JPH09269727A - 暗号化方法および暗号化装置 - Google Patents

Abstract

(57)【要約】 【課題】ハードウエア、ソフトウエアの資源を有効に利
用して暗号強度と暗号化処理速度の改善が図れる暗号化
方法および暗号化装置を提供する。 【解決手段】入力された鍵データ１１２に基づいて複数
の中間鍵Ｋ１〜Ｋｎを生成し、この生成された複数の中
間鍵のそれぞれを用いて入力ブロックデータ１１０に対
し複数（ｎ）段の攪拌関数ｆにより攪拌処理を行って暗
号データ１１１を生成する暗号化方法および暗号化装置
であって、鍵更新部１０７は、予め定められたデータ量
の暗号化データ１１１が生成される毎に、攪拌関数ｆを
用いて最終段、初段の攪拌関数ｆに用いられる中間鍵Ｋ
ｎ、Ｋ１を更新する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、例えば、セキュリ
ティが要求される情報通信ネットワークにおいて利用さ
れる情報の暗号化方法および暗号化装置に関する。

【０００２】

【従来の技術】従来広く用いられている暗号方式として
ＤＥＳ（Ｄａｔａ Ｅｎｃｒｙｐ−ｔｉｏｎ Ｓｔａｎ
ｄａｒｄ、Ｆｅｄｅｒａｌ ＩｎｆｏｒｍａｔｉｏｎＰ
ｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄ Ｎｏ．４６）
方式がある。これは分類上は秘密鍵暗号方式と呼ばれ、
ＲＳＡ方式のような公開鍵暗号方式とは区別される。本
発明はＤＥＳ方式のような秘密鍵暗号方式の構成に関す
るものである。

【０００３】ＤＥＳ方式では、入力された鍵を拡大して
中間鍵を生成するための、鍵スケジュール部と、生成さ
れた中間鍵に基づいて平文データを攪拌し、暗号文デー
タに変換したり、逆に暗号文を平文に変換するデータ攪
拌部からなる。

【０００４】ＤＥＳ方式は高い信頼性を誇るものの、鍵
スケジュール部の仕様は、非常に単純であり、鍵の更新
手続きを含んでいないため、非常に多くの平文データを
入力し、その暗号結果を観測するような攻撃を適用する
と鍵データを高い確率で推定することができる。この原
理に基づく代表的攻撃法として、差分攻撃（Ｅ．Ｂｉｈ
ａｍ ａｎｄ Ａ．Ｓｈａｍｉｒ ”Ｄｉｆｆｅｒｅｎ
ｔｉａｌＣｒｙｐｔａｎａｌｙｓｉｓ ｏｆ ＤＥＳ−
ｌｉｋｅ Ｃｒｙｐｔｏ−ｓｙｓｔｅｍｓ”、Ｊｏｕｒ
ｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ、Ｖｏｌ．４、Ｎ
ｏ．１、ｐｐ３−７２、１９９１）が特に有名である。

【０００５】一方、データ攪拌部の構成としてＤＥＳ方
式は比較的簡単で暗号的に弱い関数を多段に適用するこ
とによって暗号強度を上げるという構成を採っている。
段数を多くすると安全性は高まるが、処理速度は低下す
る。鍵を固定した場合、前記差分攻撃を無効化するため
には、１６段程度の繰り返し処理が必要といわれてい
る。

【０００６】

【発明が解決しようとする課題】以上述べてきたよう
に、ＤＥＳ方式では鍵スケジュール部で採用されている
中間鍵生成手続きが単純なため中間鍵相互の相関が大き
く、さらに鍵の更新をサポートしていないために、差分
攻撃のような一種の選択平文攻撃に対して弱いという問
題点があった。

【０００７】また、データ攪拌部の処理段数を１６段と
十分大きくとることによって攻撃への抵抗力を高めてい
るため、処理速度が犠牲となっていた。そこで、本発明
は、上記問題点に鑑みてなされたものであり、差分攻撃
等の攻撃に対して弱点となる中間鍵について鍵更新を行
なうことで暗号強度を増すことができ、さらに同じ暗号
強度を保ちながら処理速度を改善することができる暗号
化方法および暗号化装置を提供することを目的とする。

