特許 6084757 可変入力長調整可能暗号の構造および使用

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6084757

(24)【登録日】2017年2月3日

(45)【発行日】2017年2月22日

(54)【発明の名称】可変入力長調整可能暗号の構造および使用

(51)【国際特許分類】

   G09C 1/00 20060101AFI20170213BHJP

【ＦＩ】

   G09C1/00 610A

【請求項の数】38

【全頁数】124

(21)【出願番号】特願2016-556687(P2016-556687)

(86)(22)【出願日】2014年11月26日

(65)【公表番号】特表2016-540266(P2016-540266A)

(43)【公表日】2016年12月22日

(86)【国際出願番号】US2014067745

(87)【国際公開番号】WO2015102783

(87)【国際公開日】20150709

【審査請求日】2016年11月7日

(31)【優先権主張番号】61/910,292

(32)【優先日】2013年11月29日

(33)【優先権主張国】US

(31)【優先権主張番号】14/549,531

(32)【優先日】2014年11月20日

(33)【優先権主張国】US

【早期審査対象出願】

(73)【特許権者】

【識別番号】516157326

【氏名又は名称】ポートランド・ステイト・ユニバーシティ

(74)【代理人】

【識別番号】100140109

【弁理士】

【氏名又は名称】小野 新次郎

(74)【代理人】

【識別番号】100075270

【弁理士】

【氏名又は名称】小林 泰

(74)【代理人】

【識別番号】100101373

【弁理士】

【氏名又は名称】竹内 茂雄

(74)【代理人】

【識別番号】100118902

【弁理士】

【氏名又は名称】山本 修

(74)【代理人】

【識別番号】100196508

【弁理士】

【氏名又は名称】松尾 淳一

(72)【発明者】

【氏名】シュリンプトン，トーマス・イー．

(72)【発明者】

【氏名】テラシマ，ロバート・エス．

【審査官】 青木 重徳

(56)【参考文献】

【文献】 国際公開第２００９／０２００６０（ＷＯ，Ａ１）

【文献】 米国特許第７２２１７５６（ＵＳ，Ｂ２）

【文献】 Peng Wang, et al.，HCTR: A Variable-Input-Length Enciphering Mode，LNCS, Information Security and Cryptology，Springer，２００５年１２月，Vol.3822，pp.175-188

【文献】 Haibim Zhang，Length-Doubling Ciphers and Tweakable Ciphers，LNCS, Applied Cryptography and Network Security，Springer，２０１２年 ６月，Vol.7341，pp.100-116

【文献】 Will Landecker, et al.，Tweakable Blockciphers with Beyond Birthday-Bound Security，Cryptog\logy ePrint Archive: Report 2012/450，［オンライン］，２０１２年 ８月 ８日，Version: 20120808:065419，p.1-28，［平成２８年１２月１３日検索］、インターネット，ＵＲＬ，<https://eprint.iacr.org/eprint-bin/print.pl>

【文献】 Thomas Shrimpton, et al.，A Modular Framework for Building Variable-Input-Length Tweakable Ciphers，LNCS, Advances in Cryptology - ASIACRYPT 2013，Springer，２０１３年１２月，Vol.8269，pp.405-423

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｇ０９Ｃ １／００

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

暗号化および／または復号のためのコンピュータに実装されるシステムであって、
固定長初期化ベクトルを生成するように構成された第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と、
前記固定長初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成された可変入力長調整可能暗号（「ＶＩＬＴＣ」）と、
前記固定長初期化ベクトルを入力として使用して、固定長出力文字列を生成するように構成された第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と、
を含む、システム。

【請求項2】

請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第１コールによって供給され、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第２コールによって供給される、システム。

【請求項3】

請求項２に記載のシステムにおいて、前記第１コールにおいて、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントが、固定長入力文字列を、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１入力として受け入れ、更に当該システムに対するトウィークおよび可変長入力文字列の組み合わせを前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１トウィークとして受け入れ、前記第２コールにおいて、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントが、前記固定長初期化ベクトルを、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２入力として受け入れ、前記当該システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２トウィークとして受け入れる、システム。

【請求項4】

請求項１に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントを介して供給される、システム。

【請求項5】

請求項１〜４のいずれか一項に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記固定長初期化ベクトルを、前記システム外部への露出から保護する、システム。

【請求項6】

請求項１に記載のシステムにおいて、前記システムが、当該システムに対するトウィークとして、当該システムの環境的特徴に基づく値を受け入れる、システム。

【請求項7】

請求項１〜６のいずれか一項に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、特殊目的ハードウェアを使用して実装される、システム。

【請求項8】

請求項１〜６のいずれか一項に記載のシステムにおいて、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、汎用ハードウェア上で実行するソフトウェアを使用して実装される、システム。

【請求項9】

請求項１に記載のシステムにおいて、前記固定長初期化ベクトルが、Ｎ−キャラクタ初期化ベクトルであり、前記固定長出力文字列が、Ｎ−キャラクタ出力文字列であり、
前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを生成するように構成された第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）であり、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−キャラクタ初期化ベクトルをトウィークとして使用して、前記可変長出力文字列を生成するように構成され、
前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−キャラクタ出力文字列を生成するように構成された第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）である、システム。

【請求項10】

請求項９に記載のシステムであって、更に、
Ｎ−キャラクタ入力文字列および可変長入力文字列を格納する第１バッファと、
前記Ｎ−キャラクタ出力文字列および前記可変長出力文字列を格納する第２バッファと、
を含む、システム。

【請求項11】

請求項１０に記載のシステムにおいて、前記Ｎ−キャラクタ入力文字列、前記可変長入力文字列、前記Ｎ−キャラクタ出力文字列、および前記可変長出力文字列のキャラクタが、所定の有限の１組の記号から選択される、システム。

【請求項12】

請求項９〜１１のいずれか一項に記載のシステムにおいて、前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）、および前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、ランダム生成置換参照表から組み立てられる、システム。

【請求項13】

請求項９に記載のシステムにおいて、
前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、Ｎ−キャラクタ入力文字列を前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび可変長入力文字列の組み合わせを前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−キャラクタ初期化ベクトルを生成するように構成され、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、前記可変長出力文字列を生成するように構成され、
前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−キャラクタ出力文字列を生成するように構成される、システム。

【請求項14】

請求項１に記載のシステムにおいて、前記固定長初期化ベクトルがＮ−ビット初期化ベクトルであり、前記固定長出力文字列がＮ−ビット出力文字列であり、
更に、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−ビット初期化ベクトルを生成するように構成された第１Ｎ−ビット調整ブロック暗号（「ＴＢＣ」）であり、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルをトウィークとして使用して、前記可変長出力文字列を生成するように構成され、
前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−ビット出力文字列を生成するように構成された第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）である、システム。

