暗号装置は、図１０に示し
た従来の暗号装置と比較して、暗号プログラム３Ｅは、
換字テーブル３０５が１つの平文または１つの暗号文の
暗号処理または復号処理でｎ回参照される場合に、換字
テーブル３０５と同じ内容を持つｎ個の換字テーブル３
０５−１〜３０５−ｎを備え、データ変換部３０４は、
１つの平文または１つの暗号文の暗号処理または復号処
理において換字テーブル３０５を参照する場合、各参照
毎にそれぞれ異なる換字テーブル３０５−１〜３０５−
ｎを参照するように構成される点で相違する。
の第５の実施の形態にかかる暗号装置は、図１０に示し
た従来の暗号装置と比較して、暗号プログラム３Ｅは、
換字テーブル３０５が１つの平文または１つの暗号文の
暗号処理または復号処理でｎ回参照される場合に、換字
テーブル３０５と同じ内容を持つｎ個の換字テーブル３
０５−１〜３０５−ｎを備え、データ変換部３０４は、
１つの平文または１つの暗号文の暗号処理または復号処
理において換字テーブル３０５を参照する場合、各参照
毎にそれぞれ異なる換字テーブル３０５−１〜３０５−
ｎを参照するように構成される点で相違する。
【００６７】この第５の実施の形態によれば、１つの平
文または１つの暗号文の暗号処理または復号処理におい
て、データ変換部３０４は、換字テーブル３０５を参照
する場合、各参照毎にそれぞれ異なる換字テーブル３０
５−１〜３０５−ｎを参換するため、何回必ずキャッシ
ュミスヒットが発生する。このため、任意の平文または
暗号文について、換字テーブルに対するキャッシュミス
ヒット回数を均一化することができる。従って、キャッ
シュ攻撃型暗号解読法による攻撃を防御することができ
る。
文または１つの暗号文の暗号処理または復号処理におい
て、データ変換部３０４は、換字テーブル３０５を参照
する場合、各参照毎にそれぞれ異なる換字テーブル３０
５−１〜３０５−ｎを参換するため、何回必ずキャッシ
ュミスヒットが発生する。このため、任意の平文または
暗号文について、換字テーブルに対するキャッシュミス
ヒット回数を均一化することができる。従って、キャッ
シュ攻撃型暗号解読法による攻撃を防御することができ
る。
【００６８】同じ内容の換字テーブルをｎ個独立して備
えるようにする換字テーブルは、キャッシュ型攻撃暗号
解読法で攻撃される可能性の高い換字テーブルのみとす
る構成以外に、全ての換字テーブルを対象に複数備える
構成が考えられる。
えるようにする換字テーブルは、キャッシュ型攻撃暗号
解読法で攻撃される可能性の高い換字テーブルのみとす
る構成以外に、全ての換字テーブルを対象に複数備える
構成が考えられる。
【００６９】
【発明の第６の実施の形態】図６を参照すると、本発明
の第６の実施の形態にかかる暗号装置の前提となる装置
は、図１０の従来の暗号装置と比較して、暗号プログラ
ム３Ｆに、暗号処理および復号処理の開始時に内部のタ
イマＴを起動するタイマ起動部３２１と、暗号処理およ
び復号処理の終了時にタイマＴのタイマ値が予め設定さ
れた暗号処理または復号処理の最大時間Ｔmaxより短い
かどうかを判定する判定部３２２と、タイマＴのタイマ
値が最大時間Ｔmaxより短い場合に、その差の時間「Ｔm
ax−Ｔ」だけ暗号処理または復号処理の時間を延長する
ためにウエイトを行うウエイト部３２３とを備えてい
る。ここで、タイマ起動部３２１と判定部３２２とウエ
イト部３２３とで調整手段を構成する。
の第６の実施の形態にかかる暗号装置の前提となる装置
は、図１０の従来の暗号装置と比較して、暗号プログラ
ム３Ｆに、暗号処理および復号処理の開始時に内部のタ
イマＴを起動するタイマ起動部３２１と、暗号処理およ
び復号処理の終了時にタイマＴのタイマ値が予め設定さ
れた暗号処理または復号処理の最大時間Ｔmaxより短い
かどうかを判定する判定部３２２と、タイマＴのタイマ
値が最大時間Ｔmaxより短い場合に、その差の時間「Ｔm
ax−Ｔ」だけ暗号処理または復号処理の時間を延長する
ためにウエイトを行うウエイト部３２３とを備えてい
る。ここで、タイマ起動部３２１と判定部３２２とウエ
イト部３２３とで調整手段を構成する。
【００７０】上記の最大時間Ｔmaxとしては、例えば、
図１５に示したような暗号化時間分布における最大の暗
号化時間が用いられる。勿論、その最大の暗号化時間よ
り若干長い時間を設定しても良い。
図１５に示したような暗号化時間分布における最大の暗
号化時間が用いられる。勿論、その最大の暗号化時間よ
り若干長い時間を設定しても良い。
【００７１】図６の前提装置によれば、１つの平文また
は１つの暗号文の暗号処理または復号処理における暗号
処理時間および復号処理時間が、任意の平文または暗号
文についてほぼ均一化するため、図１５の暗号化時間分
布が最大の暗号化時間の箇所に集中する。このため、キ
ャッシュ攻撃型暗号解読法による攻撃を防御することが
できる。
は１つの暗号文の暗号処理または復号処理における暗号
処理時間および復号処理時間が、任意の平文または暗号
文についてほぼ均一化するため、図１５の暗号化時間分
布が最大の暗号化時間の箇所に集中する。このため、キ
ャッシュ攻撃型暗号解読法による攻撃を防御することが
できる。
【００７２】さて、図７を参照すると、本発明の第６の
実施の形態にかかる暗号装置は、図６の前提装置と比較
して、暗号プログラム３Ｇに、ウエイト部３２３に代え
て、予め定められた一定時間Ｔcだけウエイトを行うウ
エイト部３２４を備えている。ここで、一定時間Ｔcと
しては、例えば、図１５に示したような暗号化時間分布
における最大暗号時間の半分の時間を用いる。勿論、そ
れより若干長い時間、短い時間を設定しても良い。ここ
で、タイマ起動部３２１と判定部３２２とウエイト部３
２４とで調整手段を構成する。
実施の形態にかかる暗号装置は、図６の前提装置と比較
して、暗号プログラム３Ｇに、ウエイト部３２３に代え
て、予め定められた一定時間Ｔcだけウエイトを行うウ
エイト部３２４を備えている。ここで、一定時間Ｔcと
しては、例えば、図１５に示したような暗号化時間分布
における最大暗号時間の半分の時間を用いる。勿論、そ
れより若干長い時間、短い時間を設定しても良い。ここ
で、タイマ起動部３２１と判定部３２２とウエイト部３
２４とで調整手段を構成する。
【００７３】本実施の形態の暗号装置によれば、図１５
に示した暗号化時間分布の中央部分の山が最大の暗号時
間の箇所に移動し、真に最大暗号時間を与えた平文に混
合される。このため、キャッシュ型攻撃暗号解読法の要
である鍵差分を抽出する際に用いる平文の抽出が困難と
なる。その結果、鍵差分を決定できず、結果として鍵の
解読が困難となる。
に示した暗号化時間分布の中央部分の山が最大の暗号時
間の箇所に移動し、真に最大暗号時間を与えた平文に混
合される。このため、キャッシュ型攻撃暗号解読法の要
である鍵差分を抽出する際に用いる平文の抽出が困難と
なる。その結果、鍵差分を決定できず、結果として鍵の
解読が困難となる。
【００７４】
【発明の第７の実施の形態】図８を参照すると、本発明
の第７の実施の形態にかかる暗号装置は、図７の第６の
実施の形態の暗号装置と比較して、暗号プログラム３Ｈ
に、ウエイト部３２４に代えて、０か１の何れかの値を
とる乱数ｒを無作為に生成する乱数生成部３２５、生成
した乱数ｒが０か否かを判定する判定部３２６、乱数ｒ
が０の場合に、ウエイト時間ｔを乱数によって生成する