【０００８】

【課題を解決するための手段】本発明の暗号化方法は、
入力された鍵データに基づいて複数の中間鍵を生成し、
この生成された複数の中間鍵のそれぞれを用いて入力平
文データに対し複数段の暗号化処理を連続して行い暗号
データを生成し、予め定められたデータ量の暗号データ
が生成される毎に、最終段の暗号化処理に用いられる中
間鍵を更新することにより、ハードウエア、ソフトウエ
アの資源を有効に利用して暗号強度と暗号化処理速度の
改善が図れる。

【０００９】また、本発明の暗号化方法は、予め定めら
れたデータ量の暗号データが生成される毎に、初段の暗
号化処理に用いられる中間鍵をさらに更新することによ
り、暗号強度がさらに向上する。

【００１０】また、本発明の暗号化方法は、前記鍵デー
タおよびそれまでに生成された中間鍵のうち少なくとも
２つに対し前記平文データを暗号化する際に用いる暗号
化処理を行って前記中間鍵を更新することにより、ハー
ドウエア、ソフトウエアの資源を有効に利用して暗号強
度と暗号化処理速度の改善が図れる。

【００１１】また、本発明の暗号化方法は、入力された
鍵データに基づいて複数の中間鍵を生成し、入力平文デ
ータに対し第１の暗号化処理を行って第１の暗号データ
を生成し、この生成された第１の暗号化データに対し、
前記複数の中間鍵のそれぞれを用いて複数段の第２の暗
号化処理を連続して行い第２の暗号データを生成し、こ
の生成された第２の暗号データに対し第３の暗号化処理
を行って第３の暗号データを生成し、予め定められたデ
ータ量の第３の暗号化データが生成される毎に、前記鍵
データおよびそれまでに生成された中間鍵のうち少なく
とも２つに対し前記第２の暗号化処理を行って最終段の
第２の暗号化処理に用いられる中間鍵を更新することに
より、ハードウエア、ソフトウエアの資源を有効に利用
して暗号強度と暗号化処理速度の改善が図れる。

【００１２】また、本発明の暗号化方法は、予め定めら
れたデータ量の第３の暗号化データが生成される毎に、
前記鍵データおよびそれまでに生成された中間鍵のうち
少なくとも２つに対し前記第２の暗号化処理を行って初
段の第２の暗号化処理に用いられる中間鍵をさらに更新
することにより、暗号強度がさらに向上する。

【００１３】また、本発明の暗号化装置は、入力された
鍵データに基づいて複数の中間鍵を生成する中間鍵生成
手段と、この中間鍵生成手段で生成された複数の中間鍵
のそれぞれを用いて入力平文データに対し複数段の暗号
化処理を連続して行い暗号データを生成する生成手段
と、この生成手段で予め定められたデータ量の暗号化デ
ータが生成される毎に、最終段の暗号化処理に用いられ
る中間鍵を更新する更新手段と、を具備することによ
り、ハードウエア、ソフトウエアの資源を有効に利用し
て暗号強度と暗号化処理速度の改善が図れる。

【００１４】また、前記更新手段は、前記生成手段で予
め定められたデータ量の暗号化データが生成される毎
に、初段の暗号化処理に用いられる中間鍵をさらに更新
することにより、暗号強度がさらに向上する。

【００１５】また、前記更新手段は、鍵データおよびそ
れまでに生成された中間鍵の少なくとも２つに対し前記
平文データを暗号化する際に用いる暗号化処理を行って
前記中間鍵を更新することにより、ハードウエア、ソフ
トウエアの資源を有効に利用して暗号強度と暗号化処理
速度の改善が図れる。