【請求項15】

請求項１４に記載のシステムであって、更に、
Ｎ−ビット入力文字列および可変長入力文字列を格納する第１バッファと、
前記Ｎ−ビット出力文字列および前記可変長出力文字列を格納する第２バッファと、
を含む、システム。

【請求項16】

請求項１４に記載のシステムにおいて、
前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が、Ｎ−ビット入力文字列を前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび可変長入力文字列の組み合わせを前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−ビット初期化ベクトルを生成するように構成され、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、前記可変長出力文字列を生成するように構成され、
前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が、前記Ｎ−ビット初期化ベクトルを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−ビット出力文字列を生成するように構成される、システム。

【請求項17】

請求項１４〜１６のいずれか一項に記載のシステムであって、更に、
安全性および実装効率のトレードオフを得るためにＮを調節するように構成されたコントローラを含み、Ｎの値が小さい程、安全性が悪化するが、安全性制約に応じた効率的な実装が簡素化し、Ｎの値が大きい程高い安全性が得られるが、安全性制約に応じた効率的な実装が複雑化する、システム。

【請求項18】

請求項１４〜１７のいずれか一項に記載のシステムにおいて、前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が同一構造を有する、システム。

【請求項19】

請求項１４〜１７のいずれか一項に記載のシステムにおいて、前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つが、ＬＲＷ２ ＴＢＣ構造であり、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、反復ＬＲＷ２ ＴＢＣ構造である、システム。

【請求項20】

請求項１９に記載のシステムにおいて、前記ＬＲＷ２ ＴＢＣ構造が、（１）（ａ）ｎ−ビットＬＲＷ２入力文字列と（ｂ）トウィーク入力のｎ−ビット・ハッシュとの間の排他的ＯＲの暗号化バージョンと、（２）前記トウィーク入力のｎ−ビット・ハッシュとの間の排他的ＯＲを計算することによって、ｎ−ビットＬＲＷ２出力文字列を生成するように構成される、システム。

【請求項21】

請求項１４〜１７のいずれか一項に記載のシステムにおいて、
前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つが、ドメイン拡張ＣＬＲＷ２構造であり、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、反復ＣＬＲＷ２構造である、システム。

【請求項22】

請求項１４〜２1のいずれか一項に記載のシステムにおいて、Ｎが１２８である、システム。

【請求項23】

請求項１４〜２1のいずれか一項に記載のシステムにおいて、Ｎが２５６である、システム。

【請求項24】

暗号化および／または復号のためのコンピュータに実装されるシステムであって、
Ｎ−ビット入力文字列および可変長入力文字列を格納する第１バッファと、
第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）であって、前記Ｎ−ビット入力文字列を前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長入力文字列の組み合わせを前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット初期化ベクトルを生成するように構成された、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）と、
可変入力長調整可能暗号（「ＶＩＬＴＣ」）であって、前記Ｎ−ビット初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、可変長出力文字列を生成するように構成された、可変入力長調整可能暗号（「ＶＩＬＴＣ」）と、
第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）であって、前記Ｎ−ビット初期化ベクトルを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット出力文字列を生成するように構成された、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）と、
前記Ｎ−ビット出力文字列および前記可変長出力文字列を格納する第２バッファと、
を含む、システム。

【請求項25】

請求項２４に記載のシステムにおいて、前記システムに対するトウィークが、前記システムの環境的特徴に基づく値である、システム。

【請求項26】

請求項２４又は２５に記載のシステムであって、更に、
安全性および実装効率のトレードオフを得るためにＮを調節するように構成されたコントローラを含み、Ｎの値が小さい程、安全性が悪化するが、安全性制約に伴う効率的な実装が簡素化し、Ｎの値が大きい程高い安全性が得られるが、安全性制約に伴う効率的な実装が複雑化する、システム。

【請求項27】

暗号化および／または復号のためのコンピュータで実行される方法であって、
第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって、固定長初期化ベクトルを生成するステップと、
前記固定長初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって、可変長出力文字列を生成するステップと、
前記固定長初期化ベクトルを入力として使用して、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって、固定長出力文字列を生成するステップと、
を含む、方法。

【請求項28】

請求項２７に記載の方法において、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第１コールによって供給され、前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第２コールによって供給される、方法。

【請求項29】

請求項２８に記載の方法において、前記第１コールにおいて、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントが、固定長入力文字列を、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１入力として受け入れ、更に前記方法を実施するシステムに対するトウィークおよび可変長入力文字列の組み合わせを前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１トウィークとして受け入れ、前記第２コールにおいて、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントが、前記固定長初期化ベクトルを、前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２入力として受け入れ、前記方法を実施するシステムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２トウィークとして受け入れる、方法。

【請求項30】

請求項２７に記載の方法において、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントを介して供給される、方法。

【請求項31】

請求項２７に記載の方法において、前記方法が、前記方法を実施するシステムに対するトウィークとして、前記方法を実施するシステムの環境的特徴に基づく値を受け入れる、方法。

【請求項32】

請求項２７に記載の方法において、前記固定長初期化ベクトルが、Ｎ−キャラクタ初期化ベクトルであり、前記固定長出力文字列が、Ｎ−キャラクタ出力文字列であり、
前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを生成するように構成された第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）であり、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−キャラクタ初期化ベクトルをトウィークとして使用して、前記可変長出力文字列を生成するように構成され、
前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−キャラクタ出力文字列を生成するように構成された第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）である、方法。

【請求項33】

請求項３２に記載の方法において、
前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、Ｎ−キャラクタ入力文字列を前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび可変長入力文字列の組み合わせを前記第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−キャラクタ初期化ベクトルを生成するように構成され、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、前記可変長出力文字列を生成するように構成され、
前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）が、前記Ｎ−キャラクタ初期化ベクトルを前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−キャラクタ出力文字列を生成するように構成される、方法。

【請求項34】

請求項２７に記載の方法において、前記固定長初期化ベクトルがＮ−ビット初期化ベクトルであり、前記固定長出力文字列がＮ−ビット出力文字列であり、
更に、前記第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−ビット初期化ベクトルを生成するように構成された第１Ｎ−ビット調整ブロック暗号（「ＴＢＣ」）であり、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルをトウィークとして使用して、前記可変長出力文字列を生成するように構成され、
前記第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）が、前記Ｎ−ビット出力文字列を生成するように構成された第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）である、方法。