ウエイト時間生成部３２７、生成されたウエイト時間ｔ
だけウエイトを行うウエイト部３２８を備えている。こ
こで、タイマ起動部３２１と判定部３２２、３２６と、
乱数生成部３２５とウエイト時間生成部３２７とウエイ
ト部３２８とで調整手段を構成する。ウエイト時間生成
部３２７は、図１５に示したような暗号化時間分布にお
けるほぼ最大暗号時間から時間０の範囲内で、ウエイト
時間ｔを無作為に生成する。
の第７の実施の形態にかかる暗号装置は、図７の第６の
実施の形態の暗号装置と比較して、暗号プログラム３Ｈ
に、ウエイト部３２４に代えて、０か１の何れかの値を
とる乱数ｒを無作為に生成する乱数生成部３２５、生成
した乱数ｒが０か否かを判定する判定部３２６、乱数ｒ
が０の場合に、ウエイト時間ｔを乱数によって生成する
ウエイト時間生成部３２７、生成されたウエイト時間ｔ
だけウエイトを行うウエイト部３２８を備えている。こ
こで、タイマ起動部３２１と判定部３２２、３２６と、
乱数生成部３２５とウエイト時間生成部３２７とウエイ
ト部３２８とで調整手段を構成する。ウエイト時間生成
部３２７は、図１５に示したような暗号化時間分布にお
けるほぼ最大暗号時間から時間０の範囲内で、ウエイト
時間ｔを無作為に生成する。
【００７５】本実施の形態の暗号装置によれば、図１５
に示した暗号化時間分布の特性が不定なものとなり、真
に最大暗号時間を与えた平文とそれ以外の平文とが同じ
暗号時間帯に出現する。このため、キャッシュ型攻撃暗
号解読法の要である鍵差分を抽出する際に用いる平文の
抽出が困難となり、その結果、鍵差分を決定できず、結
果として鍵の解読が困難となる。
に示した暗号化時間分布の特性が不定なものとなり、真
に最大暗号時間を与えた平文とそれ以外の平文とが同じ
暗号時間帯に出現する。このため、キャッシュ型攻撃暗
号解読法の要である鍵差分を抽出する際に用いる平文の
抽出が困難となり、その結果、鍵差分を決定できず、結
果として鍵の解読が困難となる。
【００７６】
【００７７】
【００７８】
【００７９】
【００８０】
【００８１】
【００８２】
【００８３】
【００８４】
【００８５】
【００８６】
【００８７】
【００８８】
【発明の効果】以上説明したように本発明によれば、キ
ャッシュ攻撃型暗号解読法という新たな暗号解読法によ
る攻撃によって秘密鍵を推測されることを防止すること
ができるという効果が得られる。
ャッシュ攻撃型暗号解読法という新たな暗号解読法によ
る攻撃によって秘密鍵を推測されることを防止すること
ができるという効果が得られる。
【図１】本発明の第１の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図２】本発明の第２の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図３】本発明の第３の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図４】本発明の第４の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図５】本発明の第５の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図６】本発明の第６の実施の形態にかかる暗号装置の
前提となる装置の構成図である。
前提となる装置の構成図である。
【図７】本発明の第６の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図８】本発明の第７の実施の形態にかかる暗号装置の
構成図である。
構成図である。
【図９】換字テーブルの構成例を示す図である。
【図１０】従来の暗号装置の構成図である。
【図１１】キャッシュ攻撃型暗号解読法の原理説明図で
ある。
ある。
【図１２】キャッシュ攻撃型暗号解読法による鍵差分値
の決定方法の説明図である。
の決定方法の説明図である。
【図１３】ＭＩＳＴＹ１のデータランダム化部の構成を
示す図である。
示す図である。
【図１４】ＭＩＳＴＹ１のデータランダム化部で使用さ
れるＦＯｉ関数と、さらにこのＦＯｉ関数で使用される
ＦＩｉｊ関数の構成を示す図である。
れるＦＯｉ関数と、さらにこのＦＯｉ関数で使用される
ＦＩｉｊ関数の構成を示す図である。
【図１５】暗号化時間分布を示す図である。
【図１６】ＭＩＳＴＹ１で使われる換字テーブルＳ９の
動作エントリ数と暗号化時間との関係を示す図である。
動作エントリ数と暗号化時間との関係を示す図である。
【図１７】ＭＩＳＴＹ１で使われる換字テーブルＳ７の
動作エントリ数と暗号化時間との関係を示す図である。
動作エントリ数と暗号化時間との関係を示す図である。
【図１８】暗号過程で換字テーブルＳ９の全エントリが
ほぼ参照される可能性の高い平文の集合を抽出する処理
例を示すフローチャートである。
ほぼ参照される可能性の高い平文の集合を抽出する処理
例を示すフローチャートである。
１…ＣＰＵ
２…メモリ（主記憶）
３、３Ａ〜３Ｋ…暗号プログラム
４…キャッシュ
５…プロセッサバス
６…メモリバス
─────────────────────────────────────────────────────
フロントページの続き
(56)参考文献 Ｄ．Ｐａｇｅ，Ｔｈｅｏｒｅｔｉｃａ
ｌ Ｕｓｅ ｏｆ Ｃａｃｈｅ Ｍｅｍ
ｏｒｙ ａｓ ａ Ｃｒｙｐｔａｎａｌ
ｙｔｉｃ Ｓｉｄｅ−Ｃｈａｎｎｅｌ,
Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ Ｃ
ＳＴＲ−02−003，Ｄｅｐａｒｔｍｅｎ
ｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅ
ｎｃｅ， Ｕｎｉｖｅｒｓｉｔｙ ｏ
ｆ Ｂｒｉ，ＵＲＬ，ｈｔｔｐ：／／ｗ
ｗｗ．ｃｓ．ｂｒｉｓ．ａｃ．ｕｋ／Ｔ
ｏｏｌｓ／Ｒｅｐｏｒｔｓ／Ａｂｓｔｒ
ａｃｔｓ／2002−ｐａｇｅ．ｈｔｍｌ
暗号とネットワークセキュリティ 理
論と実際，株式会社ピアソン・エデュケ
ーション，2001年 ９月25日，ｐ．210
−211
暗号最新事情11 新しい暗号攻撃法,
ｂｉｔ，Ｖｏｌ．28 Ｎｏ．11，ｐ．62
−66，２．４ タイミングアタックの回
避法
(58)調査した分野(Int.Cl.7，ＤＢ名)
G06C 1/00 610
H04L 9/10
ＪＩＣＳＴファイル（ＪＯＩＳ)
Claims (22)
- 【請求項１】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムをキャッ
シュ装備のコンピュータに実装した暗号装置において、
１つの平文または１つの暗号文の暗号処理または復号処
理における前記変換表に対するアクセス時のキャッシュ
ミスヒット回数を、任意の平文または暗号文についてほ
ぼ均一化する調整手段を備え、前記調整手段は、暗号処
理または復号処理で使用する複数の変換表をキャッシュ
にプリロードするプリロード手段を備え、前記プリロー
ド手段は、前記複数の変換表のうち攻撃対象とされる可
能性の高いものとして設定された変換表を他の変換表よ
り後にプリロードするものであることを特徴とする暗号
装置。 - 【請求項２】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムを、高い
優先度の付いたデータほどキャッシュから掃き出され難