【００１６】また、本発明の暗号化装置は、入力された
鍵データに基づいて複数の中間鍵を生成する中間鍵生成
手段と、入力平文データに対し第１の暗号化処理を行っ
て第１の暗号データを生成する第１の暗号化手段と、こ
の第１の暗号化手段で生成された第１の暗号化データに
対し、前記中間鍵生成手段で生成された複数の中間鍵の
それぞれを用いて複数段の第２の暗号化処理を連続して
行い第２の暗号データを生成する第２の暗号化手段と、
この第２の暗号化手段で生成された第２の暗号データに
対し、第３の暗号化処理を行って第３の暗号データを生
成する第３の暗号化手段と、予め定められたデータ量の
第３の暗号化データが生成される毎に、前記鍵データお
よびそれまでに生成された中間鍵のうち少なくとも２つ
に対し前記第２の暗号化処理を行って前記第２の暗号化
手段の最終段の第２の暗号化処理に用いられる中間鍵を
更新する更新手段と、を具備することにより、ハードウ
エア、ソフトウエアの資源を有効に利用して暗号強度と
暗号化処理速度の改善が図れる。

【００１７】また、前記更新手段は、予め定められたデ
ータ量の第３の暗号化データが生成される毎に、前記鍵
データおよびそれまでに生成された中間鍵のうち少なく
とも２つに対し前記第２の暗号化処理を行って前記第２
の暗号化手段の初段の第２の暗号化処理に用いられる中
間鍵をさらに更新することにより、暗号強度がさらに向
上する。

【００１８】

【発明の実施の形態実施例】以下、本発明の実施形態に
ついて図面を参照して説明する。図１は、本実施形態に
係る暗号化装置の構成を概略的に示したものである。図
１において、鍵スケジュール部１０２は、中間鍵展開部
１０６と鍵更新部１０７から構成され、中間鍵展開部１
０６は、外部から入力された鍵データに基づいて初期中
間鍵（Ｋ１、Ｋ２、…Ｋｎ）を生成する。

【００１９】外部から入力された平文データは、所定長
のブロック単位にデータ攪拌部１０１に入力され（ブロ
ックデータ１１０）、前処理部１０３で前処理が行われ
た後、中間処理部１０４にて攪拌関数ｆを複数（ｉ＝１
〜ｎ）回施され、さらに後処理部１０５で後処理を受
け、暗号化された出力ブロックデータ（暗号データ）１
１１が出力される。

【００２０】攪拌関数ｆは、その第１の入力に前段の攪
拌関数ｆの出力が供給され、第２の入力には中間鍵展開
部１０６で生成された複数（ｎ）の中間鍵のうちの１つ
が供給され、２入力１出力のアルゴリズムにて、入力さ
れたブロックデータに対し攪拌処理を施す暗号関数であ
る。

【００２１】前処理部１０３、後処理部１０５での前処
理・後処理の具体例としてはビット位置の入れ替えがあ
る。より一般化して全単射の射像を用いる。前処理と後
処理が互いに逆変換の関係を持つように選ぶと、復号装
置を作り易い。なお、前処理・後処理として入力をその
まま出力にする関数を用いることもできる。

【００２２】データ攪拌部１０１で所定回数暗号化が施
されると、鍵処理部１０７では中間鍵の更新処理を行う
ようになっている。このとき、少なくとも、最終段の攪
拌関数ｆに供給される鍵Ｋｎはその値が変化する様処理
される（偶然値が同じになったとしてもそれが続く確率
は極めて低い様に更新関数を設計される）。

【００２３】差分攻撃は最終段の攪拌関数ｆへの入力の
差分値を攪拌関数ｆの伝達特性によって決まる一定の確
率で推定できるように入力差分を制御することによって
達成される。ところが、この様に最終段への鍵入力が比
較的頻度高く変化すると、有効な差分が最終段にたまた
ま到達してもその時使われていた鍵がそれ以後長い間使
われることはなく、最終段の鍵の推定は困難となる。

【００２４】また、鍵の更新関数として、データ攪拌部
１０１で用いられる攪拌関数ｆを利用することによっ
て、データ攪拌部１０１とのハードまたはソフトの共用
をはかることができ、コンパクトな実装が可能となる。

【００２５】次に、鍵の更新頻度であるが、もっとも頻
度が高いのは１データブロックを変換する度に鍵の更新
を行なうことである。一般にはｋ個のデータブロックを
処理する度に（ｋは自然数）更新することになるが、こ
れは安全性と処理速度との兼合で決定する必要があろ
う。