【請求項35】

請求項３４に記載の方法において、
前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が、Ｎ−ビット入力文字列を前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび可変長入力文字列の組み合わせを前記第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−ビット初期化ベクトルを生成するように構成され、
前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）が、前記Ｎ−ビット初期化ベクトルを前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、前記可変長入力文字列を前記可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、前記可変長出力文字列を生成するように構成され、
前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）が、前記Ｎ−ビット初期化ベクトルを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、前記システムに対するトウィークおよび前記可変長出力文字列の組み合わせを前記第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、前記Ｎ−ビット出力文字列を生成するように構成される、方法。

【請求項36】

請求項３４又は３５に記載の方法であって、更に、
安全性および実装効率のトレードオフを得るためにＮを調節するステップを含み、Ｎの値が小さい程、安全性が悪化するが、安全性制約に応じた効率的な実装が簡素化し、Ｎの値が大きい程高い安全性が得られるが、安全性制約に応じた効率的な実装が複雑化する、方法。

【請求項37】

請求項２７〜３６のいずれか一項に記載の方法を実行するためのプログラム。

【請求項38】

請求項２７〜３６のいずれか一項に記載の方法を実行するためのプログラムを記録した記録媒体。

【発明の詳細な説明】

【技術分野】

【0001】

関連出願情報
[001] 本願は、２０１３年１１月２９日に出願された米国仮特許出願第６１／９１０，２９２号、および２０１４年１１月２０日に出願された米国特許出願第１４／５４９，５３１号に対する優先権を主張する。これらの出願の開示内容は、ここで引用したことにより、本願にも含まれるものとする。
分野
[002] 初期化ベクトルが保護された可変入力長調整可能暗号の構造および使用。
政府援助の承認
[003] 本発明は、全米科学財団(National Science Foundation)によって供与された CNS-0845610およびCNS-1319061の下で、政府支援によって行われた。政府は、本発明において一定の権利を保有する。

【従来技術】

【0002】

[004] 一般に、暗号化は、許可された関係者のみが情報を読むことができ、第三者は読むことができないように、情報を符号化するプロセスである。ある暗号化方式では、暗号化アルゴリズムを使用して情報（平文と呼ぶ）を暗号化し、それを読み取り不可能な暗号文に変換する。許可された関係者は、復号アルゴリズムを使用して、この暗号文をデコードすることができる。コンピュータ・システムでは、暗号化アルゴリズムは情報の二進値（即ち、ビット）を暗号化する。

【0003】

[005] ブロック暗号は、固定長ブロックのビットに対して動作する暗号化アルゴリズムである。ｎ−ビット・ブロック暗号は、ｎ−ビットのブロックを暗号化して、ｎ−ビットの暗号文を生成する。ブロック暗号は広く使用されており、ブロック暗号には多くの効率的な実施態様がある。ブロック暗号は暗号化鍵を使用する。ブロック暗号の安全性は、特定の鍵の下で暗号化されるブロックの数が増えるに連れて低下することが分かっている。ブロック暗号に対して鍵を変更することは、それ自体困難ではないが、様々な重要な用途では、新たなブロック暗号鍵の頻繁な生成および配布は実現可能ではない。

【0004】

[006] 調整可能ブロック暗号（「ＴＢＣ」：tweakable block cypher）は、ブロック暗号の一般化である。ｎ個のキャラクタから成る調整可能ブロック暗号（「ＴＢＣ」）

【0005】

【数1】

[この文献は図面を表示できません]

【0006】

は、Σ^ｎにわたる置換の一群であり(a family of permutations over Σⁿ)、調整可能ブロック暗号（「ＴＢＣ」）における各置換は、鍵およびトウィーク(tweak)に関連付けられる。多くの場合、Σ＝｛０，１｝であり、この場合、調整可能ブロック暗号（「ＴＢＣ」）をｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）

【0007】

【数2】

[この文献は図面を表示できません]

【0008】

と呼ぶことができる。入力文字列について、鍵およびトウィーク双方によって、調整可能ブロック暗号（「ＴＢＣ」）によって生成された入力文字列の置換を指定する。典型的な使用では、鍵は調整可能ブロック暗号（「ＴＢＣ」）に対する多くのコールにわたって秘密でありそして固定であるが、トウィークは秘密ではなくコール毎に変化することができる。これにより、鍵が固定であってもトウィークの値を変化させることによって、調整可能ブロック暗号（「ＴＢＣ」）の挙動における可変性をサポートする。変化するトウィークの値が十分に単純である場合（鍵設定および更新のプロセスと比較して）、調整可能ブロック暗号（「ＴＢＣ」）を使用することは、ブロック暗号によって安全に暗号化されるデータの分量を拡充する効率的な方法となることができる。調整可能ブロック暗号（「ＴＢＣ」）を使用すると、アルゴリズムの設計および分析を単純化することができる（例えば、大量のデータを安全に処理することができるアルゴリズム）。調整可能ブロック暗号（「ＴＢＣ」）は、暗号化されようとするデータの分量が、利用可能な鍵素材(key material)と比較して、非常に大きいときに有用であると考えられ、ブロック暗号鍵を変更することは望ましくなく、更に実現可能でもない。処理すべきデータの分量が過剰に大きくない用途においてであっても、トウィーク入力は、様々な暗号の使用にわたって、または多数のユーザにわたって固定の鍵と共に調整可能ブロック暗号（「ＴＢＣ」）を使用するというような、実際の用途においても有用な特徴を付与することができる。

【発明の概要】

【発明が解決しようとする課題】

【0009】

[007] 調整可能暗号は、調整可能暗号化方式または大型ブロック暗号と呼ばれることもあり、調整可能ブロック暗号（「ＴＢＣ」）の可変入力長（「ＶＩＬ」）設定に対する拡張である。一般に、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、長さ保存置換(length-preserving permutations)の一群であり、平文入力と同じ長さの暗号文出力を生成する。可変入力長調整可能暗号（「ＶＩＬＴＣ」）を実現する一般的な１つの手法は、基礎となるｎ−ビット・ブロック暗号から、ときには１つ以上のハッシング動作と合わせて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）プリミティブを組み立てることであった。この手法にしたがって組み立てられた可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、ある重要な使用事例シナリオに対して、特に、ｎが小さいとき（例えば、６４）、または１つの鍵によって処理されるべきデータ量が非常に大きいときには、十分な安全性保証を提供できないことがある。

【課題を解決するための手段】

【0010】

[008] 要約すると、詳細な説明では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造および使用における新技術について紹介する。場合によっては、これらの可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、効率的な処理遂行(performance)と共に安全性強化を提供するために、暗号／復号システム外部への露出から保護された初期化ベクトルを使用する。他の場合では、関連データ付き認証付暗号化／復号を信頼性高くしかも効率的に実現するために、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する。

