特許 6077405 記憶装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6077405

(24)【登録日】2017年1月20日

(45)【発行日】2017年2月8日

(54)【発明の名称】記憶装置

(51)【国際特許分類】

   G06F 21/79 20130101AFI20170130BHJP

   G09C 1/00 20060101ALI20170130BHJP

【ＦＩ】

   G06F21/79

   G09C1/00 610Z

【請求項の数】12

【全頁数】18

(21)【出願番号】特願2013-138728(P2013-138728)

(22)【出願日】2013年7月2日

(65)【公開番号】特開2015-12558(P2015-12558A)

(43)【公開日】2015年1月19日

【審査請求日】2016年2月2日

(73)【特許権者】

【識別番号】000208891

【氏名又は名称】ＫＤＤＩ株式会社

(74)【代理人】

【識別番号】100122426

【弁理士】

【氏名又は名称】加藤 清志

(72)【発明者】

【氏名】清本 晋作

(72)【発明者】

【氏名】仲野 有登

(72)【発明者】

【氏名】三宅 優

【審査官】 中里 裕正

(56)【参考文献】

【文献】 米国特許出願公開第２０１５／０００６９０５（ＵＳ，Ａ１）

【文献】 特開２０１３−１１７８８２（ＪＰ，Ａ）

【文献】 米国特許第５１２３０４５（ＵＳ，Ａ）

【文献】 Pinkas, B. and Reinman, T.，Oblivious RAM Revisited，Cryptology ePrint Archive，[online]，２０１０年 ６月，Report 2010/366，[2015年3月23日検索]，ＵＲＬ，http://eprint.iacr.org/2010/366

【文献】 NAKANO, Y. et al.，Memory Access Pattern Protection for Resource-Constrained Devices，[online]，２０１２年，188-202，[2016年12月22日検索]，ＵＲＬ，https://www.cardis.org/proceedings.html

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０６Ｆ ２１／７９

Ｇ０９Ｃ １／００

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備えた記憶装置であって、
前記アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データを安全な領域に移動させるデータ移動手段と、
前記暗号化データを安全な領域に移動させた後に、データを復号する復号手段と、
該復号したデータｘと前記データｘに対して何度アクセスを行ったかを記録したシーケンス番号とを保管する保管手段と、
前記データｘを用いた処理が完了し、データをメモリに移動させる際に、データの暗号化に用いる新たな鍵を生成する鍵生成手段と、
前記データｘに前記シーケンス番号を付加した情報に対して、該生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成する暗号化手段と、
該暗号化手段により暗号化された情報Ｅ（ｘ）´を元の前記アクセス領域に格納する格納手段と、
を備えたことを特徴とする記憶装置。

【請求項2】

メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備えた記憶装置であって、
前記アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データを安全な領域に移動させるデータ移動手段と、
前記暗号化データを安全な領域に移動させた後に、データを復号する復号手段と、
該復号したデータｘと前記データｘに対して何度アクセスを行ったかを記録したシーケンス番号とを保管する保管手段と、
前記データｘを用いた処理が完了し、データをメモリに移動させる際に、データの暗号化に用いる新たな鍵を生成する鍵生成手段と、
前記データｘと前記シーケンス番号との演算を行った情報に対して、該生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成する暗号化手段と、
該暗号化手段により暗号化された情報Ｅ（ｘ）´を元の前記アクセス領域に格納する格納手段と、
を備えたことを特徴とする記憶装置。

【請求項3】

前記鍵生成手段が、
乱数を生成する乱数生成手段と、
秘密情報を格納した一方向性関数器と、
を備え、
該生成した乱数を前記一方向性関数器に入力して、前記新たな鍵を生成することを特徴とする請求項１または請求項２に記載の記憶装置。

【請求項4】

前記一方向性関数器が、複数直列に配置されるとともに、前記秘密情報が難読化処理されており、一連の鍵生成を終了したときに、前記秘密情報を最後の出力鍵に書き換えることを特徴とする請求項３に記載の記憶装置。

【請求項5】

前記一方向性関数器がｓｐｏｎｇｅ関数器であることを特徴とする請求項３または請求項４に記載の記憶装置。

【請求項6】

前記一方向性関数器がｓｐｏｎｇｅ関数器の出力レートが安全性を考慮した出力レートに設定されていることを特徴とする請求項５に記載の記憶装置。

【請求項7】

前記暗号化手段が、
前記鍵生成手段が新たに生成した鍵とＣＰＵのワードサイズに相当する暗号化する情報とを入力する入力手段と、
複数の非線形関数器と、
前記暗号化する情報を攪拌する攪拌手段と、
を備えたことを特徴とする請求項１から請求項６のいずれかに記載の記憶装置。