【００２６】具体的決定方法の一例として、差分の伝達
特性確率がｐ（０＜ｐ＜１）であらわされる時、適当な
係数ａを定めてｋ＝ａ／ｐで決めることが考えられる。
差分伝達特性確率がｐであるとき１／ｐ程度のオーダの
差分を観測すると高い確率で所望の差分が最終段のｆの
入力となるから、ａ＝１、０．１、０．００１、…など
と与えることで安全係数を考慮しながらｋを決めること
ができる。ａとしては１以上の値を用いることも場合に
よっては可能である。

【００２７】さて、本発明によれば暗号強度を損なうこ
となく処理速度を改善することも可能である。前述のよ
うに、鍵更新の頻度を上げるとそれによって、鍵推定の
困難さを増すことができる。ところが鍵推定の困難さは
攪拌関数ｆの接続段数にも依存しており、段数を増すこ
とで差分特性確率が増すことが知られている。したがっ
て、更新頻度を上げることで増した推定の困難さを段数
を削減することでもとの困難さと同等にできる可能性が
生じる。実際、新しい鍵を完全に無作為に決めることが
できるならば攪拌関数ｆは１段で処理内容も単なる第１
入力と第２入力のビット毎の排他的論理和を用いても安
全であることが知られている。実際には鍵を全く無作為
には決められず攪拌関数ｆによって決める訳であるが、
いずれにしても段数を削減することによって処理速度を
上げることができる。

【００２８】次に、以上の原理に基づき、より具体的な
実施形態について説明する。図２は、ＤＥＳ方式の基本
構成を利用した本発明の暗号化装置の構成を概略的に示
したものである。

【００２９】図２のＤＥＳは中間鍵のビット長とデータ
攪拌部のビット幅が１：２の関係となるように変換した
ものである。図中ＳＰＥと書かれた関数は、ＤＥＳのＳ
ボックスとＰ変換とＥ変換をこの順序で直列接続したも
のであり、図３はそのブロック図を示す。全体として４
８ビット入力４８ビット出力の非線形関数を成してい
る。

【００３０】図２の暗号化装置の構成は、鍵更新部２０
７を除けば通常のＤＥＳ方式の暗号化装置と全く等価で
ある。図２において、鍵の更新回数をｔで表して、第ｉ
段の攪拌関数ｆに供給される中間鍵をＫｉ（ｔ）と表し
ている。本実施形態では第（ｎ−１）番の中間鍵と第ｎ
番の鍵を入力として鍵更新部２０７が第ｎ番（最終段）
の鍵を更新している。第１番から第（ｎ−１）番の中間
鍵は鍵が変更されるまで同じ値を用いる。鍵更新は一定
数、例えば１００ブロックの暗号文を出力する度に行な
われるものとする。

【００３１】図２の暗号化装置において、鍵スケジュー
ル部２０２は、ＤＥＳ鍵展開部２０６と鍵更新部２０７
から構成され、ＤＥＳ鍵展開部２０６は、外部から入力
された６４ビット（そのうち８ビットはパリティビット
とみなし、暗号化および復号化の過程では用いない。）
の鍵データＫに基づいて中間鍵Ｋ１（ｔ）、Ｋ２
（ｔ）、…Ｋｎ（ｔ）を生成する。

【００３２】ＤＥＳ鍵展開部２０６では、まず、５４ビ
ットの鍵データＫに対し、転置ＰＣ−１（Ｐｅｒｍｕｔ
ｅｄ ｃｈｏｉｃｅ １）と呼ばれるビットの順番を入
れ替える転置処理が施され、レジスタＣ、Ｄに２分割さ
れる。レジスタＣおよびＤ内のビットは、１ビットまた
は２ビット左循環桁送りし復号時には右に循環けた送り
する。次いで、ＣおよびＤレジスタ内の５４ビットに対
し縮小転置ＰＣ−２（Ｐｅｒｍｕｔｅｄ ｃｈｏｉｃｅ
２）を施すことにより、４８ビットの中間鍵Ｋ１
（ｔ）を生成する。以下、同様にして、レジスタＣおよ
びＤ内に左循環桁送りおよび縮小転置ＰＣ−２を１回施
すことにより、中間鍵Ｋ２（ｔ）、…Ｋｎ（ｔ）が順次
生成される。