くすることができるキャッシュ装備のコンピュータに実
装した暗号装置において、１つの平文または１つの暗号
文の暗号処理または復号処理における前記変換表に対す
るアクセス時のキャッシュミスヒット回数を、任意の平
文または暗号文についてほぼ均一化する調整手段を備
え、前記調整手段は、暗号処理または復号処理で使用す
る複数の変換表をキャッシュにプリロードするプリロー
ド手段を備え、前記プリロード手段は、前記複数の変換
表のうち攻撃対象とされる可能性の高いものとして設定
された変換表は高い優先度を設定してプリロードするも
のであることを特徴とする暗号装置。 - 【請求項３】 前記プリロード手段は、１つの平文また
は１つの暗号文の暗号処理または復号処理において同じ
変換表を複数の時点でプリロードするものであることを
特徴とする請求項１または２記載の暗号装置。 - 【請求項４】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムをキャッ
シュ装備のコンピュータに実装した暗号装置において、
１つの平文または１つの暗号文の暗号処理または復号処
理における前記変換表に対するアクセス時のキャッシュ
ミスヒット回数を、任意の平文または暗号文についてキ
ャッシュミスヒット回数が増加する方向に調整してほぼ
均一化する調整手段を備え、前記調整手段は、変換表の
エントリのうち暗号処理または復号処理で実際に使用さ
れたエントリを管理する使用エントリ管理手段と、変換
表のエントリのうち暗号処理または復号処理で実際に使
用されなかったエントリをアクセスする不使用エントリ
ロード手段とを備えたことを特徴とする暗号装置。 - 【請求項５】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムをキャッ
シュ装備のコンピュータに実装した暗号装置において、
１つの平文または１つの暗号文の暗号処理または復号処
理における前記変換表に対するアクセス時のキャッシュ
ミスヒット回数を、任意の平文または暗号文についてキ
ャッシュミスヒット回数が増加する方向に調整してほぼ
均一化する調整手段を備え、前記調整手段は、変換表の
エントリのうち暗号処理または復号処理で実際に使用さ
れたエントリを管理する使用エントリ管理手段と、変換
表の使用エントリの最大数と暗号処理または復号処理で
実際に使用されたエントリ数の差分だけキャッシュミス
ヒットを発生させるキャッシュミスヒット発生手段とを
備えたことを特徴とする暗号装置。 - 【請求項６】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムをキャッ
シュ装備のコンピュータに実装した暗号装置において、
１つの平文または１つの暗号文の暗号処理または復号処
理における前記変換表に対するアクセス時のキャッシュ
ミスヒット回数を、任意の平文または暗号文についてキ
ャッシュミスヒット回数が増加する方向に調整してほぼ
均一化する調整手段を備え、前記調整手段は、暗号処理
または復号処理で変換表のエントリにキャッシュヒット
した回数を管理する使用エントリ管理手段と、前記キャ
ッシュヒットした回数だけキャッシュミスヒットを発生
させるキャッシュミスヒット発生手段とを備えたことを
特徴とする暗号装置。 - 【請求項７】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムをキャッ
シュ装備のコンピュータに実装した暗号装置において、
１つの平文または１つの暗号文の暗号処理または復号処
理における前記変換表に対するアクセス時のキャッシュ
ミスヒット回数を、任意の平文または暗号文についてキ
ャッシュミスヒット回数が増加する方向に調整してほぼ
均一化する調整手段を備え、前記調整手段は、暗号処理
または復号処理で変換表のエントリにキャッシュヒット
する毎にキャッシュミスヒットを発生させる手段を備え
たことを特徴とする暗号装置。 - 【請求項８】 ビット列変換に使用する変換表を用いて
暗号処理または復号処理を行う暗号プログラムをキャッ
シュ装備のコンピュータに実装した暗号装置において、
１つの平文または１つの暗号文の暗号処理または復号処
理における前記変換表に対するアクセス時のキャッシュ
ミスヒット回数を、任意の平文または暗号文についてキ
ャッシュミスヒット回数が増加する方向に調整してほぼ
均一化する調整手段を備え、前記調整手段は、１つの平
文または１つの暗号文の暗号処理または復号処理で参照
される総回数がｎ回である同一内容の変換表をｎ個備
え、各参照毎にそれぞれ異なる変換表を参照させるもの
であることを特徴とする暗号装置。 - 【請求項９】 前記調整手段は、暗号処理または復号処
理で使用する複数の変換表のうち攻撃対象とされる可能
性の高いものとして設定された変換表のみを調整対象と
することを特徴とする請求項４乃至８の何れか１項に記
載の暗号装置。 - 【請求項１０】 攻撃対象とされる可能性の高い変換表
には、エントリ総数に対する参照総エントリ数の比であ
る利用率が小さな変換表を含むことを特徴とする請求項
９記載の暗号装置。 - 【請求項１１】 ビット列変換に使用する変換表を用い
て暗号処理または復号処理を行う暗号プログラムをキャ
ッシュ装備のコンピュータに実装した暗号装置におい
て、１つの平文または１つの暗号文の実質的な暗号処理
または復号処理に要した時間を計測する計測手段と、計
測された時間が予め設定された時間より短い場合、予め
設定された一定時間または無作為に決定した時間だけ暗
号処理または復号処理に要する時間を常に或いは無作為
に延長する延長手段とを含む調整手段を備えたことを特
徴とする暗号装置。 - 【請求項１２】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、暗号処理または復号処
理で使用する複数の変換表をキャッシュにプリロードす
る際に攻撃対象とされる可能性の高いものとして設定さ
れた変換表を他の変換表より後にプリロードするプリロ
ード手段を備え、１つの平文または１つの暗号文の暗号
処理または復号処理における前記攻撃対象とされる可能
性の高いものとして設定された変換表に対するアクセス
時のキャッシュミスヒット回数を、任意の平文または暗
号文についてほぼ均一化する調整手段を有する暗号装置
として機能させるための暗号プログラム。 - 【請求項１３】 高い優先度の付いたデータほどキャッ
シュから掃き出され難くすることができるキャッシュ装
備のコンピュータを、ビット列変換に使用する変換表を
用いて暗号処理または復号処理を行う暗号装置であっ
て、暗号処理または復号処理で使用する複数の変換表を
キャッシュにプリロードする際に攻撃対象とされる可能
性の高いものとして設定された変換表は高い優先度を設
定してプリロードするプリロード手段を備え、１つの平
文または１つの暗号文の暗号処理または復号処理におけ
る前記攻撃対象とされる可能性の高いものとして設定さ
れた前記変換表に対するアクセス時のキャッシュミスヒ
ット回数を、任意の平文または暗号文についてほぼ均一
化する調整手段を有する暗号装置として機能させるため
の暗号プログラム。 - 【請求項１４】 前記プリロード手段は、１つの平文ま
たは１つの暗号文の暗号処理または復号処理において同
じ変換表を複数の時点でプリロードするものであること
を特徴とする請求項１２または１３記載の暗号プログラ