【請求項8】

暗号化情報を出力する出力手段を備え、
前記攪拌手段が、偏りなく攪拌されるように、前記入力手段の出力部および前記出力手段の入力部に設けられた排他的論理和演算器であり、前記出力手段が該攪拌された情報と前記鍵生成手段が前記新たに生成した鍵とを入力して暗号化情報を出力することを特徴とする請求項７に記載の記憶装置。

【請求項9】

前記攪拌手段が、ＳｈｉｆｔＲｏｗであって、攪拌後の情報をＭｉｘＣｏｌｕｍｎで処理して、暗号化情報を出力することを特徴とする請求項７に記載の記憶装置。

【請求項10】

前記アクセスパターンの保護方法が、
初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、
前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域および履歴領域に存在せず、前記非アクセス領域に存在し、前記履歴領域に保存されたデータがある場合に、前記アクセスを行うデータと前記履歴領域に保存された任意のデータとを前記２つのデータとして選択して、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、
アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
を備えたことを特徴とする請求項１から請求項９のいずれかに記載の記憶装置。

【請求項11】

前記アクセスパターンの保護方法が、
初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、
前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが履歴領域に保存されている場合に、前記履歴領域に保存されていないデータをランダムに選択し、前記アクセスを行うデータと前記ランダムに選択したデータとを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、
アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
を備えたことを特徴とする請求項１から請求項９のいずれかに記載の記憶装置。

【請求項12】

前記アクセスパターンの保護方法が、
初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、
前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、
１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域に保存されている場合に、前記非アクセス領域と履歴領域とからランダムに選択したデータを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記非アクセス領域に移動し、これらのデータを前記履歴領域に保存する第３のステップと、
アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、
を備えたことを特徴とする請求項１から請求項９のいずれかに記載の記憶装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、アクセスパターンの保護に適した記憶装置に関する。

【背景技術】

【0002】

近年、暗号に対するサイドチャネル攻撃と呼ばれる攻撃が大きな問題となっている。ソフトウェアに対するサイドチャネル攻撃としては、メモリアクセスを解析し秘密情報を復元する攻撃がある。こうした攻撃に対応して、メモリアクセスを攻撃者から保護するためにＯｂｌｉｖｉｏｕｓ ＲＡＭが注目を集めている（例えば、非特許文献１および非特許文献２参照。）。

【先行技術文献】

【非特許文献】

【0003】

【非特許文献1】Ｏｄｅｄ Ｇｏｌｄｒｅｉｃｈ ａｎｄ Ｒａｆａｉｌ Ｏｓｔｒｏｖｓｋｙ, “Ｓｏｆｔｗａｒｅ ｐｒｏｔｅｃｔｉｏｎ ａｎｄ ｓｉｍｕｌａｔｉｏｎ ｏｎ ｏｂｌｉｖｉｏｕｓ ＲＡＭＳ,” Ｊ. ＡＣＭ, ４３（３）：４３１−４７３, １９９６.

【非特許文献2】Ｊｏａｎ Ｄａｅｍｅｎ, Ｖｉｎｃｅｎｔ Ｒｉｊｍｅｎ， “Ｔｈｅ ｄｅｓｉｇｎ ｏｆ Ｒｉｊｎｄａｅｌ ＡＥＳ Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ“， Ｓｐｒｉｎｇｅｒ， ２００２．

【発明の概要】

【発明が解決しようとする課題】

【0004】

ところが、非特許文献１などで検討されているＯｂｌｉｖｉｏｕｓ ＲＡＭによるメモリの保護は、安全な暗号方式によってデータは保護されているとの前提のもとに、アクセスのパターンを保護することでメモリへのアクセスを保護している。ＯＲＡＭによってデータにアクセスを行う場合、それがデータの変化を伴わない読み出し処理であっても、読み出し処理であったという事実を保護するためにデータをメモリに戻す際にデータが別の値に変化している必要がある。これを実現する最もシンプルな方法は、データごとに異なる鍵を予め用意し、アクセスのたびに鍵の更新と新しい鍵での再暗号化を行う方式である。しかし、この方式では、データの分だけ鍵を用意し、それを安全に保管しておく必要があるため、現実的ではない。また、単に鍵をプログラムに埋め込んだ場合には、それ以降の処理の安全性が保証されず、また実行時に同じ鍵を使うことは漏えいリスクと高める要因となる。