【００３３】外部から入力された平文データは、所定長
のブロック単位（６４ビット）にデータ攪拌部２０１に
入力され（ブロックデータＭ）、まず、前処理として、
初期転置処理部２１０で初期転置ＩＰ、すなわち、ビッ
トの順番を入れ替える処理を施し、その後、３２ビット
づつに２分割して、それぞれを転置処理部２１２ａ、２
１２ｂに入力する。転置処理部２１２ａ、２１２ｂで
は、それぞれ、ビットを重複させる拡大転置Ｅを施し４
８ビットのブロックデータを出力する。

【００３４】次に、中間処理を行う。まず、初段の攪拌
関数ｆで、転置処理部２１２ａからの４８ビットのブロ
ックデータとＤＥＳ鍵展開部２０６で生成された中間鍵
Ｋ１（ｔ）との排他論理和をとる（２２２ａ）。

【００３５】排他論理和をとった結果の４８ビットは、
８個の６ビットのブロックに分割され、ＳＰＥ処理部２
２１に入力される。図３に示すように、ＳＰＥ処理部２
２１では、８個の換字表、すなわち選択関数（Ｓ−ｂｏ
ｘ）Ｓｊ（ｊ＝１〜８）が８個の６ビットのブロックを
それぞれ受け取り、選択関数Ｓｊは４ビットのブロック
をそれぞれ出力する。Ｓ−ｂｏｘから出力される合計３
２ビットに対し、次にビットの順番を置き換える転置Ｐ
を施し（Ｐ変換）、さらに、前述の拡大転置Ｅを施して
（Ｅ変換）４８ビットのブロックが出力される。Ｓ−ｂ
ｏｘ、Ｐ変換、Ｅ変換による処理をまとめて、ここでは
ＳＰＥ関数と呼ぶ。

【００３６】さて、図２の説明に戻り、ＳＰＥ処理部２
２１の出力は転置処理部２１２ｂの出力と排他論理和が
とられ（２２２ｂ）、その結果は、２段目の攪拌関数ｆ
に入力され、前述同様にして、初段の攪拌関数ｆの出力
である４８ビットのブロックデータとＤＥＳ鍵展開部２
０６で生成された中間鍵Ｋ２（ｔ）との排他論理和をと
る（２２２ａ）。一方、２段目の攪拌関数ｆでは、転置
処理部２１２ａの出力とＳＰＥ関数２２１の出力との排
他論理和がとられる（２２２ｂ）。

【００３７】以後同様にして、格段（ｉ＝３〜ｎ）の攪
拌関数ｆでは、前段（ｉ＝ｉー１）の攪拌関数ｆからの
出力とＤＥＳ鍵展開部２０６で生成された中間鍵Ｋｉ
（ｔ）との排他論理和をとり（２２２ａ）、前々段（ｉ
＝ｉ−２）の攪拌関数ｆの排他論理和（２２２ｂ）の出
力結果と自段（ｉ）のＳＰＥ関数２２１の出力との排他
論理和（２２２ｂ）をとった結果を出力とする。

【００３８】最終段（ｉ＝ｎ）の攪拌関数ｆの４８ビッ
トの出力に対し、次に、後処理を行う。最終段（ｉ＝
ｎ）の攪拌関数ｆの４８ビットの出力は前述の拡大転置
Ｅの逆転値Ｅ^-1を施す転置処理部２１３ｂで３２ビット
に縮小され、一方、（ｉ＝ｎ−１）段目の攪拌関数ｆの
４８ビットの出力も、前述の拡大転置Ｅの逆転値Ｅ^-1を
施す転置処理部２１３ａで３２ビットに縮小される。各
転置処理部２１３ａ、２１３ｂの出力に対し、逆初期転
置処理部２２１で初期転置ＩＰの逆転置ＩＰ^-1を施し、
暗号化された出力ブロックデータＣを出力する。