ム。 - 【請求項１５】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、変換表のエントリのう
ち暗号処理または復号処理で実際に使用されたエントリ
を管理する使用エントリ管理手段と、変換表のエントリ
のうち暗号処理または復号処理で実際に使用されなかっ
たエントリをアクセスする不使用エントリロード手段と
を含み、１つの平文または１つの暗号文の暗号処理また
は復号処理における前記変換表に対するアクセス時のキ
ャッシュミスヒット回数を、任意の平文または暗号文に
ついてキャッシュミスヒット回数が増加する方向に調整
してほぼ均一化する調整手段を有する暗号装置として機
能させるための暗号プログラム。 - 【請求項１６】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、変換表のエントリのう
ち暗号処理または復号処理で実際に使用されたエントリ
を管理する使用エントリ管理手段と、変換表の使用エン
トリの最大数と暗号処理または復号処理で実際に使用さ
れたエントリ数の差分だけキャッシュミスヒットを発生
させるキャッシュミスヒット発生手段とを含み、１つの
平文または１つの暗号文の暗号処理または復号処理にお
ける前記変換表に対するアクセス時のキャッシュミスヒ
ット回数を、任意の平文または暗号文についてキャッシ
ュミスヒット回数が増加する方向に調整してほぼ均一化
する調整手段を有する暗号装置として機能させるための
暗号プログラム。 - 【請求項１７】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、暗号処理または復号処
理で変換表のエントリにキャッシュヒットした回数を管
理する使用エントリ管理手段と、前記キャッシュヒット
した回数だけキャッシュミスヒットを発生させるキャッ
シュミスヒット発生手段とを含み、１つの平文または１
つの暗号文の暗号処理または復号処理における前記変換
表に対するアクセス時のキャッシュミスヒット回数を、
任意の平文または暗号文についてキャッシュミスヒット
回数が増加する方向に調整してほぼ均一化する調整手段
を有する暗号装置として機能させるための暗号プログラ
ム。 - 【請求項１８】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、暗号処理または復号処
理で変換表のエントリにキャッシュヒットする毎にキャ
ッシュミスヒットを発生させる手段を含み、１つの平文
または１つの暗号文の暗号処理または復号処理における
前記変換表に対するアクセス時のキャッシュミスヒット
回数を、任意の平文または暗号文についてキャッシュミ
スヒット回数が増加する方向に調整してほぼ均一化する
調整手段を有する暗号装置として機能させるための暗号
プログラム。 - 【請求項１９】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、１つの平文または１つ
の暗号文の暗号処理または復号処理で参照される総回数
がｎ回である同一内容の変換表をｎ個備え、各参照毎に
それぞれ異なる変換表を参照させることにより、１つの
平文または１つの暗号文の暗号処理または復号処理にお
ける前記変換表に対するアクセス時のキャッシュミスヒ
ット回数を、任意の平文または暗号文についてキャッシ
ュミスヒット回数が増加する方向に調整してほぼ均一化
する調整手段を有する暗号装置として機能させるための
暗号プログラム。 - 【請求項２０】 前記調整手段は、暗号処理または復号
処理で使用する複数の変換表のうち攻撃対象とされる可
能性の高いものとして設定された変換表のみを調整対象
とすることを特徴とする請求項１５乃至１９の何れか１
項に記載の暗号プログラム。 - 【請求項２１】 攻撃対象とされる可能性の高い変換表
には、エントリ総数に対する参照総エントリ数の比であ
る利用率が小さな変換表を含むことを特徴とする請求項
２０記載の暗号プログラム。 - 【請求項２２】 キャッシュ装備のコンピュータを、ビ
ット列変換に使用する変換表を用いて暗号処理または復
号処理を行う暗号装置であって、１つの平文または１つ
の暗号文の実質的な暗号処理または復号処理に要した時
間を計測する計測手段と、計測された時間が予め設定さ
れた時間より短い場合、予め設定された一定時間または
無作為に決定した時間だけ暗号処理または復号処理に要
する時間を常に或いは無作為に延長する延長手段とを含
む調整手段を有する暗号装置として機能させるための暗
号プログラム。
Priority Applications (14)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002280469A JP3503638B1 (ja) | 2002-09-26 | 2002-09-26 | 暗号装置及び暗号プログラム |
| CA002607116A CA2607116A1 (en) | 2002-09-26 | 2003-09-25 | Data encryption system and method |
| CA002605376A CA2605376A1 (en) | 2002-09-26 | 2003-09-25 | Data encryption system and method |
| CA002442456A CA2442456C (en) | 2002-09-26 | 2003-09-25 | Data encryption system and method |
| US10/669,269 US7454016B2 (en) | 2002-09-26 | 2003-09-25 | Data encryption system and method |
| CA002605648A CA2605648A1 (en) | 2002-09-26 | 2003-09-25 | Data encryption system and method |
| SG200305740A SG115568A1 (en) | 2002-09-26 | 2003-09-26 | Data encryption system and method |
| AU2003248442A AU2003248442C1 (en) | 2002-09-26 | 2003-09-26 | Data Encryption System and Method |
| EP03021864.8A EP1404052B1 (en) | 2002-09-26 | 2003-09-26 | Data encryption system and method |
| KR1020030067008A KR100571445B1 (ko) | 2002-09-26 | 2003-09-26 | 데이터 암호 시스템 및 방법 |
| US12/189,847 US8306227B2 (en) | 2002-09-26 | 2008-08-12 | Data encryption system and method |
| AU2009208116A AU2009208116A1 (en) | 2002-09-26 | 2009-08-12 | Data encryption system and method |
| AU2009208117A AU2009208117A1 (en) | 2002-09-26 | 2009-08-12 | Data encryption system and method |