【0011】

[009] 本明細書において説明する新技術の一態様によれば、暗号化および／または復号システムは、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）と可変入力長調整可能暗号（「ＶＩＬＴＣ」）とを含む。通例、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、１つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する２回のコールによって供給される。しかしながら、代わりに、２つの固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントによって２つの異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）を供給することもできる。

【0012】

[010] 第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（例えば、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネント、または第１の異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントへの第１コール）は、固定長初期化ベクトルを生成するように構成されている(adapted to)。例えば、第１コールにおいて、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントは、固定長入力文字列を所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１入力として受け入れ、システムに対するトウィークおよび可変長入力文字列の組み合わせを、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第１トウィークとして受け入れる。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、固定長初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（例えば、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネント、または第２の異なる固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２コール）は、固定長出力文字列を生成するように構成されている。例えば、第２コールにおいて、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントは、固定長初期化ベクトルを所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２入力として受け入れ、システム・トウィークおよび可変長出力文字列の組み合わせを、所与の固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）コンポーネントに対する第２トウィークとして受け入れる。第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、固定長初期化ベクトルを、システム外部への露出から保護する。システム・トウィークは、システムの環境的特徴に基づくことができる。

【0013】

[011] 本明細書において説明する新技術の他の態様によれば、暗号化および／または復号システムは、２つのＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）と可変入力長調整可能暗号（「ＶＩＬＴＣ」）とを含む。第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第１の異なるＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第１コール）は、Ｎ−キャラクタ初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−キャラクタ初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第２の異なるＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第２コール）は、Ｎ−キャラクタ出力文字列を生成するように構成されている。このように、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、システム外部への露出からＮ−キャラクタ初期化ベクトルを保護する。

【0014】

[012] 本システムは多数のバッファを含むことができる。例えば、第１バッファがＮ−キャラクタ入力文字列および可変長入力文字列を格納し、第２バッファがＮ−キャラクタ出力文字列および可変長出力文字列を格納する。Ｎ−キャラクタ入力文字列、可変長入力文字列、Ｎ−キャラクタ出力文字列、および可変長出力文字列のキャラクタは、所定の有限な１組のシンボル（例えば、数値０から９、文字ＺからＺおよび数値０から９）から選択される。また、本システムの入力は、１つ以上の鍵およびトウィーク値も含む。第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、可変入力長調整可能暗号（「ＶＩＬＴＣ」）、および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、ランダムに生成された置換参照表から組み立てることができる。更に一般的には、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、特殊目的ハードウェアを使用して実装することができ、または汎用ハードウェア上で実行するソフトウェアを使用して実装することができる。

【0015】

[013] 実施態様例では、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−キャラクタ入力文字列を第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長入力文字列の組み合わせを第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−キャラクタ初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−ビット初期化ベクトルを可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、更に可変長入力文字列を可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、可変長出力文字列を生成するように構成されている。 第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−キャラクタ初期化ベクトルを第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長出力文字列の組み合わせを第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−キャラクタ出力文字列を生成するように構成されている。

【0016】

[014] 本明細書において説明する新技術の他の態様によれば、暗号化および／または復号システムは、２つのＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）および可変入力長調整可能暗号（「ＶＩＬＴＣ」）を含む。第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第１の異なるＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第１コール）は、Ｎ−ビット初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−ビット初期化ベクトルをトウィークとして使用して、可変長出力文字列を生成するように構成されている。第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、所与のＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントまたは第２の異なるＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する第２コール）は、Ｎ−ビット出力文字列を生成するように構成されている。このように、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、システム外部への露出からＮ−ビット初期化ベクトルを保護する。

【0017】

[015] 本システムは多数のバッファを含むことができる。例えば、第１バッファがＮ−ビット入力文字列および可変長入力文字列を格納し、第２バッファがＮ−ビット出力文字列および可変長出力文字列を格納する。また、本システムの入力は１つ以上の鍵およびトウィーク値も含む。また、本システムは、安全性および実装効率のトレードオフを得るためにＮを調節するように構成されたコントローラも含むことができる。Ｎの値が小さい程、安全性が悪化するが、安全性制約に伴い効率的な実装が簡素化する。他方で、Ｎの値が大きい程高い安全性が得られるが、安全性制約に伴い効率的な実装が複雑化する。

【0018】

[016] 実施態様例では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−ビット入力文字列を第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長入力文字列の組み合わせを第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット初期化ベクトルを生成するように構成されている。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、Ｎ−ビット初期化ベクトルを可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして使用し、可変長入力文字列を可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として使用して、可変長出力文字列を生成するように構成されている。第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、Ｎ−ビット初期化ベクトルを第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力として使用し、システムに対するトウィークおよび可変長出力文字列の組み合わせを第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして使用して、Ｎ−ビット出力文字列を生成するように構成されている。例えば、トウィークＴおよびＢビット入力Ｘ（Ｂ＞Ｎ）を仮定すると、入力Ｘの最初のＮ−ビット（Ｘ_Ｌ）は、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するコール）に対する入力として役割を果たし、残りの（Ｂ−Ｎ）入力−ビット（Ｘ_Ｒ）およびＴの組み合わせは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークとして役割を果たす。この調整可能ブロック暗号（「ＴＢＣ」）のＮ−ビット出力は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）コールに対する初期化ベクトルとして役割を果たし、（Ｂ−Ｎ）−ビット出力（Ｙ_Ｒ）を生成する。最後に、Ｙ_ＲおよびＴの組み合わせは、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するコール）に対するトウィークとして役割を果たす。第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、初期化ベクトルを入力として取り込み、Ｎ−ビット出力（Ｙ_Ｌ）を生成する。Ｙ_ＬとＹ_Ｒとの連結(concatenation)が、結果的に得られる出力となる。この連結の長さは正確にＢビットであるので、処理全体は入力から出力まで長さを保存することになる。

【0019】

[017] 第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、同一の構造または異なる構造(structure)を有することができる。注記したように、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、同じＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する２回のコールによって、異なる入力および出力を用いて、供給することができる。一実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つはＬＲＷ２ ＴＢＣ構造(construction)（以下で定義する）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は反復ＬＲＷ２ ＴＢＣ構造（以下で定義する）である。他の実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）の内少なくとも１つはドメイン拡張ＣＬＲＷ２構造（以下で定義する）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は反復ＣＬＲＷ２構造（以下で定義する）である。更に一般的には、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、特殊目的ハードウェアを使用して実装することができ、または汎用ハードウェア上で実行するソフトウェアを使用して実装することができる。