【００３９】鍵更新部２０７は、データ攪拌部２０１で
用いられる攪拌関数ｆで構成されている。すなわち、最
終段（第ｎ段目）の攪拌関数ｆの中間鍵Ｋｎ（ｔ）と第
（ｎ−１）段目の攪拌関数ｆの中間鍵Ｋｎ−１（ｔ）の
排他論理和をとり（２２２ａ）、その結果に対しＳＰＥ
関数２２１で攪拌処理を施し、ＳＰＥ関数２２１の出力
と中間鍵Ｋｎ−１（ｔ）の排他論理和をとって（２２２
ｂ）、更新された最終段の中間鍵Ｋｎ（ｔ＋１）を出力
する。この鍵更新は、データ攪拌部２０１から、所定量
（例えば１００ブロック）の暗号データが出力する度に
行なわれるものとする。

【００４０】図４は鍵更新部の他の構成例を示したもの
である。これを図２の鍵更新部２０７と置き換えること
で新たな実施形態を提供するものである。図４の鍵更新
部は、２つのレジスタ（Ｄ−フリップ・フロップ回路、
以下簡単にＦＦと呼ぶ）３００、３０１、攪拌関数ｆ
（ＳＰＥ関数、２つの排他的論理和演算部）から構成さ
れている。

【００４１】初期設定時には、ＦＦ３００には４８ビッ
トの初期値が保持されていて、ＦＦ３０１には最終段
（第ｎ段）の中間鍵の初期値Ｋｎ（０）が保持されてい
る。鍵更新時には、攪拌関数ｆにおいて、ＦＦ３００に
保持されている値とＦＦ３０１に保持されている値の排
他的論理和をとり（２２２ａ）、それをＳＰＥ関数２２
１に入れ、その出力値とＦＦ３００に保持されている値
と排他的論理和をとり（２２２ｂ）、その結果をＦＦ３
０１に保持すると同時に更新された中間鍵Ｋｎ（ｔ）と
して出力する。このとき、それまでにＦＦ３０１に保持
されていた更新前の中間鍵Ｋｎ（ｔ−１）は、ＦＦ３０
０に保持される。

【００４２】以上の処理を漸化式で書くと、 Ｋｎ（ｔ＋１） ＝ＥＰＳ｛Ｋｎ（ｔ−１）＋Ｋｎ
（ｔ）｝＋Ｋｎ（ｔ−１） となる。なお、ここで、ＥＰＳ関数２２１の入力をｘと
したときの出力をＥＰＳ（ｘ）と表すものとする。

【００４３】以上の説明では暗号化処理のみを書いた
が、復号は暗号化の際につかった中間鍵の系列を生成で
きれば容易に構成できる。これは、鍵スケジュール部
（図１の鍵スケジュール部１０２、図２の鍵スケジュー
ル部２０２）で暗号の際に用いたのと同じ暗号関数、更
新関数を用いれば生成できるので、本発明による暗号装
置の復号は容易である。

【００４４】図５は、鍵更新部のさらに他の構成例であ
る。これを図２の鍵更新部２０７と置き換えることでさ
らに他の実施形態を提供するものである。なお、図４と
同一部分には同一符号を付し、異なる部分についてのみ
説明する。すなわち、ＥＰＳ関数２２１の入力としてＦ
Ｆ３０１に保持されている値と外部から入力された５６
ビットの鍵データＫを４８ビットに圧縮した値の排他的
論理和を用いている。

【００４５】以上の説明では、最終段の鍵更新を行なう
場合を主に説明してきたが、初段の中間鍵も同様の手続
きで更新することは容易である。この場合の暗号化装置
の構成例を図６に示す。なお、図６において、図２と同
一部分には同一符号を付し、異なる部分についてのみ説
明する。すなわち、鍵更新部２０７の構成において、初
段の攪拌関数ｆに用いる中間鍵の更新を行う攪拌関数ｆ
が追加されている。

【００４６】初段の攪拌関数ｆに用いる中間鍵の更新を
行う攪拌関数ｆでは、初段の攪拌関数ｆの中間鍵Ｋ１
（ｔ）と２段目の攪拌関数ｆの中間鍵Ｋ２（ｔ）の排他
論理和をとり（２２２ａ）、その結果に対しＳＰＥ関数
２２１で攪拌処理を施し、ＳＰＥ関数２２１の出力と中
間鍵Ｋ２（ｔ）の排他論理和をとって（２２２ｂ）、更
新された初段の中間鍵Ｋ１（ｔ＋１）を出力する。