| AU2009208124A AU2009208124A1 (en) | 2002-09-26 | 2009-08-12 | Data encryption system and method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2002280469A JP3503638B1 (ja) | 2002-09-26 | 2002-09-26 | 暗号装置及び暗号プログラム |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP3503638B1 true JP3503638B1 (ja) | 2004-03-08 |
| JP2004120307A JP2004120307A (ja) | 2004-04-15 |
Family
ID=31973298
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2002280469A Expired - Lifetime JP3503638B1 (ja) | 2002-09-26 | 2002-09-26 | 暗号装置及び暗号プログラム |
Country Status (7)
| Country | Link |
|---|---|
| US (2) | US7454016B2 (ja) |
| EP (1) | EP1404052B1 (ja) |
| JP (1) | JP3503638B1 (ja) |
| KR (1) | KR100571445B1 (ja) |
| AU (4) | AU2003248442C1 (ja) |
| CA (1) | CA2442456C (ja) |
| SG (1) | SG115568A1 (ja) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2019124713A (ja) * | 2018-01-11 | 2019-07-25 | Ｎｅｃプラットフォームズ株式会社 | 暗号化装置、復号装置、回線暗号システム、暗号化方法およびプログラム |
Families Citing this family (25)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP4701166B2 (ja) * | 2004-04-26 | 2011-06-15 | パナソニック株式会社 | 暗号又は復号を行うコンピュータシステム及びコンピュータプログラム |
| EP1865481A1 (en) * | 2005-03-31 | 2007-12-12 | Matsushita Electric Industrial Co., Ltd. | Data encryption device and data encryption method |
| JP4364166B2 (ja) | 2005-06-30 | 2009-11-11 | 株式会社東芝 | キャッシュ装置 |
| US7610493B2 (en) * | 2005-08-31 | 2009-10-27 | Intel Corporation | System and methods for adapting to attacks on cryptographic processes on multiprocessor systems with shared cache |
| JP2007122843A (ja) | 2005-10-31 | 2007-05-17 | Toshiba Corp | 情報再生装置及び方法 |
| US20080052530A1 (en) * | 2006-02-16 | 2008-02-28 | International Business Machines Corporation | System and method to provide CPU smoothing of cryptographic function timings |
| US8607350B2 (en) * | 2006-03-30 | 2013-12-10 | International Business Machines Corporation | Sovereign information sharing service |
| US7681047B2 (en) | 2006-04-18 | 2010-03-16 | International Business Machines Corporation | Decryption of data in storage systems |
| US8687800B2 (en) * | 2006-08-15 | 2014-04-01 | Alcatel Lucent | Encryption method for message authentication |
| GB2448907B (en) * | 2007-05-02 | 2011-07-27 | Advanced Risc Mach Ltd | Reducng information leakage between processes sharing a cache |
| US8738926B2 (en) | 2008-01-10 | 2014-05-27 | Intel Mobile Communications GmbH | Data processing system, method for executing a cryptographic algorithm and method for preparing execution of a cryptographic algorithm |
| JP5056860B2 (ja) * | 2008-01-18 | 2012-10-24 | 富士通株式会社 | データ変換関数の処理装置 |
| EP2237246B1 (en) * | 2008-01-18 | 2018-02-28 | Fujitsu Limited | Encrypting device, encrypting method and program |
| US8654970B2 (en) * | 2009-03-31 | 2014-02-18 | Oracle America, Inc. | Apparatus and method for implementing instruction support for the data encryption standard (DES) algorithm |
| US9317286B2 (en) * | 2009-03-31 | 2016-04-19 | Oracle America, Inc. | Apparatus and method for implementing instruction support for the camellia cipher algorithm |
| US20100250965A1 (en) * | 2009-03-31 | 2010-09-30 | Olson Christopher H | Apparatus and method for implementing instruction support for the advanced encryption standard (aes) algorithm |