【0020】

[018] 本明細書において説明する新技術の他の態様によれば、暗号化システムまたは復号システムのようなシステムが、固定長入力文字列、システムに対するトウィーク、および可変長入力文字列を処理して、固定長出力文字列および可変長出力文字列を生成する。システムに対するトウィークは、環境的特徴に基づいて設定することができる。この処理の一部として、本システムは、固定長初期化ベクトルを生成し、この固定長初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって可変長出力文字列を生成し、次いで固定長初期化ベクトルを曖昧にする。本システムは、固定長出力文字列および可変長出力文字列を出力する。

【0021】

[019] 本明細書において説明する新技術の他の態様によれば、暗号化システムまたは復号システムのようなシステムが、Ｎ−キャラクタ入力文字列、システムに対するトウィーク、および可変長入力文字列を処理して、Ｎ−キャラクタ出力文字列および可変長出力文字列を生成する。この処理の一部として、本システムは、Ｎ−キャラクタ初期化ベクトルを生成し、このＮ−キャラクタ初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって可変長出力文字列を生成し、次いでＮ−キャラクタ初期化ベクトルを曖昧にする。本システムは、Ｎ−キャラクタ出力文字列および可変長出力文字列を出力する。

【0022】

[020] この処理は、例えば、（１）フォーマット保存暗号化、（２）フォーマット保存復号、または（３）何らかの他の暗号化または復号動作(activity)の一部にすることができる。暗号化では、Ｎ−キャラクタ入力文字列および可変長入力文字列は平文であり、Ｎ−キャラクタ出力文字列および可変長出力文字列は暗号文である。復号では、Ｎ−キャラクタ入力文字列および可変長入力文字列は暗号文であり、Ｎ−キャラクタ出力文字列および可変長出力文字列は平文である。

【0023】

[021] 実施態様例では、Ｎ−キャラクタ初期化ベクトルは、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成され、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって曖昧にされて、Ｎ−キャラクタ出力文字列を生成する。Ｎ−キャラクタ初期化ベクトルは、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力であるＮ−キャラクタ入力文字列に基づいて、そして第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長入力文字列の組み合わせに基づいて、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成される。可変長出力文字列は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークであるＮ−キャラクタ初期化ベクトルに基づいて、そして可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力である可変長入力文字列に基づいて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって生成される。Ｎ−キャラクタ出力文字列は、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力であるＮ−キャラクタ初期化ベクトルに基づいて、そして第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長出力文字列の組み合わせに基づいて、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成される。システム・トウィークは、環境的特徴に基づいて設定することができる。

【0024】

[022] 本明細書において説明する新技術の他の態様によれば、暗号化システムまたは復号システムのようなシステムは、N−ビット入力文字列、システムに対するトウィークおよび可変長入力文字列を処理して、N−ビット出力文字列および可変長出力文字列を生成する。この処理の一部として、本システムは、N−ビット初期化ベクトルを生成し、Ｎ−ビット初期化ベクトルをトウィークとして使用して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって可変長出力文字列を生成し、次いでＮ−ビット初期化ベクトルを曖昧にする。本システムは、Ｎ−ビット出力文字列および可変長出力文字列を出力する。

【0025】

[023] この処理は、例えば、（１）ディスク全体の暗号化、（２）ディスク全体の復号、（３）関連データ付き認証付暗号化、（４）関連データによる認証復号、あるいは（５）他の何らかの暗号化または復号動作の一部にすることができる。暗号化では、Ｎ−ビット入力文字列および可変長入力文字列は平文であり、Ｎ−ビット出力文字列および可変長出力は暗号文である。復号では、Ｎ−ビット入力文字列および可変長入力文字列は暗号文であり、Ｎ−ビット出力文字列および可変長出力文字列は平文である。

【0026】

[024] 実施態様例では、Ｎ−ビット初期化ベクトルは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成され、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって曖昧にされて、Ｎ−ビット出力文字列を生成する。Ｎ−ビット初期化ベクトルは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力であるＮ−ビット入力文字列に基づいて、そして第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長入力文字列の組み合わせに基づいて、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成される。可変長出力文字列は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークであるＮ−ビット初期化ベクトルに基づいて、そして可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力である可変長入力文字列に基づいて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって生成される。Ｎ−ビット出力文字列は、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対する入力であるＮ−ビット初期化ベクトルに基づいて、そして第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長出力文字列の組み合わせに基づいて、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）によって生成される。システム・トウィークは、環境的特徴に基づいて設定することができる。

【0027】

[025] 本明細書において説明する新技術の他の態様によれば、暗号化システムは、ヘッダおよびメッセージを受ける。この暗号化システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用してこのメッセージを処理し、関連データ付き認証付暗号化を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。暗号化システムは、ヘッダおよび暗号化メッセージ(encrypted message)を出力する。

【0028】

[026] 実施態様例では、メッセージを処理するとき、暗号化システムは、ヘッダおよび再現情報(reconstruction information)を使用して修正ヘッダを決定し、メッセージおよび修正ヘッダを使用して修正メッセージを決定し、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を、この可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークである修正ヘッダと共に使用して修正メッセージを暗号化する。暗号化システムは、再現情報を出力する。

【0029】

[027] 対応する復号システムは、ヘッダおよび暗号化メッセージを受ける（任意の再現情報と共に）。復号システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して暗号化メッセージを処理して、関連データによる認証復号を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。復号システムはメッセージを出力する。

【0030】

[028] 実施態様例では、暗号化メッセージを処理するとき、復号システムは、ヘッダおよび再現情報を使用して修正ヘッダを決定し、修正ヘッダを可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、暗号化メッセージを復号し、修正メッセージおよび修正ヘッダを使用してメッセージを決定する。

【0031】

[029] 任意に、認証ステップのため、復号システムはメッセージが有効であるか否か確認するチェックを行う。例えば、所定数の「０」ビットが暗号化の間にメッセージに添付された場合、復号では、これらのビットの存在をチェックすることができる。このチェックが失敗した場合、復号はエラーを出力する。メッセージを通すためには多数の異なるチェックがあってもよく、出力されるエラー（１つまたは複数）は、どのチェック（の組み合わせ）が失敗したのかに応じて、異なってもよい。（これは、認証付暗号化の「認証」部分である。攻撃者が暗号化メッセージを改竄した場合、一旦復号されたなら、恐らくもはや有効ではなくなるであろう。）
[030] 可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てて使用する新技術は、方法の一部として、この方法を実行するように構成された計算システムの一部として、または計算システムにこの方法を実行させるコンピュータ実行可能命令を格納する有形コンピュータ読み取り可能媒体の一部として実現することができる。種々の新技術は、組み合わせてまたは別個に使用することができる。