【0005】

そこで、本発明は、上述の課題に鑑みてなされたものであり、アクセスパターンの保護に適した記憶装置を提供することを目的とする。

【課題を解決するための手段】

【0006】

本発明は、上記の課題を解決するために、以下の事項を提案している。

【0007】

（１）本発明は、メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備えた記憶装置であって、前記アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データを安全な領域に移動させるデータ移動手段と、前記暗号化データを安全な領域に移動させた後に、データを復号する復号手段と、該復号したデータｘと前記データｘに対して何度アクセスを行ったかを記録したシーケンス番号とを保管する保管手段と、前記データｘを用いた処理が完了し、データをメモリに移動させる際に、データの暗号化に用いる新たな鍵を生成する鍵生成手段と、前記データｘに前記シーケンス番号を付加した情報に対して、該生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成する暗号化手段と、該暗号化手段により暗号化された情報Ｅ（ｘ）´を元の前記アクセス領域に格納する格納手段と、を備えたことを特徴とする記憶装置を提案している。

【0008】

（２）本発明は、メモリをデータのアクセス領域と非アクセス領域とに分割し、履歴データを記憶する記憶領域を備えた記憶装置であって、前記アクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、前記暗号化データを安全な領域に移動させるデータ移動手段と、前記暗号化データを安全な領域に移動させた後に、データを復号する復号手段と、該復号したデータｘと前記データｘに対して何度アクセスを行ったかを記録したシーケンス番号とを保管する保管手段と、前記データｘを用いた処理が完了し、データをメモリに移動させる際に、データの暗号化に用いる新たな鍵を生成する鍵生成手段と、前記データｘと前記シーケンス番号との演算を行った情報に対して、該生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成する暗号化手段と、該暗号化手段により暗号化された情報Ｅ（ｘ）´を元の前記アクセス領域に格納する格納手段と、を備えたことを特徴とする記憶装置を提案している。

【0009】

（３）本発明は、（１）または（２）の記憶装置について、前記鍵生成手段が、乱数を生成する乱数生成手段と、秘密情報を格納した一方向性関数器と、を備え、該生成した乱数を前記一方向性関数器に入力して、前記新たな鍵を生成することを特徴とする記憶装置を提案している。

【0010】

（４）本発明は、（３）の記憶装置について、前記一方向性関数器が、複数直列に配置されるとともに、前記秘密情報が難読化処理されており、一連の鍵生成を終了したときに、前記秘密情報を最後の出力鍵に書き換えることを特徴とする記憶装置を提案している。

【0011】

（５）本発明は、（３）または（４）の記憶装置について、前記一方向性関数器がｓｐｏｎｇｅ関数器であることを特徴とする記憶装置を提案している。

【0012】

（６）本発明は、（５）の記憶装置について、前記一方向性関数器がｓｐｏｎｇｅ関数器の出力レートが安全性を考慮した出力レートに設定されていることを特徴とする記憶装置を提案している。

【0013】

（７）本発明は、（１）から（６）の記憶装置について、前記暗号化手段が、前記鍵生成手段が新たに生成した鍵とＣＰＵのワードサイズに相当する暗号化する情報とを入力する入力手段と、複数の非線形関数器と、前記暗号化する情報を攪拌する攪拌手段と、を備えたことを特徴とする記憶装置を提案している。

【0014】

（８）本発明は、（７）の記憶装置について、暗号化情報を出力する出力手段を備え、前記攪拌手段が、偏りなく攪拌されるように、前記入力手段の出力部および前記出力手段の入力部に設けられた排他的論理和演算器であり、前記出力手段が該攪拌された情報と前記鍵生成手段が前記新たに生成した鍵とを入力して暗号化情報を出力することを特徴とする記憶装置を提案している。

【0015】

（９）本発明は、（７）の記憶装置について、前記攪拌手段が、ＳｈｉｆｔＲｏｗであって、攪拌後の情報をＭｉｘＣｏｌｕｍｎで処理して、暗号化情報を出力することを特徴とする記憶装置を提案している。