【００４７】図６に示した暗号化装置の構成では、差分
攻撃に対して安全性を極めて増大することができる。以
下その理由を述べる。ＤＥＳ方式に基づき暗号化された
暗号文の復号処理は中間鍵の生成順序を逆順にすること
で実現できるが、これは復号処理において最終段に入力
される鍵は、暗号化において初段に入力された鍵であ
る。すなわち、このようなＤＥＳ方式の暗号化装置で
は、もし暗号化において初段の鍵が固定ならば、復号に
おける最終段の鍵が固定となり、適当な差分を設定した
偽暗号文を復号モードの装置に大量に入力することで、
最終段の鍵を推定される可能性が高い。

【００４８】しかし、図６に示した構成によれば、暗号
モードで最終段の鍵ばかりでなく、初段の鍵も更新して
いるので、このような攻撃を完全に防止することが可能
となる。このような効果は、差分攻撃のみならず線形攻
撃に対しても同様である。

【００４９】以上、説明したように、上記実施形態の暗
号化方法および暗号化装置は、入力された鍵データＫに
基づいて複数の中間鍵Ｋ１（ｔ）〜Ｋｎ（ｔ）を生成
し、この生成された複数の中間鍵のそれぞれを用いて入
力平文データに対し複数（ｎ）段の攪拌関数ｆにより攪
拌処理を行って暗号データを生成する暗号化方法および
暗号化装置であって、最終段、初段の攪拌関数ｆに用い
られる中間鍵Ｋｎ（ｔ）、Ｋ１（ｔ）は、予め定められ
たデータ量の暗号化データが生成される毎に、鍵更新部
１０７、２０７において、攪拌関数ｆを用いて更新する
ことにより、ハードウエア、ソフトウエアの資源を有効
に利用して暗号強度と暗号化処理速度の改善が図れる。
すなわち、同じ段数で鍵更新を行なわない暗号装置にく
らべ著しく攻撃に対する抵抗力を上げることができる。

【００５０】また、データ攪拌関数ｆと同じ関数を鍵更
新処理に用いる構成であるため、ソフトウェア、ハード
ウェアの増大を最少限に押さえることができる。鍵更新
を行なう頻度を変更することが可能なので安全性の程度
をパラメータとして制御することも可能である。

【００５１】鍵の更新を行なうので鍵を固定にする方式
にくらべ、安全性をほぼ同じに保ちながら処理段数（攪
拌関数ｆの連結段数）を減らすことが可能であり、結果
として処理速度の向上が図れる。

【００５２】また、更新する中間鍵を最終段の鍵に限定
すれば、鍵更新処理の負荷を軽減することができる。な
お、上記実施形態では、中間鍵の更新は、最終段と初段
の攪拌関数ｆに用いれる中間鍵についてのみ説明した
が、この場合のみならず、さらに、それ以外の中間鍵に
対し、例えば、全ての中間鍵に対して更新処理を行え
ば、暗号強度はさらに高まるであろう。

【００５３】また、鍵更新部を攪拌関数ｆで構成する場
合、その２つの入力は上記実施形態に示した場合に限ら
ず、外部から入力された鍵データＫおよびそれまでに生
成された中間鍵のうち少なくとも２つを用いればよい。

【００５４】

【発明の効果】以上説明したように、本発明によれば、
ハードウエア、ソフトウエアの資源を有効に利用して暗
号強度と暗号化処理速度の改善が図れる暗号化方法およ
び暗号化装置を提供することができる。

【図面の簡単な説明】

【図１】本発明の実施形態に係る暗号化装置の構成を概
略的に示したブロック図。

【図２】ＤＥＳ方式を適用した場合の本発明の実施形態
に係る暗号化装置の構成を示したブロック図。

【図３】図２のＳＰＥ関数の処理を説明するための図。

【図４】図２の暗号化装置の鍵更新部の他の構成例を示
した図。

【図５】図２の暗号化装置の鍵更新部のさらに他の構成
例を示した図。

【図６】本発明の実施形態に係る暗号化装置の他の構成
例を示した図で、初段の攪拌関数の中間鍵も更新する鍵
更新部を具備したものである。

【符号の説明】

１０１、２０１…データ攪拌部、１０２、２０２…鍵ス
ケジュール部、１０３…前処理部、１０４…中間処理
部、１０５…後処理部、１０６…中間鍵展開部、１０
７、２０７…鍵更新部、１１０…ブロックデータ（入力
平文データ）、１１１…出力ブロックデータ（暗号デー
タ）、１１２…鍵データ、２０６…ＤＥＳ鍵展開部。

