JP3600454B2 - 暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体 - Google Patents
暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体 Download PDFInfo
- Publication number
- JP3600454B2 JP3600454B2 JP23392198A JP23392198A JP3600454B2 JP 3600454 B2 JP3600454 B2 JP 3600454B2 JP 23392198 A JP23392198 A JP 23392198A JP 23392198 A JP23392198 A JP 23392198A JP 3600454 B2 JP3600454 B2 JP 3600454B2
- Authority
- JP
- Japan
- Prior art keywords
- mask
- bit
- mask pattern
- encryption
- data conversion
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Expired - Lifetime
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
- H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
- H04L9/0625—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation with splitting of the data block into left and right halves, e.g. Feistel based algorithms, DES, FEAL, IDEA or KASUMI
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/002—Countermeasures against attacks on cryptographic mechanisms
- H04L9/003—Countermeasures against attacks on cryptographic mechanisms for power analysis, e.g. differential power analysis [DPA] or simple power analysis [SPA]
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F2207/00—Indexing scheme relating to methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F2207/72—Indexing scheme relating to groups G06F7/72 - G06F7/729
- G06F2207/7219—Countermeasures against side channel or fault attacks
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/04—Masking or blinding
- H04L2209/046—Masking or blinding of operations, operands or results of the operations
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
- H04L2209/24—Key scheduling, i.e. generating round keys or sub-keys for block encryption
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Storage Device Security (AREA)
Description
【０００１】
【発明の属する技術分野】
本発明は暗号化装置、復号装置、暗号化手法、および復号手法に関し、特に、秘密鍵ブロック暗号を用いた暗号化装置、復号装置、暗号化手法、復号手法、およびそのプログラム記憶媒体に関する。
【０００２】
【従来の技術】
ＤＥＳ （Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）は、現在、最も広範に用いられている秘密鍵ブロック暗号であり、特開昭５１−１０８７０１ 号広報に詳細に記載されている。
【０００３】
ＤＥＳ に関してはさまざまな観点からの評価が行われており、差分解読法や線形解読法といった鍵の全数探索よりも効率的な解読法が提案された。
【０００４】
なお、差分解読法については、文献、Ｅ．Ｂｉｈａｍ ａｎｄ Ａ．Ｓｈａｍｉｒ， Ｄｉｆｆｅｒｅｎｔｉａｌ Ｃｒｙｐｔａｎａｌｙｓｉｓ ｏｆ ＤＥＳ−ｌｉｋｅ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ， Ｊｏｕｒｎａｌ ｏｆ ＣＲＹＰＴＯＬＯＧＹ， Ｖｏｌ．４， Ｎｕｍｂｅｒ １，１９９１ に、線形解読法については、文献、松井充、“ＤＥＳ 暗号の線形解読（Ｉ ）”、暗号と情報セキュリティシンポジウム、ＳＣＩＳ９３−３Ｃ，１９９３に記載されている。
【０００５】
新たな解読方法としてＤＰＡ（Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ ）が提案されている。ＤＰＡ はデータのあるビットに着目して消費電力の差異（ビット０のときの消費電力とビット１のときの消費電力）を計測し、ビットを推測する。例えば、ＤＥＳ の場合、既知の暗号文出力と鍵の推測により、Ｓ 箱の入力およびそれに対応する出力を推測する。上記Ｓ 箱出力で推測した、ある１ビットが０あるいは１である場合の消費電力の差異を計測し、推測の正当性の検証、すなわち鍵の推測の正当性の検証を行う手法がＤＰＡ である。
【０００６】
【発明が解決しようとする課題】
このため、上述したＤＰＡによりＤＥＳが解読される恐れがあり、さらなるセキュリティが求められていた。
【０００７】
本発明の目的は、従来の暗号化装置、復号装置、暗号化手法、および復号手法のデータ暗号化処理結果を変更することなく、ＤＰＡによる解読を困難にする暗号化・復号装置、およびそのプログラム記憶媒体を提供することである。
【０００８】
【課題を解決するための手段】
上述の課題を解決するため、本発明は、平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換する暗号化装置において、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ， ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択する手段と、装置内部の平文に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、暗号文を出力する前に、暗号文から前記マスクａの影響を除去する手段とを具備したことを特徴とする。
【０００９】
また、本発明は、暗号ブロックを与えられた鍵情報に依存して平文ブロックに変換する復号装置において、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ， ａｉ￣）（ｉは１以上の正の整数）の中から一方を、復号を行う毎にランダムに選択する手段と、装置内部の暗号文に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、平文を出力する前に、前記平文から前記マスクａの影響を除去する手段とを具備したことを特徴とする。
【００１２】
また、本発明は、平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換させるための、コンピュータ読み出し可能なプログラムコード手段が記憶されたコンピュータ使用可能なプログラム記憶媒体において、コンピュータに、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ， ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択させるためのコンピュータ読み出し可能なプログラムコード手段と、コンピュータに、前記選択されたマスクパターンを用いて、方法内部の平文に依存したビットを選択されたマスクパターンによってマスクさせるためのコンピュータ読み出し可能なプログラムコード手段と、コンピュータに、暗号文を出力する前に、暗号文から前記マスクａの影響を除去させるためのコンピュータ読み出し可能なプログラムコード手段とを具備したことを特徴とする。
【００１３】
この発明によれば、本来のデータをマスクし、各Ｓ箱に入力する直前でそのマスクを解除する。しかし、このマスクを解除したときに、ＤＰＡにより解読される恐れがある。このため、この発明によれば、Ｓ箱への入力直前におけるマスク解除、マスク解除後の本来のデータによるＳ箱への入力、およびＳ箱からの出力のマスク操作を、事前に計算し、テーブルとして記憶し、テーブルを参照することにより計算結果を求める。このため、暗号化および復号の処理中に、マスク解除のための排他的論理和の計算や、マスクをかけるための排他的論理和の計算が行われることはないので、ＤＰＡによる解読は不可能となる。
【００１４】
【発明の実施形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１５】
図１は本発明が適用される、暗号化アルゴリズムＤＥＳ の構成を示す図であり、平文（６４ビット）３を外部から入力された鍵８に依存して攪拌し、対応する暗号文を出力する第１段〜第１６段から構成されるデータ攪拌部１と、鍵情報ｋを前記データ攪拌部に供給される中間鍵に展開する鍵スケジュール部２からなる。
【００１６】
図１において、平文（６４ビット）３は初期転置ＩＰ ４が施された後、２つに等分される。等分された結果の左側３２ビットのデータと右側３２ビットのデータはそれぞれ、段関数５の入力となる。段関数の構造は後述する。段関数の出力の左側３２ビットのデータと右側３２ビットのデータは入れ替えられて次段の段関数の入力となる。
【００１７】
上記段関数を１６段繰り返した後、最終転置ＩＰ−１６ により暗号文７が出力される。
【００１８】
図２は図１に示す段関数５の詳細ブロック図である。段関数１７は転置Ｅ１１、排他的論理和１３、Ｓ箱１４、転置Ｐ１５および排他的論理和１６とで構成される。
【００１９】
右側３２ビットのデータを拡大転置Ｅ １１により４８ビットに拡大し、その結果を排他的論理和１３に出力する。排他的論理和１３は、転置Ｅ １１の出力と、拡大鍵１２の排他的論理和を出力する。排他的論理和１３の出力４８ビットは６ビットのデータに等分され、各Ｓ 箱１４の入力となる。この実施形態では、各Ｓ箱はテーブルで構成され、６４エントリの６ビット入力に対してそれぞれ４ビットデータを出力する。例えばＤＥＳのＳ１は、６ビット入力の左端を第１ビット、右端を第６ビットとすると、第１ビットと第６ビットを２進数とみなした数字で図３に示すＳ箱の表の行を指定する。なお、図３に示すＳ箱の表の行番号は上から０、１、２、３行と数える。次に残りの４ビットを２進数とみなした数字で列の番号を指定する。列番号も左端から０、１、２、３、…１５列と数える。例えば、Ｓ１の入力を０１１０１１とすると、行番号は０１すなわち、図３において、上から２番目の行となる。次に、列番号は０１１０１すなわち１３（左から１４番目の列）なので表の値は５となる。従ってＳ１の出力はこの２進表現である０１０１となる。なお、図３では、Ｓ箱の出力を行と列で示したが、一般には、０から６３までの入力に対応した表として構成される。各Ｓ 箱の出力を結合した３２ビットのデータは、転置Ｐ １５によりビット転置操作が行われ、その結果が排他的論理和１６に出力される。排他的論理和１６は左側３２ビットのデータと転置Ｐ １５の出力との排他的論理和を出力する。
【００２０】
図４は図１に示す段関数５および図２に示す段関数１７の詳細回路図であり、図５ａは第１段の段関数への入力の構成を示す図であり、図５ｂは第１６段の段関数の出力の構成を示す図である。
【００２１】
以下、図４、図５ａ、および図５ｂを参照して本発明の実施形態を詳細に説明する。
【００２２】
図４において、ａおよびｂはそれぞれ３２ビットのマスクを表し、ａ￣はａの全ビット反転を表す。図４に示す段関数３５において、排他的論理和２５は、右側３２ビットのデータを、スイッチＳＷ２３の出力と排他的論理和を行い拡大転置Ｅ２６に出力する。拡大転置Ｅ２６の出力は、排他的論理和２７において拡大鍵Ｋｉと排他的論理和が行われ、スイッチＳＷ１２に出力する。スイッチＳＷ１２は、後述の乱数列Ｒｉｊによりデータの分岐を行う。例えば、Ｒｉｊ が０の場合には、スイッチＳＷ１２は、データを０側に分岐し、Ｒｉｊ が１の場合には、データを１側に分岐する。
【００２３】
図４において、スイッチＳＷ１２の分岐以降は、各Ｓ箱についての構成を示す図であり、すなわちＳ箱２９はＤＥＳ のＳ１〜Ｓ８に対応する。
【００２４】
スイッチＳＷ１２が、データを０側に分岐した場合、破線３４ａで示す処理を行う。すなわち、排他的論理和３２ａは、排他的論理和２７の出力と、マスクａに拡大転置Ｅ を行った結果のＳ 箱の入力に対応する６ビット（Ｅ（ａ））との排他的論理和を行い、その結果をＳ箱２９に出力する。Ｓ箱２９においては、対応するＳ箱のテーブル参照が行われた結果が、排他的論理和３３ａに出力される。
【００２５】
排他的論理和３３ａにおいては、マスクａに転置Ｐ３０の逆転置Ｐ−１を行った結果であるＰ−１（ ａ） のビットと、Ｓ箱２９の出力との排他的論理和が行われ、その結果がスイッチＳＷ１１に出力される。
【００２６】
一方、スイッチＳＷ１２が、データを１側に分岐した場合、破線３４ｂで示す処理を行う。すなわち、排他的論理和３２ｂは、排他的論理和２７の出力と、マスクａ￣に拡大転置Ｅ を行った結果のＳ 箱の入力に対応するビットとの排他的論理和を行い、その結果をＳ箱２９に出力する。Ｓ箱２９は、対応するＳ箱のテーブルを参照し、その結果を排他的論理和３３ｂに出力する。
【００２７】
排他的論理和３３ｂは、マスクａ￣に転置Ｐ（３０）の逆転置Ｐ−１を行った結果であるＰ−１（ａ￣）のＳ箱の出力に対応する４ビットと、Ｓ箱２９の出力との排他的論理和を行い、その結果をスイッチＳＷ１１に出力する。
【００２８】
ただし、上記破線３４ａおよび３４ｂで示す各処理は、暗号化および復号の処理中に行ってはならない。なぜならば、上記マスクによるデータの秘匿を行っていても、Ｓ箱２９の入出力は秘匿されていないため、Ｓ箱の処理の消費電力の差異を用いた解読が試みられる可能性があるからである。
【００２９】
本発明の実施形態では、破線３４ａおよび３４ｂで示す各処理結果は、暗号化および復号を行う前に事前計算により処理結果を作成し、暗号化および復号処理を行う。例えば、各Ｓ箱について、Ｓ箱の入力のインデックスと出力を書き換えたテーブルを用意し、暗号化および復号の処理に用いる。このとき、マスクａに対応したＳ箱のテーブルとマスクａ￣に対応したＳ箱のテーブルを用意する。例えば、マスクａを使って、図４の処理ブロック３４ａを計算した結果は以下の通りである。今、マスクａを（０１１０ １１１１ １１００ １０１０ ０１１０ １１００ １１００ ００１１）とする。拡大転置Ｅは図６に示す表で表される。図６の表において、各行は上からＳ１、Ｓ２、…Ｓ８への入力に対応する。また、各列は左端の第１ビットがＳ箱の入力の第１ビットに対応する。表の数字は拡大転置Ｅへの入力の第Ｘビットを表す。すなわち、Ｓ１の入力は、Ｅへの入力の第３２、１、２、３、４、、５ビットになる。従って、マスクａが上記の例の場合、Ｓ１の入力に対応するビットマスク（ａ）は（１０１１０１）となる。転置Ｐの表は図７に示される。図７において、左から順番にＰの出力の第１ビットから第３２ビットまでに対応する。（１行目と２行目は連続している）。各項目は入力の第Ｘビットを表す。すなわち、転置Ｐの出力の第１ビットは入力の第１６ビットになる。Ｓ１に対応するビットは転置Ｐの入力の第１、２、３、４ビットなので、それぞれＰの出力の第９、１７、２３、３１ビットに対応する。Ｓ１の出力に対応するマスクはＰ−１（ａ）すなわち、Ｐの出力がａになる値なので、マスクａの第９、１７、２３、３１ビットがＰ−１（ａ）となる。従って、Ｓ１の出力に対応するマスクは（１００１）となる。従って、マスクａが上記の場合、Ｓ１の入力に対応するビットマスクＥ（ａ）は（１０１１０１）、Ｓ１の出力に対応するビットマスクＰ−１（ａ）は（１００１）となる。実際に作成するマスクａに対応したテーブルは、入力をビットマスクＥ（ａ）と排他的論理和した結果をＳ１の入力としてＳ１の出力を計算して、そのＳ１の出力にビットマスクＰ−１（ａ）を排他的論理和で加えたものがテーブルの出力になる。上記マスクａの場合、入力が（００００００、０００００１、…１１１１１１）に対応する隠蔽されたＳ１の出力（０から６３までの入力に対する出力）を列挙すると、それぞれの出力を列挙すると、図８に示すような結果となる。また、マスクａ−（ａのビット反転）のテーブルは、図９に示すような結果となる。
【００３０】
破線３４ａおよび３４ｂで示す各処理ブロックの出力は、転置Ｐ３０において、転置が行われ排他的論理和３１に出力される。排他的論理和３１は、左側３２ビットのデータと、転置Ｐ３０の出力との排他的論理和を行う。排他的論理和２４は右側３２ビットのデータと、スイッチＳＷ１３の出力との排他的論理和を取り、新たな右側３２ビットのデータとする。