| US20100246815A1 (en) * | 2009-03-31 | 2010-09-30 | Olson Christopher H | Apparatus and method for implementing instruction support for the kasumi cipher algorithm |
| US8832464B2 (en) * | 2009-03-31 | 2014-09-09 | Oracle America, Inc. | Processor and method for implementing instruction support for hash algorithms |
| JP5387295B2 (ja) * | 2009-09-29 | 2014-01-15 | 富士通株式会社 | 暗号装置及び方法 |
| WO2014140698A1 (en) * | 2013-03-11 | 2014-09-18 | Indian Institute of Technology Kharagpur | Improved resistance to cache timing attacks on block cipher encryption |
| GB2522217A (en) * | 2014-01-16 | 2015-07-22 | Parcelhome Ltd | Electronic lock apparatus, method and system |
| CN104753684B (zh) * | 2015-04-15 | 2018-01-05 | 飞天诚信科技股份有限公司 | 一种实现数字签名和验签的方法 |
| CN108933650B (zh) | 2018-06-28 | 2020-02-14 | 阿里巴巴集团控股有限公司 | 数据加解密的方法及装置 |
| EP3805916A1 (en) * | 2019-10-10 | 2021-04-14 | Thales Dis France Sa | Method for performing mutualized calculations of multiple cryptographic operations |
| CZ202220A3 (cs) | 2022-01-17 | 2023-07-26 | Miroslav Tyrpa | Způsob kódování a dekódování textových a multimediálních zpráv a zařízení k uskutečnění tohoto způsobu |
Family Cites Families (22)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JPH01193665A (ja) * | 1988-01-28 | 1989-08-03 | Hitachi Electron Eng Co Ltd | 半導体テスター |
| US5241635A (en) * | 1988-11-18 | 1993-08-31 | Massachusetts Institute Of Technology | Tagged token data processing system with operand matching in activation frames |
| US4888741A (en) * | 1988-12-27 | 1989-12-19 | Harris Corporation | Memory with cache register interface structure |
| US5461674A (en) * | 1992-05-22 | 1995-10-24 | Zenith Electronics Corp. | Method and apparatus for controlling playback of recorded HDTV signals |
| US5493667A (en) * | 1993-02-09 | 1996-02-20 | Intel Corporation | Apparatus and method for an instruction cache locking scheme |
| US5752031A (en) * | 1995-04-24 | 1998-05-12 | Microsoft Corporation | Queue object for controlling concurrency in a computer system |
| JPH10222065A (ja) | 1997-02-03 | 1998-08-21 | Nippon Telegr & Teleph Corp <Ntt> | 冪乗剰余演算方法及び装置 |
| US6138209A (en) * | 1997-09-05 | 2000-10-24 | International Business Machines Corporation | Data processing system and multi-way set associative cache utilizing class predict data structure and method thereof |
| US20020059481A1 (en) * | 1998-12-30 | 2002-05-16 | Patrick O. Nunally | Method and apparatus for a multimedia application specific processor |
| KR100308211B1 (ko) * | 1999-03-27 | 2001-10-29 | 윤종용 | 압축 명령을 갖는 마이크로 컴퓨터 시스템 |
| JP2000305453A (ja) * | 1999-04-21 | 2000-11-02 | Nec Corp | 暗号化装置，復号装置，および暗号化・復号装置 |
| US6788811B1 (en) * | 1999-05-10 | 2004-09-07 | Ricoh Company, Ltd. | Coding apparatus, decoding apparatus, coding method, decoding method, amd computer-readable recording medium for executing the methods |
| WO2001052069A2 (de) | 2000-01-11 | 2001-07-19 | Infineon Technologies Ag | Speicherzugriffsverfahren und schaltungsanordung |
| DK1193665T3 (da) * | 2000-03-09 | 2012-04-02 | Mitsubishi Electric Corp | Blokkrypteringsindretning, som anvender hjælpekonvertering |