Claims (7)

【特許請求の範囲】
1. 【請求項１】 入力された鍵データに基づいて複数の中
   間鍵を生成し、この生成された複数の中間鍵のそれぞれ
   を用いて入力平文データに対し複数段の暗号化処理を連
   続して行い暗号データを生成し、予め定められたデータ
   量の暗号データが生成される毎に、最終段の暗号化処理
   に用いられる中間鍵を更新することを特徴とする暗号化
   方法。
2. 【請求項２】 予め定められたデータ量の暗号データが
   生成される毎に、初段の暗号化処理に用いられる中間鍵
   をさらに更新することを特徴とする請求項１記載の暗号
   化方法。
3. 【請求項３】 前記鍵データおよびそれまでに生成され
   た中間鍵のうち少なくとも２つに対し前記平文データを
   暗号化する際に用いる暗号化処理を行って前記中間鍵を
   更新することを特徴とする請求項１記載の暗号化方法。
4. 【請求項４】 入力された鍵データに基づいて複数の中
   間鍵を生成し、入力平文データに対し第１の暗号化処理
   を行って第１の暗号データを生成し、この生成された第
   １の暗号化データに対し、前記複数の中間鍵のそれぞれ
   を用いて複数段の第２の暗号化処理を連続して行い第２
   の暗号データを生成し、この生成された第２の暗号デー
   タに対し第３の暗号化処理を行って第３の暗号データを
   生成し、予め定められたデータ量の第３の暗号化データ
   が生成される毎に、前記鍵データおよびそれまでに生成
   された中間鍵のうち少なくとも２つに対し前記第２の暗
   号化処理を行って最終段の第２の暗号化処理に用いられ
   る中間鍵を更新することを特徴とする暗号化方法。
5. 【請求項５】 予め定められたデータ量の第３の暗号化
   データが生成される毎に、前記鍵データおよびそれまで
   に生成された中間鍵のうち少なくとも２つに対し前記第
   ２の暗号化処理を行って初段の第２の暗号化処理に用い
   られる中間鍵をさらに更新することを特徴とする請求項
   ４記載の暗号化方法。
6. 【請求項６】 入力された鍵データに基づいて複数の中
   間鍵を生成する中間鍵生成手段と、 この中間鍵生成手段で生成された複数の中間鍵のそれぞ
   れを用いて入力平文データに対し複数段の暗号化処理を
   連続して行い暗号データを生成する生成手段と、 この生成手段で予め定められたデータ量の暗号化データ
   が生成される毎に、最終段の暗号化処理に用いられる中
   間鍵を更新する更新手段と、 を具備したことを特徴とする暗号化装置。
7. 【請求項７】 入力された鍵データに基づいて複数の中
   間鍵を生成する中間鍵生成手段と、 入力平文データに対し第１の暗号化処理を行って第１の
   暗号データを生成する第１の暗号化手段と、 この第１の暗号化手段で生成された第１の暗号化データ
   に対し、前記中間鍵生成手段で生成された複数の中間鍵
   のそれぞれを用いて複数段の第２の暗号化処理を連続し
   て行い第２の暗号データを生成する第２の暗号化手段
   と、 この第２の暗号化手段で生成された第２の暗号データに
   対し、第３の暗号化処理を行って第３の暗号データを生
   成する第３の暗号化手段と、 予め定められたデータ量の第３の暗号化データが生成さ
   れる毎に、前記鍵データおよびそれまでに生成された中
   間鍵のうち少なくとも２つに対し前記第２の暗号化処理
   を行って前記第２の暗号化手段の最終段の第２の暗号化
   処理に用いられる中間鍵を更新する更新手段と、 を具備したことを特徴とする暗号化装置。