【００３１】
図５ａにおいて、平文（６４ビット）を初期転置ＩＰ４１ａにより転置を行った結果は、等分され、右側３２ビットと左側３２ビットとなる。排他的論理和４４ａは、左側３２ビットのデータと、スイッチＳＷ２１の出力との排他的論理和を取る。この排他的論理和４４ａの出力は、第１ 段の段関数の入力の左側３２ビットとなる。排他的論理和４２ａは右側３２ビットのデータと、スイッチＳＷ１４の出力との排他的論理和を取る。排他的論理和４３ａは、排他的論理和４２ａの出力と、スイッチＳＷ２２の出力との排他的論理和を取る。
【００３２】
この排他的論理和４３ａの出力は、第１段の段関数の入力の右側３２ビットとなる。なお、図５ａにおいて、排他的論理和の性質により４２ａと４３ａの順序は入れ替えても良い。
【００３３】
図５ｂにおいて、平文（６４ビット）を初期転置ＩＰ４１ａにより転置を行った結果は、等分され、右側３２ビットと左側３２ビットとなる。排他的論理和４４ｂは、左側３２ビットのデータと、スイッチＳＷ２１の出力との排他的論理和を取る。これにより、図５ａの排他的論理和４３ａにおいて加えたマスクの影響を除去する。排他的論理和４４ｂの出力は、最終転置ＩＰ− １ ４１ｂに入力される。排他的論理和４２ｂは、右側３２ビットのデータと、スイッチＳＷ１４の出力との排他的論理和を取る。排他的論理和４３ｂは、排他的論理和４２ｂの出力と、スイッチＳＷ２２の出力との排他的論理和を取る。これにより、図５ａの排他的論理和４４ａにおいて加えたマスクの影響を除去する。排他的論理和４３ｂの出力は、最終転置ＩＰ− １ ４１ｂに入力される。なお、図５ｂにおいて、排他的論理和の性質により４２ｂと４３ｂの順序は入れ替えても良い。
【００３４】
図４、図５ａ および図５ｂで示した構成の特徴を以下に述べる。
【００３５】
排他的論理和４４ａ、４２ａ、および４３ａは、マスクａおよびｂなどのマスクにより、データを秘匿する。これにより、データ攪拌部において、左側３２ビットのデータおよび右側３２ビットのデータを外界から観測することが困難となる。しかし、上記マスクによるデータの秘匿を行った場合、図２の各Ｓ 箱１４への入力が本来の平文データのものと異なる結果となる。したがって、各Ｓ 箱１４の出力も異なる結果、出力される暗号文が本来の平文データに対応したもので無くなる。
【００３６】
上記問題点を解消するために、各段の段関数においては、図４の排他的論理和２５において、マスクｂあるいはマスクｂ￣と排他的論理和を行う。これにより、図５ａ において加えたマスクｂまたはｂ￣による秘匿の影響を除去する。
【００３７】
さらに、スイッチＳＷ１２で０側の分岐の場合、排他的論理和３２ａ において、図５ａ で加えたマスクａ による秘匿の影響を除去する。すなわち、Ｓ ２９の入力は、本来の平文入力の場合と同じ入力となる。Ｓ ２９の出力は、排他的論理和３３ａ において、マスクａ により再び秘匿される。ここで、処理ブロック３４ａ は事前計算によりテーブル参照で行われるので、外界から、Ｓ ２９の直接の入出力に関係した電力消費のデータの有意な変異を観測することはできない。
【００３８】
図４の排他的論理和２４により、右側３２ビットのデータに加えたマスクａ あるいはマスクａ￣の影響を一旦除去する。しかし、右側３２ビットのデータは依然、マスクｂあるいはマスクｂ￣により秘匿されているので安全である。右側３２ビットのデータは次段の左側３２ビットのデータになり、排他的論理和３１において転置Ｐ ３０の出力と排他的論理和を行うことにより、再び、マスクａ （あるいはマスクａ￣）およびマスクｂ（あるいはマスクｂ￣）によって秘匿され、その次の段の右側入力となる。したがって、上述の通り、各段の各Ｓ 箱における変換のＤＥＳ との同一性は保たれる。
【００３９】
また、最終段の出力においては、図５ａ において加えた各マスクの秘匿の影響を除去するため、図５ｂに示した、各マスクによる排他的論理和を行う。
【００４０】
スイッチＳＷ１１、ＳＷ１２、ＳＷ１３、およびＳＷ１４は、乱数列｛Ｒ １ｉ｝によって制御する。スイッチＳＷ２１、ＳＷ２２、およびＳＷ２３は、乱数列｛Ｒ２ｉ｝によって制御する。例えば、各スイッチは、Ｒｊｉ＝０のとき０側の分岐を、Ｒｊｉ ＝１のとき１側の分岐を選ぶ。スイッチの制御を行う乱数列｛Ｒ １ｉ｝および｛Ｒ ２ｉ｝は、各ブロックの暗号化および復号の処理ごとに変化させることを特徴とする。例えば、ある暗号化の処理では各段のスイッチＳＷ１１、ＳＷ１２、ＳＷ１３、およびＳＷ１４はすべて０側で処理を行い、別の暗号化では、各段のスイッチＳＷ１１、ＳＷ１２、ＳＷ１３、およびＳＷ１４はすべて１側で処理を行う。
【００４１】
乱数列｛Ｒ １ｉ｝と乱数列｛Ｒ２ｉ｝に明白な依存関係があった場合、攻撃者にマスクａ とマスクｂを推測する手がかりを与えることになるので、乱数列｛Ｒ １ｉ｝と乱数列｛Ｒ２ｉ｝には明らかな依存関係を持たない乱数列を用いる。
【００４２】
理想的には、統計的に独立な２つの乱数列を用いることが推奨される。
【００４３】
ただし、実際には、統計的依存関係が存在しても、その影響が充分小さければ、ＤＰＡ対策として有効である。本発明を実装する手段として２つのｍ系列生成器を用意して、第１のｍ系列生成器の出力を｛Ｒ１ｊ｝、第２のｍ系列生成器の出力を｛Ｒ２ｊ｝とすることが考えられる。ｍ系列の周期が充分長く２つのｍ系列生成器の系列長、対応する規約多項式式、初期値の一部または全部が異なるようにすれば上記条件を充分満たすと考えられる。連数列の別な実現手段として、１つのｍ系列生成器を用意し、それを１回の暗号化または復号の処理毎に２ビットを生成させ、その第１ビットを｛Ｒ １ｊ｝、第２ビットを｛Ｒ ２ｊ｝として用いることが考えられる。
【００４４】
ここではｍ系列生成器を具体例として挙げたが、実用上安全と考えられる乱数列生成器なら何を用いても良い。なお、この乱数列が外部からは推測されない様に実装する必要がある。あるいは別な実現手段として、乱数列をあらかじめ記憶装置に蓄えておき、それを順次参照することも可能である。なお、この乱数列が外部からは推測されない様に実装する必要がある。
【００４５】
図４、図５ａ、および図５ｂにおいて、ビット列の１の数、すなわちハミング重みをＨ（ａ）で定義する。ＤＰＡ では、データ暗号化処理に伴う消費電力の差異を観測して暗号化鍵に関する情報を収集する。上記マスクを用いたデータの隠蔽により、外界からの消費電力の計測と処理されるデータの対応をとることが困難となる。しかし、マスクのハミング重みに差異がある場合、複数の暗号化処理データの計測と統計情報により、マスクａとｂのみを用いているデータのみを抽出することができる可能性がある。そして、そのようなデータのみの抽出が可能ならば、ＤＰＡの手法を用いることにより、従来の場合同様に鍵の抽出が可能となる。このように使用されているマスクがａ なのかａ￣なのかの区別ができて充分な対策にならない。例えば、マスクａ とａ￣あるいはマスクｂとｂ￣のハミング重みが同じとすれば、外界からの計測でマスクを判別することは困難となり安全であるが、逆に、マスクのビット重みに偏りがあるならば、安全性は著しく劣化する。
【００４６】
したがって、図４、図５ａ、および図５ｂにおいて、Ｈ（ａ）＝Ｈ（ａ￣）＝Ｈ（ｂ）＝Ｈ（ｂ￣）＝ｎ／２＝１６の条件を満たすマスクの選択（以下、マスクのハミング重みが等しい）ならば安全性は高い。ここでマスクａおよびｂのビット数ｎは３２であるので、マスクａ、マスクｂ、およびそれらのビット反転のビット重みがそれぞれ１６であるマスク値を使用することが推奨される。ただし、理想的には上記のようにマスクのハミング重みがマスクのビット長の丁度半分であるマスクを使用することが推奨されるが、ハミング重みがほぼ等しい２つのマスクを用い同様の効果が得られる。
【００４７】
すなわち、各マスクのハミング重みが極端に偏っていなければ、外界からの計測でマスクを判別することは容易でなく、ＤＰＡ対策としての効果が得られる。
【００４８】
さらに、図４のＤＥＳ の拡大転置２６の特性に着目する。上記ハミング重みに着目したマスク値の選択と同様の理由から、排他的論理和３２ａ および３２ｂにおいて加えられる、Ｅ （ａ ）とＥ （ａ￣）のハミング重みが等しくなるマスクを選択する。すなわち、Ｈ （Ｅ（ａ））＝Ｈ （Ｅ（ａ￣））を満足するマスクを選択する。
【００４９】
上記マスクの条件をＤＥＳ の実装に当てはめると、例えばマスクａ に対しては、マスクａ を４ビットづつ区切ったときの各ブロックの“第１ビット”（左端のビット）の１の数＝マスクａ を４ビットづつ区切ったときの各ブロックの“第４ビット”（右端のビット）の１の数＝４の条件を満たすことを要求する。すなわち、上記条件を満たすマスクａ およびマスクｂの選択を特徴とする。上記条件を満たすマスク値の例として、（１０００００１１１１１０１１０１１１１００１０１００１００００１）２ や（１１０１１０１００１１００１０１００１１０１０１１０００１０１０）２ などが使用できる。
【００５０】
ただし、理想的には上記条件を満たすマスク値を使用することが推奨されるが、「マスクａ を４ビットづつ区切ったときの各ブロックの“第１ビット”の１の数」と「マスクａ を４ビットづつ区切ったときの各ブロックの“第４ビット”の１の数」が、極端に偏っていなければ同様の効果が得られる。
【００５１】
なお、上記条件を満たすマスク値を使用する場合において、スイッチを制御する乱数列｛Ｒ １ｊ｝と｛Ｒ ２ｊ｝が自明な相関を持たないならば、マスクａ とマスクｂが同一のマスク値であっても、ＤＰＡ 対策として有効である。
【００５２】
図１に示したＤＥＳ の構成は最も広く知られているものであるが、処理の高速化をねらい、様々な等価変形を施したＤＥＳ の構成法が知られている。
【００５３】
以下、本発明をＤＥＳ に適用した場合における変形例について説明する。
【００５４】
図１０はＤＥＳ の等価変形の例である。図１０に示すＤＥＳ の実装においては、処理の効率化のために、拡大転置Ｅ １１と転置Ｐ １５を一つの転置にまとめＥＰ５３として処理している。入力された平文５８を初期転置ＩＰ５７において転置を行った出力は、二つに等分され、右側３２ビットは拡大転置Ｅ ５１ａ に入力され、左側３２ビットは拡大転置Ｅ ５１ｂに入力される。拡大転置Ｅ５１ａの出力４８ビットは第一段の入力の右側４８ビットである。拡大転置Ｅ５１ｂの出力４８ビットは第一段の入力の左側４８ビットである。入力の右側４８ビットは排他的論理和５５において、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ箱５４に出力される。Ｓ箱５４はテーブル参照により対応する出力をＥＰ５３に出力する。ＥＰ５３において、入力は転置が行われ、排他的論理和５６に出力される。排他的論理和５６において、拡大転置Ｅ５１ｂの出力である左側４８ビットと、ＥＰ５３の出力の排他的論理和が行われ、次段の入力の右側４８ビットになる。上記第１段の処理を第１６段まで繰り返す。第１６段の出力において、右側４８ビットは縮約転置Ｅ−１５２ａに入力され、左側４８ビットは縮約転置Ｅ−１５２ｂに入力され、それぞれの出力３２ビットは最終転置ＩＰ−１５９に入力され、６４ビットの暗号文６０が出力される。
【００５５】
このような変形版ＤＥＳ に本発明を適用し、ＤＰＡ を防止する手法を以下に示す。
【００５６】
図１１は図１０で示したＤＥＳの実装に対する、本発明の一実施形態である。図１１において、Ｅ（ａ）／Ｅ（ａ￣）は図３に示した、排他的論理和によるスイッチＳＷ２３のマスクの加え方を表す。すなわち、Ｅ（ａ）／Ｅ（ａ￣）はＥ（ａ）もしくはＥ（ａ￣）によるマスクを表す。
【００５７】
図１１は、図１０で示したＤＥＳの実装に対しても、図４、図５ａ、および図５ｂで示した本発明の適用が可能であることを示す一実施形態である。
【００５８】
入力された平文に初期転置を行った出力は、二つに等分され、右側３２ビットは拡大転置Ｅ ６１ａに入力され、左側３２ビットは拡大転置Ｅ ６１ｂに入力される。拡大転置Ｅ６１ａの出力４８ビットは排他的論理和６４において、マスクＥ（ａ）／Ｅ（ａ￣）と排他的論理和が行われ、排他的論理和６５に出力される。排他的論理和６５において、排他的論理和６４の出力はマスクＥ（ｂ）／Ｅ（ｂ￣）と排他的論理和が行われ、第１段の入力の右側４８ビットになる。なお、排他的論理和の性質により、排他的論理和６４と６５の順序を入れ替えても良い。
【００５９】
拡大転置Ｅ６１ｂの出力４８ビットは排他的論理和６９において、マスクＥ（ｂ）／Ｅ（ｂ￣）と排他的論理和が行われ、第１段の入力の左側４８ビットになる。
【００６０】
入力の右側４８ビットは、排他的論理和６６において、マスクＥ（ａ）／Ｅ（ａ￣）と排他的論理和が行われ、次段の入力の左側４８ビットになる。入力の右側４８ビットは、排他的論理和６７において、マスクＥ（ｂ）／Ｅ（ｂ￣）と排他的論理和が行われ、排他的論理和６８に出力される。排他的論理和６７の出力は、排他的論理和６８において、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ＾６２に出力される。Ｓ＾６２の構造については後述する。ＳＳ＾６２の出力はＥＰ６３により転置が行われ、排他的論理和７０に出力される。
【００６１】
排他的論理和７０において、入力データの左側４８ビットと、ＥＰ６３の出力は排他的論理和が行われ、次段の入力の右側４８ビットになる。上記第１段の処理を第１６段まで繰り返す。最終段の出力においては、第１段への入力で述べた処理の逆を行う。すなわち、右側４８ビットには排他的論理和６５、排他的論理和６４および縮約転置Ｅ−１を行い、左側４８ビットには排他的論理和６５および縮約転置Ｅ−１を行い、それぞれの出力３２ビットづつを最終転置に出力する。
【００６２】
図１２は図１１に示したＳ＾６２の構造を示す図である。
【００６３】
図１２において、α＝Ｅ（ａ）、α￣＝ Ｅ（ａ￣）と表す。Ｓ＾６２の入力は、排他的論理和７１において、マスクαあるいはマスクα￣と排他的論理和が行われ、Ｓ箱７２に入力される。Ｓ箱７２の出力は、排他的論理和７３において、マスクＰ−１Ｅ−１（α）あるいはマスクＰ−１Ｅ−１（α￣）と排他的論理和が行われ、Ｓ＾６２の出力となる。
【００６４】
すなわち、図１２の７４は、本発明においては図４に示したスイッチＳＷ１２およびスイッチＳＷ１１を含む、処理ブロック３４ａと３４ｂに対応する。ただし、７４の処理は、暗号化および復号の処理中に行ってはならない。なぜならば、上記マスクによるデータの秘匿を行っていても、Ｓ箱７２の入出力は秘匿されていないため、Ｓ箱の処理による消費電力の差異を用いた解読が試みられる可能性があるからである。
【００６５】
本発明の実施形態においては、暗号化および復号を行う前に、事前計算により７４の処理結果を作成し、暗号化および復号処理で使用することを特徴とする。例えば、各Ｓ箱について、Ｓ箱の入力のインデックスと出力を書き換えたテーブルを用意し、Ｓ＾として暗号化および復号の処理に用いる。このとき、マスクαに対応したＳ＾のテーブルとマスクα￣に対応したＳ＾のテーブルがＳ箱に用意される。
【００６６】
図１３はＤＥＳ の等価変形の別の例である。
【００６７】
図１３に示すＤＥＳ の実装においては、処理の効率化のために、拡大転置Ｅ １１と転置Ｐ １５を一つの転置にまとめＥＰ８３として処理している。入力された平文８８を初期転置ＩＰ８７において転置を行った出力は、二つに等分され、右側３２ビットは転置Ｐ−１８１ａ に入力され、左側３２ビットは転置Ｐ−１８１ｂに入力される。転置Ｐ−１８１ａの出力３２ビットは第一段の入力の右側３２ビットである。転置Ｐ−１８１ｂの出力３２ビットは第一段の入力の左側３２ビットである。入力の右側３２ビットはＥＰ８３に入力され、拡大転置を行われた結果が排他的論理和８５に出力される。排他的論理和８５において、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ箱８４に出力される。Ｓ箱８４はテーブル参照により対応する出力を排他的論理和８６に出力する。排他的論理和８６において、拡大転置Ｅ８１ｂの出力である左側３２ビットと、Ｓ箱８４の出力の排他的論理和が行われ、次段の入力の右側３２ビットになる。上記第１段の処理を第１６段まで繰り返す。
【００６８】
第１６段の出力において、右側３２ビットは転置Ｐ８２ａに入力され、左側３２ビットは転置Ｐ８２ｂに入力され、それぞれの出力３２ビットは最終転置ＩＰ−１８９に入力され、６４ビットの暗号文９０が出力される。このような変形版ＤＥＳ に本発明を適用し、ＤＰＡ を防止する手法を以下に示す。
【００６９】
図１４は図１３で示したＤＥＳの等価変形の例に対する、本発明の一実施形態である。
【００７０】
図１４において、Ｐ−１（ａ）／Ｐ−１（ａ￣）は図３に示した、排他的論理和によるスイッチＳＷ２３のマスクの加え方を表す。すなわち、Ｐ−１（ａ）／Ｐ−１（ａ￣）はＰ−１（ａ）もしくはＰ−１（ａ￣）によるマスクを表す。
【００７１】
図１４は、図１３で示したＤＥＳの実装に対しても、図４、図５ａ、および図５ｂで示した本発明の適用が可能であることを示す一実施形態である。
【００７２】
入力された平文に初期転置を行った出力は、二つに等分され、右側３２ビットは転置Ｐ−１９１ａ に入力され、左側３２ビットは転置Ｐ−１９１ｂに入力される。転置Ｐ−１９１ａの出力３２ビットは排他的論理和９４において、
Ｐ−１（ａ）／Ｐ−１（ａ￣）と排他的論理和が行われ、排他的論理和９５に出力される。排他的論理和９５において、排他的論理和９４の出力はマスクＰ−１（ｂ）／Ｐ−１（ｂ￣）と排他的論理和が行われ、第１段の入力の右側３２ビットになる。転置Ｐ−１９１ａの出力３２ビットは排他的論理和９４において、マスクＰ−１（ｂ）／Ｐ−１（ｂ￣）と排他的論理和が行われ、第１段の入力の左側３２ビットになる。なお、排他的論理和の性質により、排他的論理和９４と９５の順序を入れ替えても良い。