【0016】

（１０）本発明は、（１）から（９）の記憶装置について、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域および履歴領域に存在せず、前記非アクセス領域に存在し、前記履歴領域に保存されたデータがある場合に、前記アクセスを行うデータと前記履歴領域に保存された任意のデータとを前記２つのデータとして選択して、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶装置を提案している。

【0017】

（１１）本発明は、（１）から（９）の記憶装置について、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが履歴領域に保存されている場合に、前記履歴領域に保存されていないデータをランダムに選択し、前記アクセスを行うデータと前記ランダムに選択したデータとを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記履歴領域に移動して保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶装置を提案している。

【0018】

（１２）本発明は、（１）から（９）の記憶装置について、前記アクセスパターンの保護方法が、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替える第１のステップと、前記非アクセス領域内のデータを前記アクセス領域のメモリサイズに応じて選択して、前記アクセス領域に移動させる第２のステップと、１つのデータにアクセスが生じたときに、２つのデータを選択し、前記アクセス領域と非アクセス領域との間でデータ交換を行う際に、前記アクセス領域内の他のデータについてもアクセスを行って、前記アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが前記アクセス領域に保存されている場合に、前記非アクセス領域と履歴領域とからランダムに選択したデータを前記２つのデータとし、前記アクセス領域に移動して、移動したデータサイズに応じて、前記アクセス領域にあった任意のデータを前記非アクセス領域に移動し、これらのデータを前記履歴領域に保存する第３のステップと、アクセスすべきデータへのアクセス処理が終了したときに、前記アクセス領域内の必要なデータを書き出す第４のステップと、を備えたことを特徴とする記憶装置を提案している。

【発明の効果】

【0019】

本発明によれば、アクセスパターン保護向けの鍵の安全な更新が可能となる。アクセスパターン保護と組み合わせて利用することで、リモートストレージに対するアクセスの安全性を高めることができるという効果がある。

【0020】

また、本発明によれば、アクセスをするデータを安全な領域で復号し、メモリに移動させる際に、データとシーケンス番号を結合したもの、データとシーケンス番号とを演算したものを暗号化して格納する。そのため、シーケンス番号を知らない第三者（攻撃者）には、データの復号ができないため、安全性を担保することができるという効果がある。

【図面の簡単な説明】

【0021】

【図1】本発明に係る記憶装置の構成を示す図である。

【図2】本発明に係る記憶装置の処理の概略を示す図である。

【図3】本発明に係る記憶装置における鍵生成部の概略を示す図である。

【図4】本発明に係る記憶装置における暗号化の概略を示す図である。

【図5】本発明に係る記憶装置における暗号化部の構成を示す図である。

【図6】本発明に係る記憶装置における暗号化部の構成を示す図である。

【図7】本発明に係る記憶装置における暗号化部による入力データと攪拌後のデータとの関係を示す図である。

【図8】本発明の第１の実施形態に係るアクセスパターン保護部の構成を示す図である。

【図9】本発明の第１の実施形態に係るアクセスパターン保護部の処理を示す図である。

【図10】本発明の第２の実施形態に係る記憶装置におけるアクセスパターン保護部の構成を示す図である。

【図11】本発明の第２の実施形態に係る記憶装置におけるアクセスパターン保護部の処理を示す図である。

【図12】本発明の第３の実施形態に係る記憶装置におけるアクセスパターン保護部の構成を示す図である。

【図13】本発明の第３の実施形態に係る記憶装置におけるアクセスパターン保護部の処理を示す図である。

【図14】本発明の実施例に係るアクセス時の記憶領域内のデータの遷移を示す図である。

【図15】本発明の実施例に係るアクセスパターン保護部の処理を示す図である。

【図16】本発明の実施例に係るアクセスパターン保護部の処理を示す図である。

【発明を実施するための形態】

【0022】

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

【0023】

＜記憶装置の構成＞
図１から図７を用いて、本発明の記憶装置の構成について説明する。
本発明の記憶装置は、図１に示すように、アクセスパターン保護部１００と、記憶領域２００と、データ移動部１０と、キャッシュ部２０と、復号化部３０と、保管部４０と、暗号化部５０と、鍵生成部６０とから構成されている。なお、アクセスパターン保護部１００の詳細については、後述する。