| US6725329B1 (en) * | 2000-04-19 | 2004-04-20 | Western Digital Technologies, Inc. | Cache control system and method having hardware-based tag record allocation |
| US6976090B2 (en) * | 2000-04-20 | 2005-12-13 | Actona Technologies Ltd. | Differentiated content and application delivery via internet |
| US6772348B1 (en) * | 2000-04-27 | 2004-08-03 | Microsoft Corporation | Method and system for retrieving security information for secured transmission of network communication streams |
| JP3724399B2 (ja) * | 2001-01-23 | 2005-12-07 | 株式会社日立製作所 | 疑似乱数生成装置またはそれを用いた暗号復号処理装置 |
| US6996725B2 (en) * | 2001-08-16 | 2006-02-07 | Dallas Semiconductor Corporation | Encryption-based security protection for processors |
| US6671196B2 (en) * | 2002-02-28 | 2003-12-30 | Sun Microsystems, Inc. | Register stack in cache memory |
| US6795897B2 (en) * | 2002-05-15 | 2004-09-21 | International Business Machines Corporation | Selective memory controller access path for directory caching |
| US6970999B2 (en) * | 2002-07-31 | 2005-11-29 | International Business Machines Corporation | Counting latencies of an instruction table flush, refill and instruction execution using a plurality of assigned counters |
-
2002
- 2002-09-26 JP JP2002280469A patent/JP3503638B1/ja not_active Expired - Lifetime
-
2003
- 2003-09-25 US US10/669,269 patent/US7454016B2/en active Active
- 2003-09-25 CA CA002442456A patent/CA2442456C/en not_active Expired - Fee Related
- 2003-09-26 SG SG200305740A patent/SG115568A1/en unknown
- 2003-09-26 EP EP03021864.8A patent/EP1404052B1/en not_active Expired - Lifetime
- 2003-09-26 KR KR1020030067008A patent/KR100571445B1/ko not_active IP Right Cessation
- 2003-09-26 AU AU2003248442A patent/AU2003248442C1/en not_active Ceased
-
2008
- 2008-08-12 US US12/189,847 patent/US8306227B2/en active Active
-
2009
- 2009-08-12 AU AU2009208116A patent/AU2009208116A1/en not_active Abandoned
- 2009-08-12 AU AU2009208124A patent/AU2009208124A1/en not_active Abandoned
- 2009-08-12 AU AU2009208117A patent/AU2009208117A1/en not_active Abandoned
Non-Patent Citations (3)
| Title |
|---|
| Ｄ．Ｐａｇｅ，Ｔｈｅｏｒｅｔｉｃａｌ Ｕｓｅ ｏｆ Ｃａｃｈｅ Ｍｅｍｏｒｙ ａｓ ａ Ｃｒｙｐｔａｎａｌｙｔｉｃ Ｓｉｄｅ−Ｃｈａｎｎｅｌ，Ｔｅｃｈｎｉｃａｌ Ｒｅｐｏｒｔ ＣＳＴＲ−０２−００３，Ｄｅｐａｒｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， Ｕｎｉｖｅｒｓｉｔｙ ｏｆ Ｂｒｉ，ＵＲＬ，ｈｔｔｐ：／／ｗｗｗ．ｃｓ．ｂｒｉｓ．ａｃ．ｕｋ／Ｔｏｏｌｓ／Ｒｅｐｏｒｔｓ／Ａｂｓｔｒａｃｔｓ／２００２−ｐａｇｅ．ｈｔｍｌ |
| 暗号とネットワークセキュリティ 理論と実際，株式会社ピアソン・エデュケーション，２００１年 ９月２５日，ｐ．２１０−２１１ |
| 暗号最新事情１１ 新しい暗号攻撃法，ｂｉｔ，Ｖｏｌ．２８ Ｎｏ．１１，ｐ．６２−６６，２．４ タイミングアタックの回避法 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2019124713A (ja) * | 2018-01-11 | 2019-07-25 | Ｎｅｃプラットフォームズ株式会社 | 暗号化装置、復号装置、回線暗号システム、暗号化方法およびプログラム |
| JP7063628B2 (ja) | 2018-01-11 | 2022-05-09 | Ｎｅｃプラットフォームズ株式会社 | 暗号化装置、暗号化方法およびプログラム |
Also Published As
| Publication number | Publication date |
|---|---|
| US20040062391A1 (en) | 2004-04-01 |
| KR20040027461A (ko) | 2004-04-01 |
| CA2442456C (en) | 2009-01-20 |
| JP2004120307A (ja) | 2004-04-15 |
| US7454016B2 (en) | 2008-11-18 |
| AU2003248442C1 (en) | 2010-01-07 |
| KR100571445B1 (ko) | 2006-04-17 |
| AU2009208116A1 (en) | 2009-09-03 |
| EP1404052A2 (en) | 2004-03-31 |
| EP1404052B1 (en) | 2018-09-12 |
| US20090016536A1 (en) | 2009-01-15 |
| AU2003248442A1 (en) | 2004-04-22 |
| AU2009208124A1 (en) | 2009-09-03 |
| CA2442456A1 (en) | 2004-03-26 |