【００７３】
入力の右側３２ビットは、排他的論理和９６において、マスクＰ−１（ａ）／Ｐ−１（ａ￣）と排他的論理和が行われ、次段の入力の左側３２ビットになる。入力の右側３２ビットは、排他的論理和９７において、マスクＰ−１（ｂ）／Ｐ−１（ｂ￣）と排他的論理和が行われ、ＥＰ９３に出力される。ＥＰ９３において拡大転置を行った結果の４８ビット出力は、排他的論理和９８に出力され、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ＾９２に出力される。Ｓ＾９２の構造については後述する。Ｓ＾９２の出力は、排他的論理和１００に出力され、入力データの左側３２ビットと、排他的論理和が行われ、次段の入力の右側３２ビットになる。上記第１段の処理を第１６段まで繰り返す。
【００７４】
最終段の出力においては、第１段への入力で述べた処理の逆を行う。すなわち、右側３２ビットには排他的論理和９５、排他的論理和９４および転置Ｐを行い、左側３２ビットには排他的論理和９５および転置Ｐを行い、それぞれの出力３２ビットづつを最終転置に出力する。
【００７５】
図１５は図１４に示したＳ＾９２の構造を示す図である。
【００７６】
図１５において、α＝Ｐ−１（ａ）、α￣＝Ｐ−１（ａ￣）と表す。
【００７７】
Ｓ＾９２の入力は、排他的論理和１０１において、マスクαあるいはマスクα￣と排他的論理和が行われ、Ｓ箱１０２に入力される。
【００７８】
Ｓ箱１０２の出力は、排他的論理和１０３において、マスクＰ−１Ｅ−１（α）あるいはマスクＰ−１Ｅ−１（α￣）と排他的論理和が行われ、Ｓ＾９２の出力となる。すなわち、図１５の１０４は、本発明においては図４に示したスイッチＳＷ１２およびスイッチＳＷ１１を含む、３４ａと３４ｂに対応する。ただし、１０４の処理は、暗号化および復号の処理中に行ってはならない。なぜならば、上記マスクによるデータの秘匿を行っていても、Ｓ箱１０２の入出力は秘匿されていないため、Ｓ箱の処理による消費電力の差異を用いた解読が試みられる可能性があるからである。すなわち、本発明の実施形態においては、暗号化および復号を行う前に、事前計算により１０４の処理結果を作成し、暗号化および復号処理で使用することを特徴とする。例えば、各Ｓ箱について、Ｓ箱の入力のインデックスと出力を書き換えたテーブルを用意し、Ｓ＾として暗号化および復号の処理に用いる。
【００７９】
このとき、マスクαに対応したＳ＾のテーブルとマスクα￣に対応したＳ＾のテーブルがＳ箱に用意される。
【００８０】
次に、図１６、図１７、および図１８を用いて本発明を鍵スケジュール部に適用した一実施形態を説明する。
【００８１】
真の鍵のビットパターンＫをマスクするマスクパターンｃとそのビット反転パターンｃ￣を用意し、Ｋを指定された２項演算を用いてｃによって変換した値をＫｃとし、また同じ２項演算を用いてＫをｃ￣によって変換した値をＫｃ￣とし、ＫｃとＫｃ￣をあらかじめ記憶装置に記憶しておき、暗号化または復号を実施する度にランダムにＫｃとＫｃ￣の一方を選択し、それを真の鍵と同様の処理によって処理し、平文に対して前記２項演算によって作用させると共に、その２項演算の出力からｃまたはｃ￣の対応するパターンの影響を前記２項演算の逆変換により除去する。２項演算として排他的論理和を用いる暗号方式の例としてＤＥＳ 方式に本発明を適用した場合の例を示す。まず、鍵ＫｃとＫｃ￣の２つのマスクされた鍵を用意する。
【００８２】
Ｋｃ ＝ Ｋ （＋） ｃ
Ｋｃ￣＝ Ｋ （＋） ｃ￣
但し、記号（＋） はビット毎の排他的論理和を表す。
【００８３】
暗号化または復号に先立ってまずＫｃ，Ｋｃ￣のいずれか一方をランダムに選択し、ＤＥＳ の鍵スケジュール処理を行い、順次１６通りの拡大鍵を生成する。Ｋｃから拡大された１６個の鍵は記号Ｋｃｉ（ｉ＝１、…１６）で表し、Ｋｃ￣から拡大された鍵はＫｃ￣ｉ （ｉ＝１、…１６）であらわす。Ｋｃから拡大された拡大鍵はマスクｃの影響を、またＫｃ￣から拡大された拡大鍵はマスクｃ￣の影響をそれぞれ受けている。その影響はＤＥＳ の鍵スケジュール処理により定まるが、ここでは、マスクを掛けていない真の鍵Ｋを鍵スケジュールで拡大した鍵をＫｉ（ｉ＝１、…１６）と表し、ＫｉとＫｃｉの排他的論理和をｃｉとし、ＫｉとＫｃ￣ｉの排他的論理和をｃ￣ｉ とする。すなわちｃｉ＝ Ｋｉ （＋）Ｋｃｉ
ｃ￣ｉ ＝ Ｋｉ （＋） Ｋｃ￣ｉ
ＤＥＳ において各拡大鍵Ｋｉは拡大転置Ｅの直後にビット毎の排他的論理和演算によってメッセージに作用させられる。本発明においては、Ｋｉの代わりにＫｃｉまたはＫｃ￣ｉを作用させる。Ｋｃｉを作用させた場合にはＫ ｃｉを作用させた後に、ｃｉを排他的論理和によって作用させてその影響を取り除き、Ｋｃ￣ｉを作用させた場合にはｃｉ￣を作用させた後に、排他的論理和演算で作用させその影響を取り除く。ｃｉ、ｃｉ￣はそれぞれｃおよびｃ￣をＤＥＳ の鍵スケジュールで拡大鍵同様に拡大することによって得られる。ｃｉやｃｉ￣は暗号化または復号の度に選択されたマスクｃまたはｃ￣から作成してもよい。但し、外部からの観測に対して最も漏洩する情報が少ない方法は、あらかじめｃｉとｃ￣ｉをすべて計算しておくことである。その場合、４８ビットのマスク１６通りを２セット、合計１５３６ビットあらかじめ用意することになる。このマスクは例えばＩＣカードに本発明を適用した場合、少なくともカード毎固定で良いので、ｃｉ，ｃ￣ｉはＲＯＭに書き込んでおくことができる。このことはメモリ量の制約が強いＩＣカードにおいては特に重要である。一般に同じビット数を記憶する場合、ＲＡＭ やＥＥＰＲＯＭに比べＲＯＭ の面積は小さい。従って１５３６ビットのマスクをＲＯＭ に記憶させることはＲＡＭ やＥＥＰＲＯＭに記憶させるのに比べＬＳＩチップ面積の使用効率が高くなる。
【００８４】
図１６にＤＥＳ の鍵スケジュールを示す。
【００８５】
図中（ＰＣ−１）１１１と（ＰＣ−２）１１３はビットの選択と転置を組み合わせた関数であり、記号ＲＯＴ１１２は巡回シフト演算を表す。外部から入力された６４ビットの鍵Ｋ１１５は（ＰＣ−１）１１１により、その内８ビットが捨てられ、２８ビットの２つのビット列が巡回シフト１１２に渡される。巡回シフトされた合計５６ビットのデータはＰＣ−２変換１１３に入力され、拡大鍵４８ビットが出力される。図では１段分の拡大鍵のみ出力しているが、巡回シフトとＰＣ−２を繰り返すことによって２、３、．．．、１６段の拡大鍵を生成する。
【００８６】
図１７は鍵スケジュール部に本発明を適用した場合の処理の流れを表している。
【００８７】
鍵スケジュールの鍵入力段ではスイッチＳＷ３１により、ＫｃとＫｃ￣からランダムにほぼ１ ／２ の確率で選択し、鍵スケジュール部１２２に入力される。以下の鍵スケジュール部内での処理は通常のＤＥＳ の鍵スケジュール処理と同じである。出力される拡大鍵１２３は入力された鍵がＫｃであれば、Ｋｃｉ、Ｋｃ￣の時にはＫｃ￣ｉとなる。
【００８８】
図１８はマスクの影響を受けた拡大鍵を各ラウンド関数においてメッセージに作用させる様子を示している。
【００８９】
ＫｃｉまたはＫｃ￣ｉの一方をメッセージに作用させる方法は、通常の場合Ｋｉを作用させるのとまったく同じであり、拡大転置Ｅ１３１の出力４８ビットに、排他的論理和１３２において拡大鍵ＫｃｉまたはＫｃ￣ｉをビット毎の排他的論理和演算によって作用させる。こうして作用させた結果はマスクｃまたはｃ￣の影響を受けているのでこのままＳ箱に入力させると正しい暗号変換ができなくなる。従ってＳ箱に入力する前にマスクｃまたはｃ￣の影響を取り除く処理が必要である。具体的にはマスクの影響がｃｉの場合、ｃｉを排他的論理和１３３によってＳ箱１３４の入力前に作用させる。排他的論理和の逆変換は排他的論理和であるので、これによってｃｉの影響が除去できる。マスクの影響がｃ￣ｉの場合も同様である。
【００９０】
本実施形態においてマスクｃ￣はマスクｃのビット反転に選べば、拡大鍵の各ビットは１と０の値をほぼ均等に採る。これによって、暗号装置外部からの種々の観測に対して鍵に関する情報の漏洩を無くすことができる。漏洩する情報をできる限り少なくするには、さらにｃｉとｃ￣ｉのハミング重みが近い値をとることが望ましい。但しｃｉはｃを鍵スケジュールに通した結果であり全ての段のｃｉのハミング重みを完全にコントロールすることは困難である。そこで、例えば元のマスクｃのハミング重みがビットサイズの１／２ であるように選ぶ方法が考えられる。
【００９１】
上述した実施形態においては、ＤＥＳ 方式への適用について詳しく述べたが、本発明はこれに限らず、排他的論理和の様な２項演算、ビット入れ替えに相当する転置、Ｓ 箱に相当する換字の３種の一部または全部を使用して構成される様な暗号方式全般に適用可能である。
【００９２】
【発明の効果】
本発明によれば、与えられた暗号化および復号処理の同一性を保証しつつ、ＤＰＡ による解読を困難にすることにより、ＤＰＡ に対する安全性を増大することができる。
【図面の簡単な説明】
【図１】ＤＥＳ アルゴリズムの全体構成を示す図。
【図２】ＤＥＳ の段関数の構成を示す図。
【図３】ＤＥＳの規格表に従うＳ箱の内容の一例を示す図。
【図４】本発明による段関数にマスクを加えた構成を示す図。
【図５】本発明による入力段及び最終段でマスクを加えた構成を示す図。
【図６】拡大転置Ｅの表を示す図。
【図７】転置Ｐの表を示す図。
【図８】マスクａの場合の、入力が（００００００、０００００１、…１１１１１１）に対応する隠蔽されたＳ１の出力を示す図。
【図９】マスクａ−（ａのビット反転）のテーブルを示す図。
【図１０】ＤＥＳ アルゴリズムの一実装例の構成を示す図。
【図１１】図１０の構成において、本発明による段関数にマスクを加えた構成を示す図。
【図１２】図１１のＳ＾の構成を示す図。
【図１３】ＤＥＳ アルゴリズムの別の一実装例の構成を示す図。
【図１４】図１３の構成において、本発明による段関数にマスクを加えた構成を示す図。
【図１５】図１４のＳ＾の構成を示す図。
【図１６】ＤＥＳ アルゴリズムの鍵スケジュール部の構成を示す図。
【図１７】本発明による鍵スケジュール部にマスクを加える構成を示す図。
【図１８】本発明による段関数に鍵スケジュール部で加えたマスクを加える構成を示す図。
【符号の説明】
１…データ攪拌部
２…鍵スケジュール部
３…平文
４…初期転置ＩＰ
５…段関数
６…最終転置ＩＰ−１
７…暗号文
８…鍵
１１…拡大転置Ｅ
１２…拡大鍵
１３…排他的論理和
１４…Ｓ箱
１５…転置Ｐ
１６…排他的論理和
１７…段関数
２４、２５、２７、３１、３２ａ、３２ｂ、３３ａ、３３ｂ…排他的論理和
２６…拡大転置Ｅ
２９…Ｓ箱
ＳＷ１１，ＳＷ１２、ＳＷ１３、ＳＷ２１、ＳＷ２２、ＳＷ２３…スイッチ
３４ａ、３４ｂ…処理
４２ａ、４３ａ、４４ａ、４２ｂ、４３ｂ、４４ｂ…排他的論理和
４１ａ…初期転置ＩＰ
４１ｂ…最終転置ＩＰ−１
【発明の属する技術分野】
本発明は暗号化装置、復号装置、暗号化手法、および復号手法に関し、特に、秘密鍵ブロック暗号を用いた暗号化装置、復号装置、暗号化手法、復号手法、およびそのプログラム記憶媒体に関する。
【０００２】
【従来の技術】
ＤＥＳ （Ｄａｔａ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）は、現在、最も広範に用いられている秘密鍵ブロック暗号であり、特開昭５１−１０８７０１ 号広報に詳細に記載されている。
【０００３】
ＤＥＳ に関してはさまざまな観点からの評価が行われており、差分解読法や線形解読法といった鍵の全数探索よりも効率的な解読法が提案された。
【０００４】
なお、差分解読法については、文献、Ｅ．Ｂｉｈａｍ ａｎｄ Ａ．Ｓｈａｍｉｒ， Ｄｉｆｆｅｒｅｎｔｉａｌ Ｃｒｙｐｔａｎａｌｙｓｉｓ ｏｆ ＤＥＳ−ｌｉｋｅ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ， Ｊｏｕｒｎａｌ ｏｆ ＣＲＹＰＴＯＬＯＧＹ， Ｖｏｌ．４， Ｎｕｍｂｅｒ １，１９９１ に、線形解読法については、文献、松井充、“ＤＥＳ 暗号の線形解読（Ｉ ）”、暗号と情報セキュリティシンポジウム、ＳＣＩＳ９３−３Ｃ，１９９３に記載されている。
【０００５】
新たな解読方法としてＤＰＡ（Ｄｉｆｆｅｒｅｎｔｉａｌ Ｐｏｗｅｒ Ａｎａｌｙｓｉｓ ）が提案されている。ＤＰＡ はデータのあるビットに着目して消費電力の差異（ビット０のときの消費電力とビット１のときの消費電力）を計測し、ビットを推測する。例えば、ＤＥＳ の場合、既知の暗号文出力と鍵の推測により、Ｓ 箱の入力およびそれに対応する出力を推測する。上記Ｓ 箱出力で推測した、ある１ビットが０あるいは１である場合の消費電力の差異を計測し、推測の正当性の検証、すなわち鍵の推測の正当性の検証を行う手法がＤＰＡ である。
【０００６】
【発明が解決しようとする課題】
このため、上述したＤＰＡによりＤＥＳが解読される恐れがあり、さらなるセキュリティが求められていた。
【０００７】
本発明の目的は、従来の暗号化装置、復号装置、暗号化手法、および復号手法のデータ暗号化処理結果を変更することなく、ＤＰＡによる解読を困難にする暗号化・復号装置、およびそのプログラム記憶媒体を提供することである。
【０００８】
【課題を解決するための手段】
上述の課題を解決するため、本発明は、平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換する暗号化装置において、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ， ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択する手段と、装置内部の平文に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、暗号文を出力する前に、暗号文から前記マスクａの影響を除去する手段とを具備したことを特徴とする。
【０００９】
また、本発明は、暗号ブロックを与えられた鍵情報に依存して平文ブロックに変換する復号装置において、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ， ａｉ￣）（ｉは１以上の正の整数）の中から一方を、復号を行う毎にランダムに選択する手段と、装置内部の暗号文に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、平文を出力する前に、前記平文から前記マスクａの影響を除去する手段とを具備したことを特徴とする。
【００１２】
また、本発明は、平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換させるための、コンピュータ読み出し可能なプログラムコード手段が記憶されたコンピュータ使用可能なプログラム記憶媒体において、コンピュータに、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ， ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択させるためのコンピュータ読み出し可能なプログラムコード手段と、コンピュータに、前記選択されたマスクパターンを用いて、方法内部の平文に依存したビットを選択されたマスクパターンによってマスクさせるためのコンピュータ読み出し可能なプログラムコード手段と、コンピュータに、暗号文を出力する前に、暗号文から前記マスクａの影響を除去させるためのコンピュータ読み出し可能なプログラムコード手段とを具備したことを特徴とする。
【００１３】
この発明によれば、本来のデータをマスクし、各Ｓ箱に入力する直前でそのマスクを解除する。しかし、このマスクを解除したときに、ＤＰＡにより解読される恐れがある。このため、この発明によれば、Ｓ箱への入力直前におけるマスク解除、マスク解除後の本来のデータによるＳ箱への入力、およびＳ箱からの出力のマスク操作を、事前に計算し、テーブルとして記憶し、テーブルを参照することにより計算結果を求める。このため、暗号化および復号の処理中に、マスク解除のための排他的論理和の計算や、マスクをかけるための排他的論理和の計算が行われることはないので、ＤＰＡによる解読は不可能となる。
【００１４】
【発明の実施形態】
以下、図面を参照して本発明の実施形態を説明する。
【００１５】
図１は本発明が適用される、暗号化アルゴリズムＤＥＳ の構成を示す図であり、平文（６４ビット）３を外部から入力された鍵８に依存して攪拌し、対応する暗号文を出力する第１段〜第１６段から構成されるデータ攪拌部１と、鍵情報ｋを前記データ攪拌部に供給される中間鍵に展開する鍵スケジュール部２からなる。
【００１６】
図１において、平文（６４ビット）３は初期転置ＩＰ ４が施された後、２つに等分される。等分された結果の左側３２ビットのデータと右側３２ビットのデータはそれぞれ、段関数５の入力となる。段関数の構造は後述する。段関数の出力の左側３２ビットのデータと右側３２ビットのデータは入れ替えられて次段の段関数の入力となる。
【００１７】
上記段関数を１６段繰り返した後、最終転置ＩＰ−１６ により暗号文７が出力される。
【００１８】
図２は図１に示す段関数５の詳細ブロック図である。段関数１７は転置Ｅ１１、排他的論理和１３、Ｓ箱１４、転置Ｐ１５および排他的論理和１６とで構成される。
【００１９】