【0024】

記憶領域２００は、データのアクセス領域と非アクセス領域と履歴領域とに分割されている。なお、アクセス領域、非アクセス領域、履歴領域は、ＤＲＡＭ、ＳＲＡＭ等の書き換え可能なメモリで構成される。また、アクセス領域を耐タンパ性を備えたＤＲＡＭ、ＳＲＡＭ等の書き換え可能なメモリで構成してもよい。なお、本発明の記憶装置は、例えば、ＲＡＭ等の一般的な記憶装置ばかりでなく、ＳＩＭやＩＣカード等の記憶媒体も含むものである。

【0025】

データ移動部１０は、記憶領域２００内のアクセス領域に格納されている暗号化データＥ（ｘ）に対してアクセスを行う場合に、任意のアクセスパターンの保護方法を用いて、暗号化データを安全なキャッシュ部２０（例えば、レジスタ）に移動させる。なお、アクセスパターンの保護方法については、その例を後述する。

【0026】

復号化部３０は、安全なキャッシュ部２０に移動された暗号化データを復号する。保管部４０は、復号したデータｘとデータｘに対して何度アクセスを行ったかを記録したシーケンス番号とを保管する。なお、暗号化処理を行う前には、すべてのシーケンス番号を保管するが、暗号化処理後は、後述する暗号化方法のうち、データｘとシーケンス番号とを演算した情報に対して、暗号化した場合にのみ、シーケンス番号を保管する。

【0027】

鍵生成部６０は、データｘを用いた処理が完了し、データをメモリに移動させる際に、データの暗号化に用いる新たな鍵を生成する。具体的には、図３に示すように、鍵生成部６０は、乱数生成器６１と、一方向性関数器６２Ａ、・・・、６２Ｎと、秘密情報更新部６３とから構成され、乱数生成器６１が生成した乱数を一方向性関数器６２Ａ、・・・、６２Ｎに入力して、新たな鍵を生成する。図３において、鍵１は、最初に生成される６４＊（ｎ＋１）ビットの鍵であり、一定期間後に次々と更新される。なお、ＡＥＳをｎラウンドの方式として使用する場合、６４＊（ｎ＋１）ビットの鍵の入力が必要となる。乱数生成器６１は、プログラム起動時に、ランダムに乱数を生成する。一方向性関数器６２Ａ、・・・、６２Ｎは、１ラウンド分用意され、秘密情報が格納されている。なお、一方向性関数としては、ハッシュ関数の一種であるｓｐｏｎｇｅ関数が好ましい。また、図３の例では、レート１／４の鍵生成（出力データの内の１／４が鍵として使用される）であるが、安全性と性能のトレードオフがあるため、より高いレートを用いても良い。さらに、秘密情報は、難読化等の手法によりプログラムの中に安全に埋め込まれるが、さらにプログラム終了時にこのデータを自ら書き換えることで、鍵の漏えいリスクを最小化する。なお、新たに埋め込む秘密情報は、上記関数の最終出力を利用する。

【0028】

暗号化部５０は、データｘにシーケンス番号を付加した情報あるいはデータｘとシーケンス番号とを演算した情報に対して、生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成する。

【0029】

つまり、図２に示すように、データＥ（ｘ）に対して、アクセスする場合には、このデータをまず、安全な領域であるキャッシュ部２０に移動し、ここで、復号化してデータｘを取り出す。データｘに対して処理が終了すると、暗号化部５０において、図４に例示するように、データｘにシーケンス番号ｃを付加した情報あるいはデータｘとシーケンス番号ｃとを演算した情報に対して、鍵生成部６０が生成した鍵を用いて暗号化した情報Ｅ（ｘ）´を生成し、これをメモリに戻す。なお、データＥ（ｘ）の暗号化も上述の情報Ｅ（ｘ）´の暗号化と同様の手法で行われる。したがって、アクセスデータに対する処理の前後において、異なった情報がメモリに戻されるため、例えば、不正な攻撃者にアクセスパターンが漏洩することを防止することができる。なお、暗号化部５０については、その詳細を後述する。

【0030】

＜暗号化部の構成＞
図５および図６は、本発明の暗号化部５０内部の構成の一例を示している。なお、図５および図６は、１ラウンド（ラウンド関数）を示した図であり、実際には、ラウンド関数を繰り返し適用してデータの暗号化を行う。ここで、各ラウンドで入力される鍵は鍵生成部６０が生成する鍵である。本発明の暗号方式では、プログラムの実行中のみデータを保護出来れば良いため、従来よりも低い安全性の暗号方式でも十分であり、オーバーヘッドを小さく抑えるために各種パラメータをより高速化に適した設定にすることが望ましい。また、現在主流のブロック暗号は１２８ビットであり、１２８ビットを最小の処理単位としている。しかし、ＣＰＵのワードサイズは６４ビットが主流であり、これに合わせたほうがより効率的である。