【0032】

[031] 本発明の以上のおよびその他の目的、特徴、ならびに利点は、以下の詳細な説明から一層明らかになるであろう。詳細な説明は、添付図面を参照しながら進められる。

【図面の簡単な説明】

【0033】

【図1】図１は、本明細書において説明する、ある実施形態を実現することができる計算システムを一般化して示す図である。

【図2】図２は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立ておよび使用のためのアーキテクチャ例を示す図である。

【図3A】図３Ａ〜図３Ｃは、初期化ベクトルの保護を伴う、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てを一般化して示す図である。

【図3B】図３Ａ〜図３Ｃは、初期化ベクトルの保護を伴う、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てを一般化して示す図である。

【図3C】図３Ａ〜図３Ｃは、初期化ベクトルの保護を伴う、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てを一般化して示す図である。

【図4】図４は、初期化ベクトルを保護して、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用するための技法を一般化して示すフローチャートである。

【図5A】図５Ａ〜図５Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第１実施例を示す図である。

【図5B】図５Ａ〜図５Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第１実施例を示す図である。

【図5C】図５Ａ〜図５Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第１実施例を示す図である。

【図6A】図６Ａ〜図６Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第２実施例を示す図である。

【図6B】図６Ａ〜図６Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第２実施例を示す図である。

【図6C】図６Ａ〜図６Ｃは、初期化ベクトルを保護する可変入力長調整可能暗号（「ＶＩＬＴＣ」）の第２実施例を示す図である。

【図7】図７は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する、関連データ付き認証付暗号化の技法を一般化して示すフローチャートである。

【図8】図８は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する、関連データによる認証復号の技法を一般化して示すフローチャートである。

【図9】図９は、本明細書において説明する新技術の一部について理論的正当化の態様を示す擬似コード・リストである。

【図10】図１０は、本明細書において説明する新技術の一部について理論的正当化の態様を示す擬似コード・リストである。

【図11】図１１は、本明細書において説明する新技術の一部について理論的正当化の態様を示す擬似コード・リストである。

【発明を実施するための形態】

【0034】

[040] 詳細な説明では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造および使用における新技術を紹介する。場合によっては、これらの可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、効率的な処理遂行(performance)で安全性強化を提供するために、暗号化／復号システム外部への露出から保護された初期化ベクトルを使用する。他の場合では、関連データ付き認証付暗号化／復号を信頼性高くしかも効率的に実現するために、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する。

【0035】

[041] 本明細書において説明する新技術の一態様によれば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）を使用する。ある例では、保護された初期化ベクトル（「ＩＶ」）によって可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てることによって、長さを保存する調整可能暗号を構築するための簡素なモジュール型手法を提供する。この調整可能暗号は、（１）本質的に任意の長さの平文入力を取り込むことができ、（２）このタイプのプリミティブに対してできるだけ強い安全性プロパティ（強調整可能擬似ランダム置換（「ＳＴＰＲＰ」：strong, tweakable-pseudorandom permutation）であること）を達成し、（３）保護された初期化ベクトル（「ＩＶ」）による（以下「ＩＶ保護」と称する）可変入力長調整可能暗号（「ＶＩＬＴＣ」）の２^ｎ／２回の呼び出し(invocation)という「誕生日限界」(birthday-bound)をはるかに超えて、初期化ベクトル（「ＩＶ」）・強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）を強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）−安全にするために、ｎ−ビット・プリミティブによって実現することができる（誕生日限界という用語は、攻撃に対抗する安全性のレベルを意味する。誕生日限界の安全性を有する可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造では、２^ｎ／２ビットが暗号化された(enciphered)時間によって安全性保証が劇的に弱化される。誕生日限界を超えた(beyond-birthday-bound)安全性を有する可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造は、２^ｎ／２個のビットが暗号化された後も長く安全なままであり続けることができる）。ある効率の尺度によって、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の誕生日を超えて安全なインスタンス化(beyond-birthday secure instantiation)は、誕生日限界までしか安全でない既存の構造に負けない。

【0036】

[042] 初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）には多くの暗号関連用途がある。具体的には、大規模な保存データのシナリオでは、１つの鍵によって保護されるべきデータ量が、通例、鍵を容易に再交渉することができるシナリオにおけるよりも多く、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は適したレベルの安全性を効率的に提供することができる。例えば、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、完全ディスク暗号化（「ＦＤＥ」：full-disk encryption）および復号、フォーマット保存暗号化（「ＦＰＥ」）および復号、または関連データ付き認証付暗号化（「ＡＥＡＤ」）および復号に使用することができる。あるいは、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、他の暗号化／復号の用途にも使用することができる。

【0037】

[043] 本明細書において説明する新技術の他の態様によれば、調整可能暗号が関連データ付き認証付暗号化（「ＡＥＡＤ」）および対応する復号に使用される。関連データ付き認証付暗号化（「ＡＥＡＤ」）に使用される可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）構造または何らかの他の可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造を使用してインスタンス化することができる。調整可能暗号を関連データ付き認証付暗号化（「ＡＥＡＤ」）に使用することにより、多くの利点を得ることができる。例えば、調整可能暗号を関連データ付き認証付暗号化（「ＡＥＡＤ」）に使用することにより、多数のタイプの復号エラーの報告を安全に扱うのに役立てることができる。更に、平文または関連するデータ入力のいずれかに現れる既存のノンス（nonces）、ランダム性、または冗長性の内任意のものを利用することによって、暗号文の膨張(expansion)を排除することができる。初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）を（そのパラメータをしかるべく設定して）使用することにより、誕生日限界を超えた安全性を有する関連データ付き認証付暗号化（「ＡＥＡＤ」）方式が可能になる。

【0038】

[044] 本明細書において説明した例には、種々の代替物が可能である。開示した技術の種々の態様は、組み合わせてまたは別個に使用することができる。異なる実施形態は、説明した新技術の内１つ以上を使用する。本明細書において説明する新技術の一部は、背景において注記した問題の内１つ以上に取り組む。通例、所与の技法／ツールはこのような問題の全てを解決するのではない。

【0039】

Ｉ．計算システム例
[045] 図１は、説明する新技術の内いくつかを実現することができる、適した計算システム（１００）を一般化した例を示す。計算システム（１００）は、使用範囲や機能に関して何ら限定を示唆することを意図するのではない。何故なら、本願の新技術は多様な汎用または特殊目的計算システムにおいて実現できるからである。