右側３２ビットのデータを拡大転置Ｅ １１により４８ビットに拡大し、その結果を排他的論理和１３に出力する。排他的論理和１３は、転置Ｅ １１の出力と、拡大鍵１２の排他的論理和を出力する。排他的論理和１３の出力４８ビットは６ビットのデータに等分され、各Ｓ 箱１４の入力となる。この実施形態では、各Ｓ箱はテーブルで構成され、６４エントリの６ビット入力に対してそれぞれ４ビットデータを出力する。例えばＤＥＳのＳ１は、６ビット入力の左端を第１ビット、右端を第６ビットとすると、第１ビットと第６ビットを２進数とみなした数字で図３に示すＳ箱の表の行を指定する。なお、図３に示すＳ箱の表の行番号は上から０、１、２、３行と数える。次に残りの４ビットを２進数とみなした数字で列の番号を指定する。列番号も左端から０、１、２、３、…１５列と数える。例えば、Ｓ１の入力を０１１０１１とすると、行番号は０１すなわち、図３において、上から２番目の行となる。次に、列番号は０１１０１すなわち１３（左から１４番目の列）なので表の値は５となる。従ってＳ１の出力はこの２進表現である０１０１となる。なお、図３では、Ｓ箱の出力を行と列で示したが、一般には、０から６３までの入力に対応した表として構成される。各Ｓ 箱の出力を結合した３２ビットのデータは、転置Ｐ １５によりビット転置操作が行われ、その結果が排他的論理和１６に出力される。排他的論理和１６は左側３２ビットのデータと転置Ｐ １５の出力との排他的論理和を出力する。
【００２０】
図４は図１に示す段関数５および図２に示す段関数１７の詳細回路図であり、図５ａは第１段の段関数への入力の構成を示す図であり、図５ｂは第１６段の段関数の出力の構成を示す図である。
【００２１】
以下、図４、図５ａ、および図５ｂを参照して本発明の実施形態を詳細に説明する。
【００２２】
図４において、ａおよびｂはそれぞれ３２ビットのマスクを表し、ａ￣はａの全ビット反転を表す。図４に示す段関数３５において、排他的論理和２５は、右側３２ビットのデータを、スイッチＳＷ２３の出力と排他的論理和を行い拡大転置Ｅ２６に出力する。拡大転置Ｅ２６の出力は、排他的論理和２７において拡大鍵Ｋｉと排他的論理和が行われ、スイッチＳＷ１２に出力する。スイッチＳＷ１２は、後述の乱数列Ｒｉｊによりデータの分岐を行う。例えば、Ｒｉｊ が０の場合には、スイッチＳＷ１２は、データを０側に分岐し、Ｒｉｊ が１の場合には、データを１側に分岐する。
【００２３】
図４において、スイッチＳＷ１２の分岐以降は、各Ｓ箱についての構成を示す図であり、すなわちＳ箱２９はＤＥＳ のＳ１〜Ｓ８に対応する。
【００２４】
スイッチＳＷ１２が、データを０側に分岐した場合、破線３４ａで示す処理を行う。すなわち、排他的論理和３２ａは、排他的論理和２７の出力と、マスクａに拡大転置Ｅ を行った結果のＳ 箱の入力に対応する６ビット（Ｅ（ａ））との排他的論理和を行い、その結果をＳ箱２９に出力する。Ｓ箱２９においては、対応するＳ箱のテーブル参照が行われた結果が、排他的論理和３３ａに出力される。
【００２５】
排他的論理和３３ａにおいては、マスクａに転置Ｐ３０の逆転置Ｐ−１を行った結果であるＰ−１（ ａ） のビットと、Ｓ箱２９の出力との排他的論理和が行われ、その結果がスイッチＳＷ１１に出力される。
【００２６】
一方、スイッチＳＷ１２が、データを１側に分岐した場合、破線３４ｂで示す処理を行う。すなわち、排他的論理和３２ｂは、排他的論理和２７の出力と、マスクａ￣に拡大転置Ｅ を行った結果のＳ 箱の入力に対応するビットとの排他的論理和を行い、その結果をＳ箱２９に出力する。Ｓ箱２９は、対応するＳ箱のテーブルを参照し、その結果を排他的論理和３３ｂに出力する。
【００２７】
排他的論理和３３ｂは、マスクａ￣に転置Ｐ（３０）の逆転置Ｐ−１を行った結果であるＰ−１（ａ￣）のＳ箱の出力に対応する４ビットと、Ｓ箱２９の出力との排他的論理和を行い、その結果をスイッチＳＷ１１に出力する。
【００２８】
ただし、上記破線３４ａおよび３４ｂで示す各処理は、暗号化および復号の処理中に行ってはならない。なぜならば、上記マスクによるデータの秘匿を行っていても、Ｓ箱２９の入出力は秘匿されていないため、Ｓ箱の処理の消費電力の差異を用いた解読が試みられる可能性があるからである。
【００２９】
本発明の実施形態では、破線３４ａおよび３４ｂで示す各処理結果は、暗号化および復号を行う前に事前計算により処理結果を作成し、暗号化および復号処理を行う。例えば、各Ｓ箱について、Ｓ箱の入力のインデックスと出力を書き換えたテーブルを用意し、暗号化および復号の処理に用いる。このとき、マスクａに対応したＳ箱のテーブルとマスクａ￣に対応したＳ箱のテーブルを用意する。例えば、マスクａを使って、図４の処理ブロック３４ａを計算した結果は以下の通りである。今、マスクａを（０１１０ １１１１ １１００ １０１０ ０１１０ １１００ １１００ ００１１）とする。拡大転置Ｅは図６に示す表で表される。図６の表において、各行は上からＳ１、Ｓ２、…Ｓ８への入力に対応する。また、各列は左端の第１ビットがＳ箱の入力の第１ビットに対応する。表の数字は拡大転置Ｅへの入力の第Ｘビットを表す。すなわち、Ｓ１の入力は、Ｅへの入力の第３２、１、２、３、４、、５ビットになる。従って、マスクａが上記の例の場合、Ｓ１の入力に対応するビットマスク（ａ）は（１０１１０１）となる。転置Ｐの表は図７に示される。図７において、左から順番にＰの出力の第１ビットから第３２ビットまでに対応する。（１行目と２行目は連続している）。各項目は入力の第Ｘビットを表す。すなわち、転置Ｐの出力の第１ビットは入力の第１６ビットになる。Ｓ１に対応するビットは転置Ｐの入力の第１、２、３、４ビットなので、それぞれＰの出力の第９、１７、２３、３１ビットに対応する。Ｓ１の出力に対応するマスクはＰ−１（ａ）すなわち、Ｐの出力がａになる値なので、マスクａの第９、１７、２３、３１ビットがＰ−１（ａ）となる。従って、Ｓ１の出力に対応するマスクは（１００１）となる。従って、マスクａが上記の場合、Ｓ１の入力に対応するビットマスクＥ（ａ）は（１０１１０１）、Ｓ１の出力に対応するビットマスクＰ−１（ａ）は（１００１）となる。実際に作成するマスクａに対応したテーブルは、入力をビットマスクＥ（ａ）と排他的論理和した結果をＳ１の入力としてＳ１の出力を計算して、そのＳ１の出力にビットマスクＰ−１（ａ）を排他的論理和で加えたものがテーブルの出力になる。上記マスクａの場合、入力が（００００００、０００００１、…１１１１１１）に対応する隠蔽されたＳ１の出力（０から６３までの入力に対する出力）を列挙すると、それぞれの出力を列挙すると、図８に示すような結果となる。また、マスクａ−（ａのビット反転）のテーブルは、図９に示すような結果となる。
【００３０】
破線３４ａおよび３４ｂで示す各処理ブロックの出力は、転置Ｐ３０において、転置が行われ排他的論理和３１に出力される。排他的論理和３１は、左側３２ビットのデータと、転置Ｐ３０の出力との排他的論理和を行う。排他的論理和２４は右側３２ビットのデータと、スイッチＳＷ１３の出力との排他的論理和を取り、新たな右側３２ビットのデータとする。
【００３１】
図５ａにおいて、平文（６４ビット）を初期転置ＩＰ４１ａにより転置を行った結果は、等分され、右側３２ビットと左側３２ビットとなる。排他的論理和４４ａは、左側３２ビットのデータと、スイッチＳＷ２１の出力との排他的論理和を取る。この排他的論理和４４ａの出力は、第１ 段の段関数の入力の左側３２ビットとなる。排他的論理和４２ａは右側３２ビットのデータと、スイッチＳＷ１４の出力との排他的論理和を取る。排他的論理和４３ａは、排他的論理和４２ａの出力と、スイッチＳＷ２２の出力との排他的論理和を取る。
【００３２】
この排他的論理和４３ａの出力は、第１段の段関数の入力の右側３２ビットとなる。なお、図５ａにおいて、排他的論理和の性質により４２ａと４３ａの順序は入れ替えても良い。
【００３３】
図５ｂにおいて、平文（６４ビット）を初期転置ＩＰ４１ａにより転置を行った結果は、等分され、右側３２ビットと左側３２ビットとなる。排他的論理和４４ｂは、左側３２ビットのデータと、スイッチＳＷ２１の出力との排他的論理和を取る。これにより、図５ａの排他的論理和４３ａにおいて加えたマスクの影響を除去する。排他的論理和４４ｂの出力は、最終転置ＩＰ− １ ４１ｂに入力される。排他的論理和４２ｂは、右側３２ビットのデータと、スイッチＳＷ１４の出力との排他的論理和を取る。排他的論理和４３ｂは、排他的論理和４２ｂの出力と、スイッチＳＷ２２の出力との排他的論理和を取る。これにより、図５ａの排他的論理和４４ａにおいて加えたマスクの影響を除去する。排他的論理和４３ｂの出力は、最終転置ＩＰ− １ ４１ｂに入力される。なお、図５ｂにおいて、排他的論理和の性質により４２ｂと４３ｂの順序は入れ替えても良い。
【００３４】
図４、図５ａ および図５ｂで示した構成の特徴を以下に述べる。
【００３５】
排他的論理和４４ａ、４２ａ、および４３ａは、マスクａおよびｂなどのマスクにより、データを秘匿する。これにより、データ攪拌部において、左側３２ビットのデータおよび右側３２ビットのデータを外界から観測することが困難となる。しかし、上記マスクによるデータの秘匿を行った場合、図２の各Ｓ 箱１４への入力が本来の平文データのものと異なる結果となる。したがって、各Ｓ 箱１４の出力も異なる結果、出力される暗号文が本来の平文データに対応したもので無くなる。
【００３６】
上記問題点を解消するために、各段の段関数においては、図４の排他的論理和２５において、マスクｂあるいはマスクｂ￣と排他的論理和を行う。これにより、図５ａ において加えたマスクｂまたはｂ￣による秘匿の影響を除去する。
【００３７】
さらに、スイッチＳＷ１２で０側の分岐の場合、排他的論理和３２ａ において、図５ａ で加えたマスクａ による秘匿の影響を除去する。すなわち、Ｓ ２９の入力は、本来の平文入力の場合と同じ入力となる。Ｓ ２９の出力は、排他的論理和３３ａ において、マスクａ により再び秘匿される。ここで、処理ブロック３４ａ は事前計算によりテーブル参照で行われるので、外界から、Ｓ ２９の直接の入出力に関係した電力消費のデータの有意な変異を観測することはできない。
【００３８】
図４の排他的論理和２４により、右側３２ビットのデータに加えたマスクａ あるいはマスクａ￣の影響を一旦除去する。しかし、右側３２ビットのデータは依然、マスクｂあるいはマスクｂ￣により秘匿されているので安全である。右側３２ビットのデータは次段の左側３２ビットのデータになり、排他的論理和３１において転置Ｐ ３０の出力と排他的論理和を行うことにより、再び、マスクａ （あるいはマスクａ￣）およびマスクｂ（あるいはマスクｂ￣）によって秘匿され、その次の段の右側入力となる。したがって、上述の通り、各段の各Ｓ 箱における変換のＤＥＳ との同一性は保たれる。
【００３９】
また、最終段の出力においては、図５ａ において加えた各マスクの秘匿の影響を除去するため、図５ｂに示した、各マスクによる排他的論理和を行う。
【００４０】
スイッチＳＷ１１、ＳＷ１２、ＳＷ１３、およびＳＷ１４は、乱数列｛Ｒ １ｉ｝によって制御する。スイッチＳＷ２１、ＳＷ２２、およびＳＷ２３は、乱数列｛Ｒ２ｉ｝によって制御する。例えば、各スイッチは、Ｒｊｉ＝０のとき０側の分岐を、Ｒｊｉ ＝１のとき１側の分岐を選ぶ。スイッチの制御を行う乱数列｛Ｒ １ｉ｝および｛Ｒ ２ｉ｝は、各ブロックの暗号化および復号の処理ごとに変化させることを特徴とする。例えば、ある暗号化の処理では各段のスイッチＳＷ１１、ＳＷ１２、ＳＷ１３、およびＳＷ１４はすべて０側で処理を行い、別の暗号化では、各段のスイッチＳＷ１１、ＳＷ１２、ＳＷ１３、およびＳＷ１４はすべて１側で処理を行う。
【００４１】
乱数列｛Ｒ １ｉ｝と乱数列｛Ｒ２ｉ｝に明白な依存関係があった場合、攻撃者にマスクａ とマスクｂを推測する手がかりを与えることになるので、乱数列｛Ｒ １ｉ｝と乱数列｛Ｒ２ｉ｝には明らかな依存関係を持たない乱数列を用いる。
【００４２】
理想的には、統計的に独立な２つの乱数列を用いることが推奨される。
【００４３】
ただし、実際には、統計的依存関係が存在しても、その影響が充分小さければ、ＤＰＡ対策として有効である。本発明を実装する手段として２つのｍ系列生成器を用意して、第１のｍ系列生成器の出力を｛Ｒ１ｊ｝、第２のｍ系列生成器の出力を｛Ｒ２ｊ｝とすることが考えられる。ｍ系列の周期が充分長く２つのｍ系列生成器の系列長、対応する規約多項式式、初期値の一部または全部が異なるようにすれば上記条件を充分満たすと考えられる。連数列の別な実現手段として、１つのｍ系列生成器を用意し、それを１回の暗号化または復号の処理毎に２ビットを生成させ、その第１ビットを｛Ｒ １ｊ｝、第２ビットを｛Ｒ ２ｊ｝として用いることが考えられる。
【００４４】
ここではｍ系列生成器を具体例として挙げたが、実用上安全と考えられる乱数列生成器なら何を用いても良い。なお、この乱数列が外部からは推測されない様に実装する必要がある。あるいは別な実現手段として、乱数列をあらかじめ記憶装置に蓄えておき、それを順次参照することも可能である。なお、この乱数列が外部からは推測されない様に実装する必要がある。
【００４５】
図４、図５ａ、および図５ｂにおいて、ビット列の１の数、すなわちハミング重みをＨ（ａ）で定義する。ＤＰＡ では、データ暗号化処理に伴う消費電力の差異を観測して暗号化鍵に関する情報を収集する。上記マスクを用いたデータの隠蔽により、外界からの消費電力の計測と処理されるデータの対応をとることが困難となる。しかし、マスクのハミング重みに差異がある場合、複数の暗号化処理データの計測と統計情報により、マスクａとｂのみを用いているデータのみを抽出することができる可能性がある。そして、そのようなデータのみの抽出が可能ならば、ＤＰＡの手法を用いることにより、従来の場合同様に鍵の抽出が可能となる。このように使用されているマスクがａ なのかａ￣なのかの区別ができて充分な対策にならない。例えば、マスクａ とａ￣あるいはマスクｂとｂ￣のハミング重みが同じとすれば、外界からの計測でマスクを判別することは困難となり安全であるが、逆に、マスクのビット重みに偏りがあるならば、安全性は著しく劣化する。
【００４６】
したがって、図４、図５ａ、および図５ｂにおいて、Ｈ（ａ）＝Ｈ（ａ￣）＝Ｈ（ｂ）＝Ｈ（ｂ￣）＝ｎ／２＝１６の条件を満たすマスクの選択（以下、マスクのハミング重みが等しい）ならば安全性は高い。ここでマスクａおよびｂのビット数ｎは３２であるので、マスクａ、マスクｂ、およびそれらのビット反転のビット重みがそれぞれ１６であるマスク値を使用することが推奨される。ただし、理想的には上記のようにマスクのハミング重みがマスクのビット長の丁度半分であるマスクを使用することが推奨されるが、ハミング重みがほぼ等しい２つのマスクを用い同様の効果が得られる。
【００４７】
すなわち、各マスクのハミング重みが極端に偏っていなければ、外界からの計測でマスクを判別することは容易でなく、ＤＰＡ対策としての効果が得られる。
【００４８】
さらに、図４のＤＥＳ の拡大転置２６の特性に着目する。上記ハミング重みに着目したマスク値の選択と同様の理由から、排他的論理和３２ａ および３２ｂにおいて加えられる、Ｅ （ａ ）とＥ （ａ￣）のハミング重みが等しくなるマスクを選択する。すなわち、Ｈ （Ｅ（ａ））＝Ｈ （Ｅ（ａ￣））を満足するマスクを選択する。
【００４９】
上記マスクの条件をＤＥＳ の実装に当てはめると、例えばマスクａ に対しては、マスクａ を４ビットづつ区切ったときの各ブロックの“第１ビット”（左端のビット）の１の数＝マスクａ を４ビットづつ区切ったときの各ブロックの“第４ビット”（右端のビット）の１の数＝４の条件を満たすことを要求する。すなわち、上記条件を満たすマスクａ およびマスクｂの選択を特徴とする。上記条件を満たすマスク値の例として、（１０００００１１１１１０１１０１１１１００１０１００１００００１）２ や（１１０１１０１００１１００１０１００１１０１０１１０００１０１０）２ などが使用できる。
【００５０】
ただし、理想的には上記条件を満たすマスク値を使用することが推奨されるが、「マスクａ を４ビットづつ区切ったときの各ブロックの“第１ビット”の１の数」と「マスクａ を４ビットづつ区切ったときの各ブロックの“第４ビット”の１の数」が、極端に偏っていなければ同様の効果が得られる。
【００５１】
なお、上記条件を満たすマスク値を使用する場合において、スイッチを制御する乱数列｛Ｒ １ｊ｝と｛Ｒ ２ｊ｝が自明な相関を持たないならば、マスクａ とマスクｂが同一のマスク値であっても、ＤＰＡ 対策として有効である。
【００５２】
図１に示したＤＥＳ の構成は最も広く知られているものであるが、処理の高速化をねらい、様々な等価変形を施したＤＥＳ の構成法が知られている。
【００５３】
以下、本発明をＤＥＳ に適用した場合における変形例について説明する。
【００５４】
図１０はＤＥＳ の等価変形の例である。図１０に示すＤＥＳ の実装においては、処理の効率化のために、拡大転置Ｅ １１と転置Ｐ １５を一つの転置にまとめＥＰ５３として処理している。入力された平文５８を初期転置ＩＰ５７において転置を行った出力は、二つに等分され、右側３２ビットは拡大転置Ｅ ５１ａ に入力され、左側３２ビットは拡大転置Ｅ ５１ｂに入力される。拡大転置Ｅ５１ａの出力４８ビットは第一段の入力の右側４８ビットである。拡大転置Ｅ５１ｂの出力４８ビットは第一段の入力の左側４８ビットである。入力の右側４８ビットは排他的論理和５５において、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ箱５４に出力される。Ｓ箱５４はテーブル参照により対応する出力をＥＰ５３に出力する。ＥＰ５３において、入力は転置が行われ、排他的論理和５６に出力される。排他的論理和５６において、拡大転置Ｅ５１ｂの出力である左側４８ビットと、ＥＰ５３の出力の排他的論理和が行われ、次段の入力の右側４８ビットになる。上記第１段の処理を第１６段まで繰り返す。第１６段の出力において、右側４８ビットは縮約転置Ｅ−１５２ａに入力され、左側４８ビットは縮約転置Ｅ−１５２ｂに入力され、それぞれの出力３２ビットは最終転置ＩＰ−１５９に入力され、６４ビットの暗号文６０が出力される。