【0031】

図５に示す暗号化部５０は、入力部５１と、排他的論理和演算器（ＸＯＲ）５２ａ、５２ｂと、非線形関数（Ｓ−Ｂｏｘ）５３ａ〜５３ｈと、Ｍｉｘ Ｃｏｌｕｍｎ５４ａ、５４ｂと、出力部５５とから構成されている。ここで、入力データは、前述のデータｘにシーケンス番号ｃを付加した情報あるいはデータｘとシーケンス番号ｃとを演算した情報であり、これらが６４ｂｉｔ単位のデータになっている。また、暗号化に用いられる鍵は、入力データ長と同様の６４ｂｉｔの鍵であり、鍵生成部６０により生成された鍵が用いられる。

【0032】

図５のうち、２つの排他的論理和演算器（ＸＯＲ）５２ａ、５２ｂは、データ攪拌を行っている。図５の例では、２つの排他的論理和演算器（ＸＯＲ）５２ａ、５２ｂを用いることにより、偏りのないデータ攪拌を実現している。

【0033】

図６に示す暗号化部５０は、入力部５６と、非線形関数群（Ｓ−Ｂｏｘ）５７と、Ｓｈｉｆｔ Ｒｏｗ５８と、Ｍｉｘ Ｃｏｌｕｍｎ５９とから構成されている。ここで、入力データは、前述のデータｘにシーケンス番号ｃを付加した情報あるいはデータｘとシーケンス番号ｃとを演算した情報であり、これらが６４ｂｉｔ単位のデータになっている。また、暗号化に用いられる鍵は、入力データ長と同様の６４ｂｉｔの鍵であり、鍵生成部６０により生成された鍵が用いられる。

【0034】

図６のうち、Ｓｈｉｆｔ Ｒｏｗ５８は、データ攪拌を行っている。図６の例では、Ｓｈｉｆｔ Ｒｏｗ５８を用いることにより、図７に示すようなデータの攪拌を実現している。

【0035】

＜第１の実施形態＞
図８から図９を用いて、本発明の実施形態について説明する。

【0036】

＜アクセスパターン保護部の構成＞
本実施形態に係るアクセスパターン保護部１００は、図８に示すように、並べ替え部１１０と、移動部１２０と、制御部１３０と、書き出し部１４０と、保存部１５０とから構成されている。

【0037】

並べ替え部１１０は、初期状態において、１度だけ、非アクセス領域内のデータをランダムに並び替える。移動部１２０は、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる。

【0038】

制御部１３０は、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行う。

【0039】

例えば、アクセスを行うデータがアクセス領域および履歴領域に存在せず、非アクセス領域に存在し、履歴領域に保存されたデータがある場合に、アクセスを行うデータと履歴領域に保存された任意のデータとを２つのデータとして選択して、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する。

【0040】

なお、制御部１３０は、他のプロセス、あるいは、他の時刻で使用されるデータを対象としてランダムにデータを選択する。これにより、有効に、アクセスパターンを保護することができる。

【0041】

書き出し部１４０は、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す。保存部１５０は、アクセス領域から非アクセス領域に移動したデータを履歴領域に履歴データとして保存する。

【0042】

＜アクセスパターン保護部の処理＞
図９を用いて、本実施形態に係るアクセスパターン保護部の処理について説明する。

【0043】

まず、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替え（ステップＳ１００）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ２００）。

【0044】

次に、１つのデータにアクセスが生じたときに、２つのデータを選択し、アクセス領域と非アクセス領域との間でデータ交換を行う際に、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータがアクセス領域および履歴領域に存在せず、非アクセス領域に存在し、履歴領域に保存されたデータがある場合に、アクセスを行うデータと履歴領域に保存された任意のデータとを２つのデータとして選択して、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する（ステップＳ３００）。

【0045】

そして、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す（ステップＳ４００）。

【0046】

以上、説明したように、本実施形態によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができる。また、アクセスを行うデータがアクセス領域および履歴領域に存在せず、非アクセス領域に存在し、履歴領域に保存されたデータがある場合に、アクセスを行うデータと履歴領域に保存された任意のデータとを２つのデータとして選択して、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存することから、有効に、アクセスパターンを保護することができる。