【0040】

[046] 図１を参照すると、計算システム（１００）は、１つ以上の処理ユニット（１１０、１１５）およびメモリ（１２０、１２５）を含む。処理ユニット（１１０、１１５）は、コンピュータ実行可能命令を実行する。処理ユニットは、汎用中央処理ユニット（「ＣＰＵ」）、特定用途集積回路（「ＡＳＩＣ」）におけるプロセッサ、または任意の他のタイプのプロセッサとすることができる。多重処理システムでは、処理パワーを増大するために、多数の処理ユニットがコンピュータ実行可能命令を実行する。例えば、図１は、中央処理ユニット（１１０）、およびグラフィクス処理ユニットまたは補助処理ユニット（１１５）も示す。有形メモリ（１２０、１２５）は、揮発性メモリ（例えば、レジスタ、キャッシュ、ＲＡＭ）、不揮発性メモリ（例えば、ＲＯＭ、ＥＥＰＲＯＭ、フラッシュ・メモリ等）、または処理ユニット（１つまたは複数）によってアクセス可能な、これら２つの何らかの組み合わせであってもよい。メモリ（１２０、１２５）は、処理ユニット（１つまたは複数）による実行に適したコンピュータ実行可能命令の形態で、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てるまたは使用するための１つ以上の新技術を実現するソフトウェア（１８０）を格納する。

【0041】

[047] 計算システムは、追加の機構を有することもできる。例えば、計算システム（１００）は、ストレージ（１４０）、１つ以上の入力デバイス（１５０）、１つ以上の出力デバイス（１６０）、および１つ以上の通信接続（１７０）を含む。バス、コントローラ、またはネットワークのような相互接続メカニズム（図示せず）が、計算システム（１００）のコンポーネントを相互接続する。通例、オペレーティング・システム・ソフトウェア（図示せず）が、計算システム（１００）において実行する他のソフトウェアのために動作環境を提供し、計算システム（１００）のコンポーネントの動作(activity)を調整する。

【0042】

[048] 有形ストレージ（１４０）（コンピュータ読み取り可能ストレージとも呼ぶ）は、リムーバブルまたは非リムーバブルでもよく、磁気ディスク、磁気テープまたはカセット、ＣＤ−ＲＯＭ、ＤＶＤ、または情報を格納するために使用することができ更に計算システム（１００）内においてアクセスすることができる任意の他の媒体を含む。ストレージ（１４０）は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を組み立てるまたは使用するための１つ以上の新技術を実現するソフトウェア（１８０）の命令を格納する。

【0043】

[049] 入力デバイス（１つまたは複数）（１５０）は、キーボード、マウス、ペンまたはトラックボール、音声入力デバイス、ジェスチャ入力を受けるためのタッチスクリーン、スキャン・デバイス、あるいは計算システム（１１０）に入力を供給するその他のデバイスというようなタッチ入力デバイスであってもよい。出力デバイス（１つまたは複数）（１６０）は、ディスプレイ（例えば、タッチスクリーン）、プリンタ、スピーカ、ＣＤ−ライタ、または計算システム（１００）からの出力を供給する他のデバイスであってもよい。

【0044】

[050] 通信接続（１つまたは複数）（１７０）は、通信媒体を通じての他の計算エンティティへの通信を可能にする。通信媒体は、コンピュータ実行可能命令のような情報、オーディオまたはビデオ入力または出力、あるいは変調データ信号における他のデータを伝達する。変調データ信号とは、この信号内に情報をエンコードするようなやり方で、その特性の内１つ以上が設定されたまたは変化させられた信号である。一例として、そして限定ではなく、通信媒体は電気、光、ＲＦ、または他のキャリアを使用することができる。

【0045】

[051] 本願の新技術については、コンピュータ読み取り可能媒体という一般的なコンテキストで説明することができる。コンピュータ読み取り可能媒体は、計算環境内においてアクセスすることができる、任意の入手可能な有形媒体である。一例として、そして限定ではなく、計算システム（１００）では、コンピュータ読み取り可能媒体はメモリ（１２０、１２５）、ストレージ（１４０）、および以上の内任意のものの組み合わせを含む。

【0046】

[052] 本願の新技術については、計算システムにおいて目標の実プロセッサまたは仮想プロセッサ上で実行されるプログラム・モジュール（コンピュータ・プログラム製品とも呼ぶ）に含まれるような、コンピュータ実行可能命令（マシン読み取り可能命令とも呼ぶ）という一般的なコンテキストで説明することができる。一般に、プログラム・モジュールは、ルーチン、プログラム、ライブラリ、オブジェクト、クラス、コンポーネント、データ構造等を含み、特定のタスクを実行するか、または特定の抽象データ型を実装する。プログラム・モジュールの機能は、種々の実施形態において望まれる通りに組み合わされてもよく、またはプログラム・モジュール間で分割されてもよい。プログラム・モジュールのコンピュータ実行可能命令は、ローカルまたは分散型計算システム内において実行されてもよい。

【0047】

[053] 「システム」および「デバイス」という用語は、本明細書では相互交換可能に使用される。コンテキストが明らかに別のことを示さなければ、いずれの用語も計算システムや計算デバイスのタイプについて何の限定も暗示しない。一般に、計算システムまたは計算デバイスは、ローカルまたは分散型であることができ、特殊目的ハードウェアおよび／または汎用ハードウェアの任意の組み合わせを含むことができ、本明細書において説明する機能をソフトウェアが実現する。

【0048】

[054] また、開示する方法は、開示する方法の内任意のものを実行するように構成された特殊計算ハードウェアを使用して実現することもできる。例えば、開示する方法は、開示する方法の内任意のものを実現するように特別に設計または構成された集積回路によって実現することができる（例えば、ＡＳＩＣディジタル信号処理ユニットのようなＡＳＩＣ、グラフィクス処理ユニット、またはフィールド・プログラマブル・ゲート・アレイのようなプログラマブル・ロジック・デバイス）。

【0049】

[055] 提示の目的上、詳細な説明では、計算システムにおけるコンピュータ動作を説明するために、「判定する」、「供給する」、および「使用する」というような用語を使用する。これらの用語は、コンピュータによって実行される動作に対する上位抽象化であり、人間によって行われる行為と混同されるべきでない。これらの用語に対応する実際のコンピュータ動作は、実施態様に応じて様々に変化する。

【0050】

ＩＩ．可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立てまたは使用のためのアーキテクチャ例
[056] 図２は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）の組み立ておよび使用のためのアーキテクチャ例（２００）を示す。具体的には、このアーキテクチャは可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する暗号化／復号サービス（２２２）を含む。