【００５５】
このような変形版ＤＥＳ に本発明を適用し、ＤＰＡ を防止する手法を以下に示す。
【００５６】
図１１は図１０で示したＤＥＳの実装に対する、本発明の一実施形態である。図１１において、Ｅ（ａ）／Ｅ（ａ￣）は図３に示した、排他的論理和によるスイッチＳＷ２３のマスクの加え方を表す。すなわち、Ｅ（ａ）／Ｅ（ａ￣）はＥ（ａ）もしくはＥ（ａ￣）によるマスクを表す。
【００５７】
図１１は、図１０で示したＤＥＳの実装に対しても、図４、図５ａ、および図５ｂで示した本発明の適用が可能であることを示す一実施形態である。
【００５８】
入力された平文に初期転置を行った出力は、二つに等分され、右側３２ビットは拡大転置Ｅ ６１ａに入力され、左側３２ビットは拡大転置Ｅ ６１ｂに入力される。拡大転置Ｅ６１ａの出力４８ビットは排他的論理和６４において、マスクＥ（ａ）／Ｅ（ａ￣）と排他的論理和が行われ、排他的論理和６５に出力される。排他的論理和６５において、排他的論理和６４の出力はマスクＥ（ｂ）／Ｅ（ｂ￣）と排他的論理和が行われ、第１段の入力の右側４８ビットになる。なお、排他的論理和の性質により、排他的論理和６４と６５の順序を入れ替えても良い。
【００５９】
拡大転置Ｅ６１ｂの出力４８ビットは排他的論理和６９において、マスクＥ（ｂ）／Ｅ（ｂ￣）と排他的論理和が行われ、第１段の入力の左側４８ビットになる。
【００６０】
入力の右側４８ビットは、排他的論理和６６において、マスクＥ（ａ）／Ｅ（ａ￣）と排他的論理和が行われ、次段の入力の左側４８ビットになる。入力の右側４８ビットは、排他的論理和６７において、マスクＥ（ｂ）／Ｅ（ｂ￣）と排他的論理和が行われ、排他的論理和６８に出力される。排他的論理和６７の出力は、排他的論理和６８において、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ＾６２に出力される。Ｓ＾６２の構造については後述する。ＳＳ＾６２の出力はＥＰ６３により転置が行われ、排他的論理和７０に出力される。
【００６１】
排他的論理和７０において、入力データの左側４８ビットと、ＥＰ６３の出力は排他的論理和が行われ、次段の入力の右側４８ビットになる。上記第１段の処理を第１６段まで繰り返す。最終段の出力においては、第１段への入力で述べた処理の逆を行う。すなわち、右側４８ビットには排他的論理和６５、排他的論理和６４および縮約転置Ｅ−１を行い、左側４８ビットには排他的論理和６５および縮約転置Ｅ−１を行い、それぞれの出力３２ビットづつを最終転置に出力する。
【００６２】
図１２は図１１に示したＳ＾６２の構造を示す図である。
【００６３】
図１２において、α＝Ｅ（ａ）、α￣＝ Ｅ（ａ￣）と表す。Ｓ＾６２の入力は、排他的論理和７１において、マスクαあるいはマスクα￣と排他的論理和が行われ、Ｓ箱７２に入力される。Ｓ箱７２の出力は、排他的論理和７３において、マスクＰ−１Ｅ−１（α）あるいはマスクＰ−１Ｅ−１（α￣）と排他的論理和が行われ、Ｓ＾６２の出力となる。
【００６４】
すなわち、図１２の７４は、本発明においては図４に示したスイッチＳＷ１２およびスイッチＳＷ１１を含む、処理ブロック３４ａと３４ｂに対応する。ただし、７４の処理は、暗号化および復号の処理中に行ってはならない。なぜならば、上記マスクによるデータの秘匿を行っていても、Ｓ箱７２の入出力は秘匿されていないため、Ｓ箱の処理による消費電力の差異を用いた解読が試みられる可能性があるからである。
【００６５】
本発明の実施形態においては、暗号化および復号を行う前に、事前計算により７４の処理結果を作成し、暗号化および復号処理で使用することを特徴とする。例えば、各Ｓ箱について、Ｓ箱の入力のインデックスと出力を書き換えたテーブルを用意し、Ｓ＾として暗号化および復号の処理に用いる。このとき、マスクαに対応したＳ＾のテーブルとマスクα￣に対応したＳ＾のテーブルがＳ箱に用意される。
【００６６】
図１３はＤＥＳ の等価変形の別の例である。
【００６７】
図１３に示すＤＥＳ の実装においては、処理の効率化のために、拡大転置Ｅ １１と転置Ｐ １５を一つの転置にまとめＥＰ８３として処理している。入力された平文８８を初期転置ＩＰ８７において転置を行った出力は、二つに等分され、右側３２ビットは転置Ｐ−１８１ａ に入力され、左側３２ビットは転置Ｐ−１８１ｂに入力される。転置Ｐ−１８１ａの出力３２ビットは第一段の入力の右側３２ビットである。転置Ｐ−１８１ｂの出力３２ビットは第一段の入力の左側３２ビットである。入力の右側３２ビットはＥＰ８３に入力され、拡大転置を行われた結果が排他的論理和８５に出力される。排他的論理和８５において、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ箱８４に出力される。Ｓ箱８４はテーブル参照により対応する出力を排他的論理和８６に出力する。排他的論理和８６において、拡大転置Ｅ８１ｂの出力である左側３２ビットと、Ｓ箱８４の出力の排他的論理和が行われ、次段の入力の右側３２ビットになる。上記第１段の処理を第１６段まで繰り返す。
【００６８】
第１６段の出力において、右側３２ビットは転置Ｐ８２ａに入力され、左側３２ビットは転置Ｐ８２ｂに入力され、それぞれの出力３２ビットは最終転置ＩＰ−１８９に入力され、６４ビットの暗号文９０が出力される。このような変形版ＤＥＳ に本発明を適用し、ＤＰＡ を防止する手法を以下に示す。
【００６９】
図１４は図１３で示したＤＥＳの等価変形の例に対する、本発明の一実施形態である。
【００７０】
図１４において、Ｐ−１（ａ）／Ｐ−１（ａ￣）は図３に示した、排他的論理和によるスイッチＳＷ２３のマスクの加え方を表す。すなわち、Ｐ−１（ａ）／Ｐ−１（ａ￣）はＰ−１（ａ）もしくはＰ−１（ａ￣）によるマスクを表す。
【００７１】
図１４は、図１３で示したＤＥＳの実装に対しても、図４、図５ａ、および図５ｂで示した本発明の適用が可能であることを示す一実施形態である。
【００７２】
入力された平文に初期転置を行った出力は、二つに等分され、右側３２ビットは転置Ｐ−１９１ａ に入力され、左側３２ビットは転置Ｐ−１９１ｂに入力される。転置Ｐ−１９１ａの出力３２ビットは排他的論理和９４において、
Ｐ−１（ａ）／Ｐ−１（ａ￣）と排他的論理和が行われ、排他的論理和９５に出力される。排他的論理和９５において、排他的論理和９４の出力はマスクＰ−１（ｂ）／Ｐ−１（ｂ￣）と排他的論理和が行われ、第１段の入力の右側３２ビットになる。転置Ｐ−１９１ａの出力３２ビットは排他的論理和９４において、マスクＰ−１（ｂ）／Ｐ−１（ｂ￣）と排他的論理和が行われ、第１段の入力の左側３２ビットになる。なお、排他的論理和の性質により、排他的論理和９４と９５の順序を入れ替えても良い。
【００７３】
入力の右側３２ビットは、排他的論理和９６において、マスクＰ−１（ａ）／Ｐ−１（ａ￣）と排他的論理和が行われ、次段の入力の左側３２ビットになる。入力の右側３２ビットは、排他的論理和９７において、マスクＰ−１（ｂ）／Ｐ−１（ｂ￣）と排他的論理和が行われ、ＥＰ９３に出力される。ＥＰ９３において拡大転置を行った結果の４８ビット出力は、排他的論理和９８に出力され、拡大鍵Ｋ１と排他的論理和が行われ、Ｓ＾９２に出力される。Ｓ＾９２の構造については後述する。Ｓ＾９２の出力は、排他的論理和１００に出力され、入力データの左側３２ビットと、排他的論理和が行われ、次段の入力の右側３２ビットになる。上記第１段の処理を第１６段まで繰り返す。
【００７４】
最終段の出力においては、第１段への入力で述べた処理の逆を行う。すなわち、右側３２ビットには排他的論理和９５、排他的論理和９４および転置Ｐを行い、左側３２ビットには排他的論理和９５および転置Ｐを行い、それぞれの出力３２ビットづつを最終転置に出力する。
【００７５】
図１５は図１４に示したＳ＾９２の構造を示す図である。
【００７６】
図１５において、α＝Ｐ−１（ａ）、α￣＝Ｐ−１（ａ￣）と表す。
【００７７】
Ｓ＾９２の入力は、排他的論理和１０１において、マスクαあるいはマスクα￣と排他的論理和が行われ、Ｓ箱１０２に入力される。
【００７８】
Ｓ箱１０２の出力は、排他的論理和１０３において、マスクＰ−１Ｅ−１（α）あるいはマスクＰ−１Ｅ−１（α￣）と排他的論理和が行われ、Ｓ＾９２の出力となる。すなわち、図１５の１０４は、本発明においては図４に示したスイッチＳＷ１２およびスイッチＳＷ１１を含む、３４ａと３４ｂに対応する。ただし、１０４の処理は、暗号化および復号の処理中に行ってはならない。なぜならば、上記マスクによるデータの秘匿を行っていても、Ｓ箱１０２の入出力は秘匿されていないため、Ｓ箱の処理による消費電力の差異を用いた解読が試みられる可能性があるからである。すなわち、本発明の実施形態においては、暗号化および復号を行う前に、事前計算により１０４の処理結果を作成し、暗号化および復号処理で使用することを特徴とする。例えば、各Ｓ箱について、Ｓ箱の入力のインデックスと出力を書き換えたテーブルを用意し、Ｓ＾として暗号化および復号の処理に用いる。
【００７９】
このとき、マスクαに対応したＳ＾のテーブルとマスクα￣に対応したＳ＾のテーブルがＳ箱に用意される。
【００８０】
次に、図１６、図１７、および図１８を用いて本発明を鍵スケジュール部に適用した一実施形態を説明する。
【００８１】
真の鍵のビットパターンＫをマスクするマスクパターンｃとそのビット反転パターンｃ￣を用意し、Ｋを指定された２項演算を用いてｃによって変換した値をＫｃとし、また同じ２項演算を用いてＫをｃ￣によって変換した値をＫｃ￣とし、ＫｃとＫｃ￣をあらかじめ記憶装置に記憶しておき、暗号化または復号を実施する度にランダムにＫｃとＫｃ￣の一方を選択し、それを真の鍵と同様の処理によって処理し、平文に対して前記２項演算によって作用させると共に、その２項演算の出力からｃまたはｃ￣の対応するパターンの影響を前記２項演算の逆変換により除去する。２項演算として排他的論理和を用いる暗号方式の例としてＤＥＳ 方式に本発明を適用した場合の例を示す。まず、鍵ＫｃとＫｃ￣の２つのマスクされた鍵を用意する。
【００８２】
Ｋｃ ＝ Ｋ （＋） ｃ
Ｋｃ￣＝ Ｋ （＋） ｃ￣
但し、記号（＋） はビット毎の排他的論理和を表す。
【００８３】
暗号化または復号に先立ってまずＫｃ，Ｋｃ￣のいずれか一方をランダムに選択し、ＤＥＳ の鍵スケジュール処理を行い、順次１６通りの拡大鍵を生成する。Ｋｃから拡大された１６個の鍵は記号Ｋｃｉ（ｉ＝１、…１６）で表し、Ｋｃ￣から拡大された鍵はＫｃ￣ｉ （ｉ＝１、…１６）であらわす。Ｋｃから拡大された拡大鍵はマスクｃの影響を、またＫｃ￣から拡大された拡大鍵はマスクｃ￣の影響をそれぞれ受けている。その影響はＤＥＳ の鍵スケジュール処理により定まるが、ここでは、マスクを掛けていない真の鍵Ｋを鍵スケジュールで拡大した鍵をＫｉ（ｉ＝１、…１６）と表し、ＫｉとＫｃｉの排他的論理和をｃｉとし、ＫｉとＫｃ￣ｉの排他的論理和をｃ￣ｉ とする。すなわちｃｉ＝ Ｋｉ （＋）Ｋｃｉ
ｃ￣ｉ ＝ Ｋｉ （＋） Ｋｃ￣ｉ
ＤＥＳ において各拡大鍵Ｋｉは拡大転置Ｅの直後にビット毎の排他的論理和演算によってメッセージに作用させられる。本発明においては、Ｋｉの代わりにＫｃｉまたはＫｃ￣ｉを作用させる。Ｋｃｉを作用させた場合にはＫ ｃｉを作用させた後に、ｃｉを排他的論理和によって作用させてその影響を取り除き、Ｋｃ￣ｉを作用させた場合にはｃｉ￣を作用させた後に、排他的論理和演算で作用させその影響を取り除く。ｃｉ、ｃｉ￣はそれぞれｃおよびｃ￣をＤＥＳ の鍵スケジュールで拡大鍵同様に拡大することによって得られる。ｃｉやｃｉ￣は暗号化または復号の度に選択されたマスクｃまたはｃ￣から作成してもよい。但し、外部からの観測に対して最も漏洩する情報が少ない方法は、あらかじめｃｉとｃ￣ｉをすべて計算しておくことである。その場合、４８ビットのマスク１６通りを２セット、合計１５３６ビットあらかじめ用意することになる。このマスクは例えばＩＣカードに本発明を適用した場合、少なくともカード毎固定で良いので、ｃｉ，ｃ￣ｉはＲＯＭに書き込んでおくことができる。このことはメモリ量の制約が強いＩＣカードにおいては特に重要である。一般に同じビット数を記憶する場合、ＲＡＭ やＥＥＰＲＯＭに比べＲＯＭ の面積は小さい。従って１５３６ビットのマスクをＲＯＭ に記憶させることはＲＡＭ やＥＥＰＲＯＭに記憶させるのに比べＬＳＩチップ面積の使用効率が高くなる。
【００８４】
図１６にＤＥＳ の鍵スケジュールを示す。
【００８５】
図中（ＰＣ−１）１１１と（ＰＣ−２）１１３はビットの選択と転置を組み合わせた関数であり、記号ＲＯＴ１１２は巡回シフト演算を表す。外部から入力された６４ビットの鍵Ｋ１１５は（ＰＣ−１）１１１により、その内８ビットが捨てられ、２８ビットの２つのビット列が巡回シフト１１２に渡される。巡回シフトされた合計５６ビットのデータはＰＣ−２変換１１３に入力され、拡大鍵４８ビットが出力される。図では１段分の拡大鍵のみ出力しているが、巡回シフトとＰＣ−２を繰り返すことによって２、３、．．．、１６段の拡大鍵を生成する。
【００８６】
図１７は鍵スケジュール部に本発明を適用した場合の処理の流れを表している。
【００８７】
鍵スケジュールの鍵入力段ではスイッチＳＷ３１により、ＫｃとＫｃ￣からランダムにほぼ１ ／２ の確率で選択し、鍵スケジュール部１２２に入力される。以下の鍵スケジュール部内での処理は通常のＤＥＳ の鍵スケジュール処理と同じである。出力される拡大鍵１２３は入力された鍵がＫｃであれば、Ｋｃｉ、Ｋｃ￣の時にはＫｃ￣ｉとなる。
【００８８】
図１８はマスクの影響を受けた拡大鍵を各ラウンド関数においてメッセージに作用させる様子を示している。
【００８９】
ＫｃｉまたはＫｃ￣ｉの一方をメッセージに作用させる方法は、通常の場合Ｋｉを作用させるのとまったく同じであり、拡大転置Ｅ１３１の出力４８ビットに、排他的論理和１３２において拡大鍵ＫｃｉまたはＫｃ￣ｉをビット毎の排他的論理和演算によって作用させる。こうして作用させた結果はマスクｃまたはｃ￣の影響を受けているのでこのままＳ箱に入力させると正しい暗号変換ができなくなる。従ってＳ箱に入力する前にマスクｃまたはｃ￣の影響を取り除く処理が必要である。具体的にはマスクの影響がｃｉの場合、ｃｉを排他的論理和１３３によってＳ箱１３４の入力前に作用させる。排他的論理和の逆変換は排他的論理和であるので、これによってｃｉの影響が除去できる。マスクの影響がｃ￣ｉの場合も同様である。
【００９０】
本実施形態においてマスクｃ￣はマスクｃのビット反転に選べば、拡大鍵の各ビットは１と０の値をほぼ均等に採る。これによって、暗号装置外部からの種々の観測に対して鍵に関する情報の漏洩を無くすことができる。漏洩する情報をできる限り少なくするには、さらにｃｉとｃ￣ｉのハミング重みが近い値をとることが望ましい。但しｃｉはｃを鍵スケジュールに通した結果であり全ての段のｃｉのハミング重みを完全にコントロールすることは困難である。そこで、例えば元のマスクｃのハミング重みがビットサイズの１／２ であるように選ぶ方法が考えられる。
【００９１】
上述した実施形態においては、ＤＥＳ 方式への適用について詳しく述べたが、本発明はこれに限らず、排他的論理和の様な２項演算、ビット入れ替えに相当する転置、Ｓ 箱に相当する換字の３種の一部または全部を使用して構成される様な暗号方式全般に適用可能である。
【００９２】
【発明の効果】
本発明によれば、与えられた暗号化および復号処理の同一性を保証しつつ、ＤＰＡ による解読を困難にすることにより、ＤＰＡ に対する安全性を増大することができる。
【図面の簡単な説明】
【図１】ＤＥＳ アルゴリズムの全体構成を示す図。
【図２】ＤＥＳ の段関数の構成を示す図。
【図３】ＤＥＳの規格表に従うＳ箱の内容の一例を示す図。
【図４】本発明による段関数にマスクを加えた構成を示す図。
【図５】本発明による入力段及び最終段でマスクを加えた構成を示す図。
【図６】拡大転置Ｅの表を示す図。
【図７】転置Ｐの表を示す図。
【図８】マスクａの場合の、入力が（００００００、０００００１、…１１１１１１）に対応する隠蔽されたＳ１の出力を示す図。
【図９】マスクａ−（ａのビット反転）のテーブルを示す図。
【図１０】ＤＥＳ アルゴリズムの一実装例の構成を示す図。
【図１１】図１０の構成において、本発明による段関数にマスクを加えた構成を示す図。
【図１２】図１１のＳ＾の構成を示す図。
【図１３】ＤＥＳ アルゴリズムの別の一実装例の構成を示す図。
【図１４】図１３の構成において、本発明による段関数にマスクを加えた構成を示す図。
【図１５】図１４のＳ＾の構成を示す図。
【図１６】ＤＥＳ アルゴリズムの鍵スケジュール部の構成を示す図。
【図１７】本発明による鍵スケジュール部にマスクを加える構成を示す図。
【図１８】本発明による段関数に鍵スケジュール部で加えたマスクを加える構成を示す図。
【符号の説明】
１…データ攪拌部
２…鍵スケジュール部
３…平文
４…初期転置ＩＰ
５…段関数
６…最終転置ＩＰ−１
７…暗号文
８…鍵
１１…拡大転置Ｅ
１２…拡大鍵
１３…排他的論理和
１４…Ｓ箱
１５…転置Ｐ
１６…排他的論理和
１７…段関数
２４、２５、２７、３１、３２ａ、３２ｂ、３３ａ、３３ｂ…排他的論理和
２６…拡大転置Ｅ
２９…Ｓ箱
ＳＷ１１，ＳＷ１２、ＳＷ１３、ＳＷ２１、ＳＷ２２、ＳＷ２３…スイッチ
３４ａ、３４ｂ…処理
４２ａ、４３ａ、４４ａ、４２ｂ、４３ｂ、４４ｂ…排他的論理和
４１ａ…初期転置ＩＰ
４１ｂ…最終転置ＩＰ−１
Claims (30)