【0047】

＜第２の実施形態＞
図１０から図１１を用いて、本発明の実施形態について説明する。

【0048】

＜アクセスパターン保護部の構成＞
本実施形態に係るアクセスパターン保護部は、図１０に示すように、並べ替え部１１０と、移動部１２０と、制御部１３１と、書き出し部１４０と、保存部１５０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は省略する。

【0049】

制御部１３１は、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行う。

【0050】

例えば、アクセスを行うデータが履歴領域に保存されている場合に、履歴領域に保存されていないデータをランダムに選択し、アクセスを行うデータとランダムに選択したデータとを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する。

【0051】

なお、制御部１３１は、他のプロセス、あるいは、他の時刻で使用されるデータを対象としてランダムにデータを選択する。これにより、ランダムなデータの付加を不要とすることができる。

【0052】

＜記憶装置の処理＞
図１１を用いて、本実施形態に係るアクセスパターン保護部の処理について説明する。

【0053】

まず、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替え（ステップＳ１１０）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ２１０）。

【0054】

次に、１つのデータにアクセスが生じたときに、２つのデータを選択し、アクセス領域と非アクセス領域との間でデータ交換を行う際に、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータが履歴領域に保存されている場合に、履歴領域に保存されていないデータをランダムに選択し、アクセスを行うデータとランダムに選択したデータとを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存する（ステップＳ３１０）。

【0055】

そして、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す（ステップＳ４１０）。

【0056】

以上、説明したように、本実施形態によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができる。また、アクセスを行うデータが履歴領域に保存されている場合に、履歴領域に保存されていないデータをランダムに選択し、アクセスを行うデータとランダムに選択したデータとを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存することから、有効に、アクセスパターンを保護することができる。

【0057】

＜第３の実施形態＞
図１２から図１３を用いて、本発明の実施形態について説明する。

【0058】

＜アクセスパターン保護部の構成＞
本実施形態に係るアクセスパターン保護部は、図１２に示すように、並べ替え部１１０と、移動部１２０と、制御部１３２と、書き出し部１４０と、保存部１５０とから構成されている。なお、第１の実施形態と同一の符号を付す構成要素については、同様の機能を有することから、その詳細な説明は省略する。

【0059】

制御部１３２は、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行う。

【0060】

例えば、アクセスを行うデータがアクセス領域に保存されている場合に、非アクセス領域と履歴領域とからランダムに選択したデータを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを非アクセス領域に移動し、これらのデータを履歴領域に保存する。

【0061】

なお、制御部１３２は、他のプロセス、あるいは、他の時刻で使用されるデータを対象としてランダムにデータを選択する。これにより、ランダムなデータの付加を不要とすることができる。

【0062】

＜アクセスパターン保護部の処理＞
図１３を用いて、本実施形態に係る記憶装置の処理について説明する。

【0063】

まず、初期状態において、１度だけ、前記非アクセス領域内のデータをランダムに並び替え（ステップＳ１２０）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ２２０）。

【0064】

次に、１つのデータにアクセスが生じたときに、２つのデータを選択し、アクセス領域と非アクセス領域との間でデータ交換を行う際に、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うとともに、アクセスを行うデータがアクセス領域に保存されている場合に、非アクセス領域と履歴領域とからランダムに選択したデータを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを非アクセス領域に移動し、これらのデータを履歴領域に保存する（ステップＳ３２０）。

【0065】

そして、アクセスすべきデータへのアクセス処理が終了したときに、アクセス領域内の必要なデータを書き出す（ステップＳ４２０）。

【0066】

以上、説明したように、本実施形態によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができる。また、アクセスを行うデータがアクセス領域に保存されている場合に、非アクセス領域と履歴領域からランダムに選択したデータを２つのデータとし、アクセス領域に移動して、移動したデータサイズに応じて、アクセス領域にあった任意のデータを履歴領域に移動して保存することから、有効に、アクセスパターンを保護することができる。

【0067】

＜実施例＞
図１４から図１６を用いて、本発明の実施例について説明する。

【0068】

図１４は、１、２、・・・、９、Ａ、Ｂ、・・・、Ｆをメモリに保存されているデータとしたときに、プログラムが、５→Ｄ→８→５→Ａの順にデータにアクセスする場合のメモリの遷移を示したものである。以下、図１４、図１５を用いて、この処理を例示とし、説明する。なお、図１４の例にかかわらず、非アクセス領域をさらに複数に分割してもよい。