| AU2003248442B2 (en) | 2009-05-14 |
| SG115568A1 (en) | 2005-10-28 |
| AU2009208117A1 (en) | 2009-09-03 |
| EP1404052A3 (en) | 2005-01-26 |
| US8306227B2 (en) | 2012-11-06 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3503638B1 (ja) | 暗号装置及び暗号プログラム | |
| Shi et al. | High efficiency counter mode security architecture via prediction and precomputation | |
| Provos | Encrypting virtual memory | |
| Mathur et al. | AES based text encryption using 12 rounds with dynamic key selection | |
| Krawczyk et al. | HMAC: Keyed-hashing for message authentication | |
| Bonneau et al. | Cache-collision timing attacks against AES | |
| Kong et al. | Deconstructing new cache designs for thwarting software cache-based side channel attacks | |
| Krawczyk et al. | RFC2104: HMAC: Keyed-hashing for message authentication | |
| US9276913B2 (en) | Transmission/reception system, transmission device, reception device, authentication device, user equipment, method executed using these, and program | |
| KR20180110550A (ko) | 부채널 분석 방지를 위한 화이트박스 암호 방법 및 장치 | |
| JPWO2015166701A1 (ja) | 暗号化方法、プログラム、および、システム | |
| JP2010166402A (ja) | 暗号処理装置及び暗号処理方法及び暗号処理プログラム | |
| Banescu | Cache timing attacks | |
| O’Hanlon et al. | Investigation of cache timing attacks on AES | |
| Agrawal et al. | A new and more authentic cryptographic based approach for securing short message | |
| Moon et al. | Mapping character position based cryptographic algorithm with numerical conversions | |
| Prasad et al. | An enhanced ENCIPHER to encrypt large text & image using basic arithmetic and logic operation with substitution-transposition | |
| Hu et al. | A fast real-time memory authentication protocol | |
| Huang et al. | Cache-collision side-channel analysis and attacks against AES-GCM | |
| JP3526504B2 (ja) | 乱数生成器 | |
| Atici et al. | Remote cache-timing attack without learning phase | |
| MANAA et al. | A PROACTIVE DATA SECURITY SCHEME OF FILES USING MINHASH TECHNIQUE | |
| Liu | Design of WEB Communication Security System: Based on Digital Signature | |
| Anbazhagan et al. | ENHANCED PRIVACY PRESERVING USING MULTILEVEL ENCRYPTION TECHNIQUE | |
| Okunade et al. | Hybrid Encryption System with Initialization Vector for Secure Data Transmission |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| TRDD | Decision of grant or rejection written | ||
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20031201 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 3503638 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20071219 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20081219 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091219 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20091219 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101219 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20101219 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111219 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20111219 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121219 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20121219 Year of fee payment: 9 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20131219 Year of fee payment: 10 |
|
| EXPY | Cancellation because of completion of term |