- 平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換する暗号化装置であって、
あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択する手段と、
装置内部の平文に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、
暗号文を出力する前に、暗号文から前記マスクａの影響を除去する手段とを具備したことを特徴とする暗号化装置。 - 平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換する暗号化装置であって、
あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択する手段と、
装置内部の中間的なビットデータを、前記選択手段により選択されたマスクパターンによってマスクする手段と、
前記マスク手段によりマスクされた中間的なビットデータから前記マスクａの影響を除去する手段とを具備したことを特徴とする暗号化装置。 - 平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換する暗号化装置であって、
装置内部の中間的なデータにデータ変換を行うデータ変換手段と、
あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択する手段と、
前記データ変換手段の入力を、前記選択手段により選択されたマスクパターンによってマスクする手段と、
前記マスク手段によりマスクされた、前記データ変換手段の出力から前記マスクａの影響を除去する手段とを具備したことを特徴とする暗号化装置。 - 前記装置内部の平文に依存したビットを選択されたマスクパターンによってマスクする手段、および前記暗号文から該マスクａの影響を除去する手段が、排他的論理和、定数ｗを法とする加算または減算、および定数ｗを法とする乗算または除算のいずれかで構成されることを特徴とする請求項１記載の暗号化装置。
- 前記装置内部の中間的なビットデータを選択されたマスクパターンによってマスクする手段、およびマスクされた中間的なビットデータから該マスクａの影響を除去する手段は、排他的論理和、定数ｗを法とする加算または減算、および定数ｗを法とする乗算または除算のいずれかで構成されることを特徴とする請求項２記載の暗号化装置。
- 前記データ変換手段、前記データ変換手段の入力を前記選択されたマスクパターンによってマスクする手段、および前記マスクされたデータの変換手段の出力から該マスクａの影響を除去する手段は、排他的論理和、定数ｗを法とする加算または減算、および定数ｗを法とする乗算または除算のいずれかで構成されることを特徴とする請求項３記載の暗号化装置。
- 前記データ変換手段は、ビット入れ替え手段またはビット換字手段のいずれかで構成されることを特徴とする請求項３の暗号化装置。
- 前記あらかじめ定められたひとつ又は複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択する手段と、前記データ変換手段の入力を、前記マスクパターンａｉによってマスクする手段と、および前記マスクされた、前記データ変換手段の出力から前記マスクａｉの影響を除去する手段と、
をテーブル形式で記憶する第1の記憶手段と、
前記データ変換手段の入力をマスクパターンａｉ￣によってマスクする手段と、
前記マスクされた前記データ変換手段の出力から前記マスクａｉ￣の影響を除去する手段と、
をテーブル形式で記憶する第２の記憶手段と、
前記第1の記憶手段と第2の記憶手段の一方を、暗号化を行う毎にランダムに選択し、マスクされたデータに対して前記データ変換手段の処理を行う、マスクされたデータの変換手段とをさらに有することを特徴とする請求項３記載の暗号化装置。 - 前記マスクパターンとそのビット反転のマスクパターンのペア（ａ，ａ￣）が、あらかじめ定められた固定のマスクパターンとそのビット反転のマスクパターンのペア（ａ，ａ￣）で構成されることを特徴とする請求項１記載の暗号化装置。
- 前記マスクパターンとそのビット反転のマスクパターンのペア（ａ，ａ￣）が、必ずしも秘密でないことを特徴とする請求項１記載の暗号化装置。
- ｎビット長のビット列ｘの１のビットの数を示すハミング重みをＨ（ｘ）と定義し、前記ｎビット長のビット列ｘが前記マスクａのとき、前記マスクａのハミング重みＨ（ａ）が０＜Ｈ（ａ）＜ｎを満足することを特徴とする請求項１記載の暗号化装置。
- ｎビット長のビット列ｘの１のビットの数を示すハミング重みをＨ（ｘ）と定義し、前記ｎビット長のビット列ｘが前記マスクａのとき、前記マスクａのハミング重みＨ（ａ）と、前記マスクａのビット反転ａ￣のハミング重みＨ（ａ￣）の差の絶対値が、ｎ／２未満であることを特徴とする請求項１記載の暗号化装置。
- 暗号ブロックを与えられた鍵情報に依存して平文ブロックに変換する復号装置であって、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、復号を行う毎にランダムに選択する手段と、
装置内部の暗号文に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、
平文を出力する前に、前記平文から前記マスクａの影響を除去する手段とを具備したことを特徴とする復号装置。 - 暗号ブロックを与えられた鍵情報に依存して平文ブロックに変換する復号装置であって、
あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、復号を行う毎にランダムに選択する手段と、
装置内部の中間的なビットデータを、前記選択手段により選択されたマスクパターンによってマスクする手段と、
前記マスク手段によりマスクされた中間的なビットデータから前記マスクａの影響を除去する手段とを具備したことを特徴とする復号装置。 - 装置内部の中間的なデータに対してデータ変換を行なうデータ変換手段を備え、暗号ブロックを与えられた鍵情報に依存して前記データ変換手段により平文ブロックに変換する復号装置であって、
あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、復号を行う毎にランダムに選択する手段と、
前記データ変換手段の入力を、前記選択手段により選択されたマスクパターンによってマスクする手段と、
前記マスク手段によりマスクされた、前記データ変換手段の出力から前記マスクａの影響を除去する手段とを具備したことを特徴とする復号装置。 - 前記装置内部の暗号文に依存したビットを選択されたマスクパターンによってマスクする手段と、該暗号文から該マスクａの影響を除去する手段とが、排他的論理和、定数ｗを法とする加算または減算、および定数ｗを法とする乗算または除算のいずれかで構成されることを特徴とする請求項１３記載の復号装置。
- 前記装置内部の中間的なビットデータを選択されたマスクパターンによってマスクする手段と、マスクされた中間的なビットデータから該マスクａの影響を除去する手段とが、排他的論理和、定数ｗを法とする加算または減算、および定数ｗを法とする乗算または除算のいずれかで構成されることを特徴とする請求項１４記載の復号装置。
- 前記データ変換手段と、前記選択されたマスクパターンを用いて、前記第1のデータ変換手段の入力を選択されたマスクパターンによってマスクする手段と、前記マスクされた第1のデータ変換手段の出力から該マスクａの影響を除去する手段とが、排他的論理和、定数ｗを法とする加算または減算、および定数ｗを法とする乗算または除算のいずれかで構成されることを特徴とする請求項１５記載の復号装置。
- 前記データ変換手段は、ビット入れ替え変換手段またはビット換字手段のいずれかで構成されることを特徴とする請求項１５の暗号化装置。
- あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉ＝１以上の正の整数）の中から一方を、復号を行う毎にランダムに選択する手段と、
前記データ変換手段の入力をマスクパターンａｉによってマスクする手段と、
前記マスクされた該データ変換手段の出力から前記マスクａｉの影響を除去する手段、
をテーブル形式で記憶する第1の記憶手段と、
前記データ変換手段の入力をマスクパターンａｉ￣によってマスクする手段と、
前記マスクされた該データ変換手段の出力から前記マスクａｉ￣の影響を除去する手段と、
をテーブル形式で記憶する第２の記憶手段と、
前記第1の記憶手段と第2の記憶手段の一方を、暗号化を行う毎にランダムに選択し、マスクされたデータに対して前記データ変換手段の処理を行うマスクされたデータの変換手段とをさらに有することを特徴とする請求項１５記載の復号装置。 - 前記マスクパターンとそのビット反転のマスクパターンのペア（ａｉ,ａｉ￣）が、あらかじめ定められた固定のマスクパターンとそのビット反転のマスクパターンのペア（ａｉ,ａｉ￣）であることを特徴とする請求項１３記載の復号装置。
- 前記マスクパターンとそのビット反転のマスクパターンのペア（ａｉ,ａｉ￣）が、必ずしも秘密でないことを特徴とする請求項１３記載の復号装置。
- ｎビット長のビット列ｘの１のビットの数を示すハミング重みをＨ（ｘ）と定義し、前記ｎビット長のビット列ｘが前記マスクａのとき、前記マスクａのハミング重みＨ（ａ）が、０＜Ｈ（ａ）＜ｎを満足することを特徴とする請求項１３記載の復号装置。
- ｎビット長のビット列ｘの１のビットの数を示すハミング重みをＨ（ｘ）と定義し、前記ｎビット長のビット列ｘが前記マスクａのとき、前記マスクａのハミング重みＨ（ａ）と、前記マスクａのビット反転ａ￣のハミング重みＨ（ａ￣）の差の絶対値が、ｎ／２未満であることを特徴とする請求項１３記載の復号装置。
- 平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換させるための、コンピュータ読み出し可能なプログラムコード手段が記憶されたコンピュータ使用可能なプログラム記憶媒体であって、
コンピュータに、あらかじめ定められたひとつまたは複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ,ａｉ￣）（ｉは１以上の正の整数）の中から一方を、暗号化を行う毎にランダムに選択させるためのコンピュータ読み出し可能なプログラムコード手段と、
コンピュータに、前記選択されたマスクパターンを用いて、方法内部の平文に依存したビットを選択されたマスクパターンによってマスクさせるためのコンピュータ読み出し可能なプログラムコード手段と、
コンピュータに、暗号文を出力する前に、暗号文から前記マスクａの影響を除去させるためのコンピュータ読み出し可能なプログラムコード手段とを具備したことを特徴とするプログラム記憶媒体。 - 平文ブロックを与えられた鍵情報に依存して暗号文ブロックに変換する暗号化装置であって、
あらかじめ定められたひとつ又は複数のマスクパターンとそのビット反転のマスクパターンの各ペア（ａｉ，ａｉ￣）（ｉは１以上お正の整数）の中から一方を、暗号化を行なう毎にランダムに選択する手段と、
装置内部の鍵に依存したビットを、前記選択手段により選択されたマスクパターンによってマスクする手段と、
装置内部の中間的なデータに対して鍵によってデータ変換を行なうデータ変換手段と、
前記データ変換手段の出力から前記マスクａの影響を除去する手段とを具備したことを特徴とする暗号化装置。 - 前記マスクパターンとそのビット反転のマスクパターンのペア（ａ，ａ￣）が、あらかじめ定められた固定のマスクパターンとそのビット反転のマスクパターンのペア（ａ、ａ￣）で構成されることを特徴とする請求項２６記載の暗号化装置。
- 前記マスクパターンとそのビット反転のマスクパターンのペア（ａ、ａ￣）が、必ずしも秘密でないことを特徴とする請求項２６記載の暗号化装置。
- ｎビット長のビット列ｘの１のビットの数を示すハミング重みをＨ（ｘ）と定義し、前記ｎビット長のビット列ｘが前記マスクａのとき、前記マスクａのハミング重みＨ（ａ）が０＜Ｈ（ａ）＜ｎを満足することを特徴とする請求項２６記載の暗号化装置。
- ｎビット長のビット列ｘの１のビットの数を示すハミング重みをＨ（ｘ）と定義し、前記ｎビット長のビット列ｘが前記マスクａのとき、前記マスクａのハミング重みＨ（ａ）と、前記マスクａのビット反転ａ￣のハミング重みＨ（ａ）の差の絶対値が、ｎ／２未満であることを特徴とする請求項２６記載の暗号化装置。
Priority Applications (4)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP23392198A JP3600454B2 (ja) | 1998-08-20 | 1998-08-20 | 暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体 |
| DE69936024T DE69936024T2 (de) | 1998-08-20 | 1999-08-19 | Vorrichtung zur Verschlüsselung/Entschlüsselung |
| EP99306547A EP0981223B1 (en) | 1998-08-20 | 1999-08-19 | Encryption/decryption apparatus |
| US09/377,064 US6940975B1 (en) | 1998-08-20 | 1999-08-19 | Encryption/decryption apparatus, encryption/decryption method, and program storage medium therefor |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP23392198A JP3600454B2 (ja) | 1998-08-20 | 1998-08-20 | 暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2000066585A JP2000066585A (ja) | 2000-03-03 |
| JP3600454B2 true JP3600454B2 (ja) | 2004-12-15 |
Family
ID=16962695
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP23392198A Expired - Lifetime JP3600454B2 (ja) | 1998-08-20 | 1998-08-20 | 暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体 |
Country Status (4)
| Country | Link |
|---|---|
| US (1) | US6940975B1 (ja) |
| EP (1) | EP0981223B1 (ja) |
| JP (1) | JP3600454B2 (ja) |
| DE (1) | DE69936024T2 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2014110630A (ja) * | 2012-11-30 | 2014-06-12 | Electronics And Telecommunications Research Institute | 低電力暗号化装置及び方法 |
| US9166789B2 (en) | 2012-03-06 | 2015-10-20 | Kabushiki Kaisha Toshiba | Cryptographic processing apparatus |
| US11587467B2 (en) | 2020-08-27 | 2023-02-21 | Kabushiki Kaisha Toshiba | Encryption processing device, encryption processing method, and computer program product |
Families Citing this family (95)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| FR2776445A1 (fr) * | 1998-03-17 | 1999-09-24 | Schlumberger Ind Sa | Procede de securisation de donnees mettant en oeuvre un algorithme cryptographique |
| FR2784829B1 (fr) * | 1998-10-16 | 2000-12-29 | Gemplus Card Int | Procede de contre-mesure dans un composant electronique mettant en oeuvre un algorithme de cryptographie a cle secrete |
| JP4317607B2 (ja) * | 1998-12-14 | 2009-08-19 | 株式会社日立製作所 | 情報処理装置、耐タンパ処理装置 |
| DE19960047B4 (de) * | 1999-01-29 | 2006-01-26 | Ibm Corp. | Verfahren und Einheit zur sicheren Informationsbehandlung in einem kryptographischen Informationsverarbeitungssystem |