【0069】

まず、初期状態において、１度だけ、非アクセス領域内のデータをランダムに並び替え（ステップＳ１１００）、非アクセス領域内のデータをアクセス領域のメモリサイズに応じて選択して、アクセス領域に移動させる（ステップＳ１２００）。

【0070】

そして、まず、５にアクセスする場合には、５はアクセス領域に含まれないため、５ともう一つランダムに選択されたデータ(図１４では、２)をアクセス領域に移動し、例えば、これにより、アクセス領域から移動する４とＢとを履歴領域に保存して、５にアクセスする。このとき、アクセス領域内の他のデータ（図１４では、２、３、８）に対してもアクセスを行う（ステップＳ１３００）。

【0071】

次に、Ｄにアクセスする場合には、Ｄはアクセス領域に含まれないため、Ｄをアクセス領域に移動し、もう一つのデータは、履歴領域から選択する（例えば、図１４では、Ｂ)。これにより、アクセス領域から移動する５と８とを履歴領域に保存して、Ｄにアクセスする。このとき、アクセス領域内の他のデータ（図１４では、３、Ｂ、２）に対してもアクセスを行う（ステップＳ１４００）。

【0072】

さらに、８にアクセスする場合には、８は履歴領域に含まれているため、もう一つのデータは履歴領域に含まれないデータをランダムに選択し(図１４では、Ａ)、アクセス領域に移動する。これにより、アクセス領域から移動する３とＢとを履歴領域に保存して、８にアクセスする。このとき、アクセス領域内の他のデータ（図１４では、Ａ、Ｄ、２）に対してもアクセスを行う（ステップＳ１５００）。

【0073】

さらに、５にアクセスする場合、５は履歴領域に含まれているため、もう一つのデータは履歴領域に含まれないデータをランダムに選択し(図１４では、６)、アクセス領域に移動する。これにより、アクセス領域から移動する２と８とを履歴領域に保存して、５にアクセスする。また、アクセス領域内の他のデータ（図１４では、Ａ、Ｄ、６）に対してもアクセスを行う（ステップＳ１６００）。

【0074】

最後に、Ａにアクセスする場合、Ａはアクセス領域に含まれているため、アクセス領域に含まれないランダムに選択したデータと履歴領域に保存されているデータとを(図１４では、３、Ｆ)、アクセス領域に移動する。これにより、アクセス領域から移動する６とＤとが非アクセス領域に書き出され、Ａにアクセスする。また、アクセス領域内の他のデータ（図１４では、５、Ｆ、３）に対してもアクセスを行う（ステップＳ１７００）。

【0075】

そして、すべての処理が完了するとアクセス領域内の必要なデータを書き出して、終了する（ステップＳ１８００）。

【0076】

したがって、本実施例によれば、非アクセス領域内のデータの並べ替えを１度しか行わないため、所定のタイミングで、何度もデータの並べ替えを行うＯｂｌｉｖｉｏｕｓ ＲＡＭのように、オーバーヘッドが大きくなることを防止することができるという効果がある。また、１つのデータにアクセスが生じたときに、アクセス領域と非アクセス領域との間でデータ交換を行うことから、データのアクセスパターンを保護することができるという効果がある。さらに、アクセス領域内の他のデータについてもアクセスを行って、アクセス領域と非アクセス領域との間でデータ交換を行うため、さらに、データのアクセスパターンを保護することができる。また、プログラムによってアクセスされるデータに対して、ランダムに選択したデータを取り込むことによって、安全性を保ちつつ、アクセスパターンの保護において、必要な保存領域を削減することができる。

【0077】

なお、記憶装置の処理をコンピュータシステムが読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを記憶装置に読み込ませ、実行することによって本発明の記憶装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

【0078】

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

【0079】

また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

【0080】

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

【符号の説明】

【0081】

１０；データ移動部
２０；キャッシュ部
３０；復号化部
４０；保管部
５０；暗号化部
６０；鍵生成部
６１；乱数生成器
６２；一方向性関数器
６３；秘密情報更新部
１００；アクセスパターン保護部
１１０；並べ替え部
１２０；移動部
１３０；制御部
１３１；制御部
１３２；制御部
１４０；書き出し部
１５０；保存部
２００；記憶領域

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】