| FR2789776B1 (fr) * | 1999-02-17 | 2001-04-06 | Gemplus Card Int | Procede de contre-mesure dans un composant electronique mettant en oeuvre un algorithme de cryptographie a cle secrete |
| DE19910184A1 (de) * | 1999-03-09 | 2000-09-14 | Deutsche Telekom Ag | Verfahren zur Erhöhung der Datensicherheit von Implementierungen kryptographischer Algorithmen |
| JP2000305453A (ja) | 1999-04-21 | 2000-11-02 | Nec Corp | 暗号化装置，復号装置，および暗号化・復号装置 |
| DE19921633A1 (de) * | 1999-05-10 | 2000-11-16 | Deutsche Telekom Ag | Verfahren zur Implementierung kryptographischer Algorithmen |
| DE19936529C1 (de) * | 1999-08-03 | 2001-02-01 | Orga Kartensysteme Gmbh | Verfahren zur Verschlüsselung von Daten mit Hilfe einer Standard-Verschlüsselung in einem mikroprozessorgestützten, tragbaren Datenträger |
| FR2802741B1 (fr) * | 1999-12-15 | 2003-10-31 | Sagem | Dispositif mettant en oeuvre un algorithme de chiffrage par bloc a repetition de rondes |
| FR2804524B1 (fr) * | 2000-01-31 | 2002-04-19 | Oberthur Card Systems Sas | Procede d'execution d'un protocole cryptographique entre deux entites electroniques |
| CA2298990A1 (en) * | 2000-02-18 | 2001-08-18 | Cloakware Corporation | Method and system for resistance to power analysis |
| EP1689113B1 (en) * | 2000-03-09 | 2013-03-06 | Mitsubishi Denki Kabushiki Kaisha | Block cipher apparatus using auxiliary transformation |
| JP4706811B2 (ja) * | 2000-09-06 | 2011-06-22 | ネッツエスアイ東洋株式会社 | 依頼計算を用いた演算装置、及び記録媒体 |
| US20020061107A1 (en) * | 2000-09-25 | 2002-05-23 | Tham Terry K. | Methods and apparatus for implementing a cryptography engine |
| CA2327911A1 (en) | 2000-12-08 | 2002-06-08 | Cloakware Corporation | Obscuring functions in computer software |
| US7366300B2 (en) * | 2000-12-13 | 2008-04-29 | Broadcom Corporation | Methods and apparatus for implementing a cryptography engine |
| US7502463B2 (en) * | 2000-12-13 | 2009-03-10 | Broadcom Corporation | Methods and apparatus for implementing a cryptography engine |
| US9323955B2 (en) * | 2000-12-21 | 2016-04-26 | Gemalto Sa | Method for protecting a logic or mathematical operator installed in an electronic module with a microprocessor as well as the associated embedded electronic module and the system |
| FR2820577B1 (fr) * | 2001-02-08 | 2003-06-13 | St Microelectronics Sa | Procede securise de calcul cryptographique a cle secrete et composant mettant en oeuvre un tel procede |
| FR2820576B1 (fr) * | 2001-02-08 | 2003-06-20 | St Microelectronics Sa | Procede de cryptage protege contre les analyses de consommation energetique, et composant utilisant un tel procede de cryptage |
| JP2002247025A (ja) * | 2001-02-22 | 2002-08-30 | Hitachi Ltd | 情報処理装置 |
| JP4678968B2 (ja) * | 2001-03-13 | 2011-04-27 | 株式会社東芝 | 素数判定装置、方法及びプログラム |
| JP4664514B2 (ja) * | 2001-03-14 | 2011-04-06 | 株式会社東芝 | 素数生成装置及びプログラム |
| JP4188571B2 (ja) * | 2001-03-30 | 2008-11-26 | 株式会社日立製作所 | 情報処理装置の演算方法および耐タンパ演算攪乱実装方式 |
| JP3844116B2 (ja) * | 2001-04-16 | 2006-11-08 | 株式会社ルネサステクノロジ | 暗号化・復号化装置とｉｃカード |
| JP2002328845A (ja) * | 2001-05-07 | 2002-11-15 | Fujitsu Ltd | 半導体集積回路及びｉｃカードのセキュリティー保護方法 |
| JP4596686B2 (ja) * | 2001-06-13 | 2010-12-08 | 富士通株式会社 | Ｄｐａに対して安全な暗号化 |
| GB0121793D0 (en) * | 2001-09-08 | 2001-10-31 | Amphion Semiconductor Ltd | An apparatus for generating encryption/decryption keys |
| GB2379587B (en) * | 2001-09-10 | 2003-08-20 | Simon Alan Spacey | A method and apparatus for securing electronic information |
| DE10149191C2 (de) * | 2001-10-05 | 2003-12-18 | Infineon Technologies Ag | Verfahren und Vorrichtung zum Ermitteln von Ursprungsausgangsdaten aus Ursprungseingangsdaten auf der Basis einer kryptographischen Operation |
| EP1486026A1 (en) * | 2002-03-07 | 2004-12-15 | Axalto SA | Method for making safe an electronic cryptography assembly with a secret key |
| FR2838210B1 (fr) * | 2002-04-03 | 2005-11-04 | Gemplus Card Int | Procede cryptographique protege contre les attaques de type a canal cache |
| JP4128395B2 (ja) * | 2002-05-23 | 2008-07-30 | 三菱電機株式会社 | データ変換装置 |
| US7403620B2 (en) * | 2002-07-02 | 2008-07-22 | Stmicroelectronics S.A. | Cyphering/decyphering performed by an integrated circuit |
| EP1387519A3 (fr) * | 2002-07-09 | 2004-02-18 | Cp8 | Procédé de sécurisation d'un ensemble électronique contre des attaques par introduction d'erreurs |
| JP4357815B2 (ja) * | 2002-09-11 | 2009-11-04 | 株式会社東芝 | 暗号演算回路 |
| JP2004126841A (ja) * | 2002-10-01 | 2004-04-22 | Renesas Technology Corp | プログラム実装方法 |
| GB0223692D0 (en) * | 2002-10-11 | 2002-11-20 | Multiplex Photonics Ltd | Apparatus and method of encoding and decoding information |
| JP4588969B2 (ja) * | 2002-10-29 | 2010-12-01 | 三菱電機株式会社 | セキュア装置 |
| RU2003131278A (ru) * | 2002-10-29 | 2005-04-20 | Хай-О Информтех Эсдиэн Биэйчди (MY) | Способ шифрования данных |
| JP3819872B2 (ja) | 2003-05-23 | 2006-09-13 | 株式会社東芝 | 論理演算装置 |
| JP3927151B2 (ja) * | 2003-05-30 | 2007-06-06 | 株式会社東芝 | 記憶装置 |
| JP2005031471A (ja) * | 2003-07-07 | 2005-02-03 | Sony Corp | 暗号処理装置、および暗号処理方法 |
| US20050024402A1 (en) * | 2003-07-31 | 2005-02-03 | Quintana Jason M. | Transfer of data from a controller to an output device |
| JP3998616B2 (ja) * | 2003-09-10 | 2007-10-31 | 株式会社東芝 | 暗号化／復号モジュール |
| JP2004078976A (ja) * | 2003-09-12 | 2004-03-11 | Hitachi Ltd | 情報処理装置、耐タンパ処理装置 |
| EP1715409B1 (en) | 2004-02-12 | 2010-06-09 | Hitachi ULSI Systems Co.,Ltd. | Random number generating method and semiconductor integrated circuit device |
| KR101061906B1 (ko) * | 2004-02-19 | 2011-09-02 | 삼성전자주식회사 | 전력분석공격에 안전한 기본 연산 장치 및 방법 |
| KR100594265B1 (ko) * | 2004-03-16 | 2006-06-30 | 삼성전자주식회사 | 매스킹 방법이 적용된 데이터 암호처리장치, ａｅｓ암호시스템 및 ａｅｓ 암호방법. |
| US7899190B2 (en) | 2004-04-16 | 2011-03-01 | Research In Motion Limited | Security countermeasures for power analysis attacks |
| EP1601132B1 (en) * | 2004-05-24 | 2006-11-15 | Research In Motion Limited | Table Masking for Resistance to Power Analysis Attacks |
| US7848514B2 (en) | 2004-05-24 | 2010-12-07 | Research In Motion Limited | Table masking for resistance to power analysis attacks |
| US7949883B2 (en) * | 2004-06-08 | 2011-05-24 | Hrl Laboratories, Llc | Cryptographic CPU architecture with random instruction masking to thwart differential power analysis |
| EP1764762B1 (en) | 2004-07-07 | 2019-05-15 | Mitsubishi Electric Corporation | Electronic element and data processing method |
| CN101044535B (zh) | 2005-03-16 | 2011-06-15 | 三菱电机株式会社 | 数据变换装置以及数据变换方法 |
| JP4783104B2 (ja) * | 2005-09-29 | 2011-09-28 | 株式会社東芝 | 暗号化／復号装置 |
| US8059530B1 (en) * | 2005-09-30 | 2011-11-15 | GlobalFoundries, Inc. | System and method for controlling network access |
| FR2893796B1 (fr) * | 2005-11-21 | 2008-01-04 | Atmel Corp | Procede de protection par chiffrement |
| JP2007288254A (ja) * | 2006-04-12 | 2007-11-01 | Sony Corp | 通信システム、通信装置および方法、並びにプログラム |
| KR100737171B1 (ko) | 2006-05-04 | 2007-07-10 | 경북대학교 산학협력단 | 아리아에 대한 전력분석공격에 대응하는 저메모리형 마스킹방법 |
| JP4960044B2 (ja) | 2006-09-01 | 2012-06-27 | 株式会社東芝 | 暗号処理回路及びｉｃカード |
| JP5203594B2 (ja) * | 2006-11-07 | 2013-06-05 | 株式会社東芝 | 暗号処理回路及び暗号処理方法 |
| JP4909018B2 (ja) * | 2006-11-16 | 2012-04-04 | 富士通株式会社 | 共通鍵暗号のための暗号化装置 |
| JP4936996B2 (ja) * | 2007-05-24 | 2012-05-23 | 株式会社東芝 | 非線形データ変換器、暗号化装置、および復号装置 |
| WO2009043139A1 (en) * | 2007-10-01 | 2009-04-09 | Research In Motion Limited | Substitution table masking for cryptographic processes |
| JP5354914B2 (ja) * | 2008-01-18 | 2013-11-27 | 三菱電機株式会社 | 暗号処理装置及び復号処理装置及びプログラム |
| EP2173056A1 (fr) * | 2008-09-04 | 2010-04-07 | Gemplus | Procédé de contre-mesure dans un composant électronique mettant en ouvre un algorithme de cryptographie à clef secrète |
| CN101729241B (zh) * | 2008-10-23 | 2012-01-25 | 国民技术股份有限公司 | 抵御差分能量攻击的aes加密方法 |
| JP4687775B2 (ja) | 2008-11-20 | 2011-05-25 | ソニー株式会社 | 暗号処理装置 |
| JP5202350B2 (ja) * | 2009-01-16 | 2013-06-05 | 三菱電機株式会社 | 暗号処理装置及び暗号処理方法及び暗号処理プログラム |
| JP4837058B2 (ja) * | 2009-03-10 | 2011-12-14 | 株式会社東芝 | 演算装置及びプログラム |
| JP5458611B2 (ja) * | 2009-03-13 | 2014-04-02 | ソニー株式会社 | 暗号処理装置 |
| JP2010245881A (ja) * | 2009-04-07 | 2010-10-28 | Toshiba Corp | 暗号処理装置 |
| JP2010288233A (ja) * | 2009-06-15 | 2010-12-24 | Toshiba Corp | 暗号処理装置 |
| US8615078B2 (en) * | 2009-08-21 | 2013-12-24 | Electronics And Telecommunications Research Institute | Method and apparatus for processing F-function in seed encryption system |
| FR2952773B1 (fr) * | 2009-11-13 | 2012-07-20 | Inst Telecom Telecom Paristech | Circuit electronique de faible complexite protege par masquage personnalise |
| WO2011101994A1 (ja) | 2010-02-22 | 2011-08-25 | 株式会社東芝 | 暗号化装置 |
| WO2012014291A1 (ja) | 2010-07-28 | 2012-02-02 | 学校法人立命館 | 耐タンパ性メモリ集積回路およびそれを利用した暗号回路 |
| US8525545B1 (en) | 2011-08-26 | 2013-09-03 | Lockheed Martin Corporation | Power isolation during sensitive operations |
| US8624624B1 (en) | 2011-08-26 | 2014-01-07 | Lockheed Martin Corporation | Power isolation during sensitive operations |
| WO2014003117A1 (ja) * | 2012-06-28 | 2014-01-03 | 日本電気株式会社 | 暗号化装置、暗号化方法およびプログラム |
| DE102012018924A1 (de) * | 2012-09-25 | 2014-03-27 | Giesecke & Devrient Gmbh | Seitenkanalgeschützte Maskierung |
| WO2014205369A1 (en) * | 2013-06-21 | 2014-12-24 | Cryptography Research, Inc. | Signal transition analysis of a circuit |
| TWI521935B (zh) * | 2013-08-08 | 2016-02-11 | 新唐科技股份有限公司 | 加解密裝置及其加解密方法 |
| US10002177B1 (en) | 2013-09-16 | 2018-06-19 | Amazon Technologies, Inc. | Crowdsourced analysis of decontextualized data |
| CN103647638A (zh) * | 2013-12-03 | 2014-03-19 | 北京中电华大电子设计有限责任公司 | 一种抵抗侧信道攻击的des掩码方法 |
| JP6371197B2 (ja) * | 2014-10-31 | 2018-08-08 | 株式会社東海理化電機製作所 | 暗号処理装置 |
| JP6877889B2 (ja) * | 2016-04-08 | 2021-05-26 | ソニーグループ株式会社 | 暗号化装置、暗号化方法、復号化装置、及び復号化方法 |
| EP3258639A1 (en) * | 2016-06-14 | 2017-12-20 | Gemalto Sa | Cryptography apparatus protected against side-channel attack using constant hamming weight substitution-box |
| FR3056789B1 (fr) * | 2016-09-27 | 2018-09-21 | Safran Identity & Security | Procede de chiffrement ou de dechiffrement symetrique par bloc |
| US11164484B2 (en) * | 2017-01-20 | 2021-11-02 | Nippon Telegraph And Telephone Corporation | Secure computation system, secure computation device, secure computation method, and program |
| CN107769910B (zh) * | 2017-11-15 | 2020-08-04 | 东南大学 | 一种基于Latch PUF的抗边信道攻击DES防护方法及电路 |
| EP3499788B1 (en) * | 2017-12-15 | 2020-07-29 | Secure-IC SAS | Dynamic masking |
| US11700111B2 (en) * | 2019-06-26 | 2023-07-11 | Cryptography Research, Inc. | Platform neutral data encryption standard (DES) cryptographic operation |
Family Cites Families (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US3962539A (en) | 1975-02-24 | 1976-06-08 | International Business Machines Corporation | Product block cipher system for data security |
| US5323464A (en) * | 1992-10-16 | 1994-06-21 | International Business Machines Corporation | Commercial data masking |
| CA2147087A1 (en) * | 1995-04-13 | 1996-10-14 | Guy Begin | Method and apparatus for correcting and decoding a sequence of branches representing encoded data bits into estimated information bits |
| US5870470A (en) * | 1996-02-20 | 1999-02-09 | International Business Machines Corporation | Method and apparatus for encrypting long blocks using a short-block encryption procedure |
| US6031911A (en) * | 1996-07-18 | 2000-02-29 | Entrust Technologies, Ltd. | Practical S box design |
| JPH10154976A (ja) | 1996-11-22 | 1998-06-09 | Toshiba Corp | タンパーフリー装置 |
| FR2776445A1 (fr) | 1998-03-17 | 1999-09-24 | Schlumberger Ind Sa | Procede de securisation de donnees mettant en oeuvre un algorithme cryptographique |
-
1998
- 1998-08-20 JP JP23392198A patent/JP3600454B2/ja not_active Expired - Lifetime
-
1999
- 1999-08-19 EP EP99306547A patent/EP0981223B1/en not_active Expired - Lifetime
- 1999-08-19 US US09/377,064 patent/US6940975B1/en not_active Expired - Fee Related
- 1999-08-19 DE DE69936024T patent/DE69936024T2/de not_active Expired - Lifetime
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9166789B2 (en) | 2012-03-06 | 2015-10-20 | Kabushiki Kaisha Toshiba | Cryptographic processing apparatus |
| JP2014110630A (ja) * | 2012-11-30 | 2014-06-12 | Electronics And Telecommunications Research Institute | 低電力暗号化装置及び方法 |
| US11587467B2 (en) | 2020-08-27 | 2023-02-21 | Kabushiki Kaisha Toshiba | Encryption processing device, encryption processing method, and computer program product |
Also Published As
| Publication number | Publication date |
|---|---|
| DE69936024D1 (de) | 2007-06-21 |
| EP0981223B1 (en) | 2007-05-09 |
| US6940975B1 (en) | 2005-09-06 |
| JP2000066585A (ja) | 2000-03-03 |
| DE69936024T2 (de) | 2008-01-10 |
| EP0981223A2 (en) | 2000-02-23 |
| EP0981223A3 (en) | 2001-03-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3600454B2 (ja) | 暗号化・復号装置、暗号化・復号方法、およびそのプログラム記憶媒体 | |
| RU2357365C2 (ru) | Способ и устройство для выполнения криптографического вычисления | |
| JP5229315B2 (ja) | 共通鍵暗号機能を搭載した暗号化装置及び組込装置 | |
| EP0839418B1 (en) | Cryptographic method and apparatus for non-linearly merging a data block and a key | |
| JP4596686B2 (ja) | Ｄｐａに対して安全な暗号化 | |
| JP5987250B2 (ja) | カスタマイズされたマスキングによって保護される低複雑度の電子回路 | |
| JPH0863097A (ja) | データを暗号化するための対称暗号化方法およびシステム | |
| Hemme et al. | Differential fault analysis on the SHA1 compression function | |
| JP2001324925A5 (ja) | ||
| Jaffe | A first-order DPA attack against AES in counter mode with unknown initial counter | |
| CN110572255B (zh) | 基于轻量级分组密码算法Shadow的加密方法、装置及计算机可读介质 | |
| Rijmen et al. | A family of trapdoor ciphers | |
| Jeong et al. | Differential fault analysis on block cipher SEED | |
| Ara et al. | Dynamic key dependent S-Box for symmetric encryption for IoT devices | |
| KR101506499B1 (ko) | 마스킹이 적용된 ｓｅｅｄ를 이용한 암호화 방법 | |
| RU2141729C1 (ru) | Способ криптографического преобразования блоков двоичных данных | |
| Yang et al. | A new cryptosystem based on chaotic map and operations algebraic | |
| Tayal et al. | Analysis of various cryptography techniques: a survey | |
| Ha et al. | Differential power analysis on block cipher ARIA | |
| Carlson et al. | Using the collision attack for breaking cryptographic modes | |
| WO2009104827A1 (en) | Method and apparatus for generating key stream for stream cipher, s-box for block cipher and method for substituting input vector using the s-box | |
| JP5500277B2 (ja) | 共通鍵暗号機能を搭載した暗号化装置及び組込装置 | |
| Das et al. | On usage of cellular automata in strengthening stream ciphers | |
| JP3945497B2 (ja) | 情報処理装置、ｉｃカード | |
| KR20010032479A (ko) | 디지털 데이터의 엘-비트 입력 블록들을 엘-비트 출력비트들로 암호 변환하는 방법 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20040330 |
|
| A521 | Written amendment |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20040531 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20040907 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20040916 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20070924 Year of fee payment: 3 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080924 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20080924 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090924 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20090924 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100924 Year of fee payment: 6 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110924 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110924 Year of fee payment: 7 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120924 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120924 Year of fee payment: 8 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20130924 Year of fee payment: 9 |
|
| EXPY | Cancellation because of completion of term |