【0051】

[057] 図２において、アプリケーション（２１０、２１２）は、オペレーティング・システム（２２０）と相互作用するソフトウェアを表す。アプリケーション（２１０、２１２）は、データベース・トランザクション処理または分析アプリケーション、ウェブ・ブラウザ、ワード・プロセッサまたはその他の生産性ソフトウェア（ファイル探索機能付き）、メッセージ・サービスあるいは暗号化または復号を使用する任意の他のタイプのアプリケーションを含むことができる。図２は２つのアプリケーションを示すが、アーキテクチャ（２００）はそれよりも多いまたは少ないアプリケーションを含むことができる。

【0052】

[058] アプリケーション（２１０、２１２）は、暗号化／復号サービス（２２２）を使用するために、オペレーティング・システム（２２０）と相互作用する。アプリケーション（２１０、２１２）またはオペレーティング・システム（２２０）の内１つによって要求されると、暗号化／復号サービス（２２２）は、ディスク・ストレージ（２３０）または主メモリ（２４０）に格納されているデータ（例えば、データベース用）を暗号化することができる。逆に、暗号化／復号サービス（２２２）は、アプリケーション（２１０、２１２）またはオペレーティング・システム（２２０）の内１つによって要求されたデータを復号することができる。例えば、完全ディスク暗号化（「ＦＤＥ」）では、暗号化／復号サービス（２２２）は、透過的に、ディスク・ストレージ（２３０）に格納されているデータを暗号化し、ディスク・ストレージ（２３０）から戻されたデータを復号する。また、フォーマット保存暗号化（「ＦＰＥ」）では、暗号化／復号サービス（２２２）は、暗号化されないデータと同じフォーマットを有するように、ディスク・ストレージ（２３０）または主メモリ（２４０）に格納されているデータを暗号化する。例えば、クレジット・カード番号のようなデータは、暗号化された値もクレジット・カード番号としてフォーマットされたままとなるように暗号化される。他の例として、関連データ付き認証付暗号化（「ＡＥＡＤ」）では、暗号化／復号サービス（２２２）は、アプリケーション（２１０、２１２）の内１つに対するヘッダを有するメッセージを暗号化し、アプリケーション（２１０、２１２）の１つのために暗号化メッセージを復号する。

【0053】

ＩＩＩ．表記法および原理
[059] この章では、詳細な説明の残りの部分において使用される表記法について説明する。また、本明細書において説明する暗号化／復号システムのある種の態様について、動作原理も説明する。

【0054】

[060] 一般に、

【0055】

【数3】

[この文献は図面を表示できません]

【0056】

は、負でない整数の集合を表す。

【0057】

【数4】

[この文献は図面を表示できません]

【0058】

（集合

【0059】

【数5】

[この文献は図面を表示できません]

【0060】

のメンバである数ｎ）について、｛０，１｝^ｎは、全てのｎ−ビット二進文字列の集合を示し、｛０，１｝^＊は、全ての（有限）二進文字列の集合を示す。記号εは空文字列を示す。

【0061】

[061] 文字列ｓおよびｔは有限二進文字列（即ち、ｓ、ｔ∈｛０，１｝^＊）であると仮定する。値|ｓ|は、ビットを単位としたｓの長さである。値

【0062】

【数6】

[この文献は図面を表示できません]

【0063】

であり、ここで、ｓ||ｔは、文字列ｓおよびｔを連結することによって形成される文字列を示す。ｓ∈｛０，１｝^ｎｍの場合、ある

【0064】

【数7】

[この文献は図面を表示できません]

【0065】

について、式

【0066】

【数8】

[この文献は図面を表示できません]

【0067】

は、各ｓ_ｉが、長さ｜ｓ_ｉ｜＝ｎ、ｓ＝ｓ_１，ｓ_２，．．．ｓ_ｍとなるように定義されることを意味する。コンテキストからｎが暗黙的である場合、この表記から省略されてもよい。ｓ＝ｂ_１，ｂ_２，．．．ｂ_ｎがｎ−ビット文字列（各ｂ_ｉ∈｛０，１｝）である場合、文字列sの一部は以下のように表される。

【0068】

【数9】

[この文献は図面を表示できません]

【0069】

【数10】

[この文献は図面を表示できません]

【0070】

【数11】

[この文献は図面を表示できません]

【0071】

[062] 文字列

【0072】

【数12】

[この文献は図面を表示できません]

【0073】

は、文字列ｓおよびｔのビット毎の排他的論理和（「ＸＯＲ」）である。例えば、｜ｓ｜＜｜ｔ｜の場合、

【0074】

【数13】

[この文献は図面を表示できません]

【0075】

はｓおよび

【0076】

【数14】

[この文献は図面を表示できません]

【0077】

のビット毎のＸＯＲである。
[063] ｎ≦ｍｉｎ（Ｒ）として、

【0078】

【数15】

[この文献は図面を表示できません]

【0079】

および

【0080】

【数16】

[この文献は図面を表示できません]

【0081】

と仮定すると、文字列

【0082】

【数17】

[この文献は図面を表示できません]

【0083】

が得られ、記号の濫用により、

【0084】

【数18】

[この文献は図面を表示できません]

【0085】

となる。有限集合

【0086】

【数19】

[この文献は図面を表示できません]

【0087】

を仮定すると、式

【0088】

【数20】

[この文献は図面を表示できません]

【0089】

は、ランダム変数Ｘが

【0090】

【数21】

[この文献は図面を表示できません]

【0091】

からランダムに均一にサンプリングされることを意味する。全域にわたり、区別される記号⊥は、｛⊥｝を除いていずれの集合の一部でもないと仮定する。ある範囲内にあることが分かっている整数ｎを仮定すると、＜ｎ＞は、ｎのある固定長（例えば、６４ビット）のエンコード処理(encoding)を示す。例えば、＜０＞は値０の６４−ビット・エンコード処理を示すことができる。

【0092】

[064] 関数

【0093】

【数22】

[この文献は図面を表示できません]

【0094】

その第１引数を添え字付き鍵として書くと、

【0095】

【数23】

[この文献は図面を表示できません]

【0096】

の全ての別個の値について確率が、

【0097】

【数24】

[この文献は図面を表示できません]

【0098】

（ここで、確率は、

【0099】

【数25】

[この文献は図面を表示できません]

【0100】

を超える）である場合、関数Ｈは∈−殆ど不偏的(∈-almost universal)（∈−ＡＵ））となる。同様に、全ての別個のＸ，

【0101】

【数26】

[この文献は図面を表示できません]

【0102】

および

【0103】

【数27】

[この文献は図面を表示できません]

【0104】

について確率が、

【0105】

【数28】

[この文献は図面を表示できません]

【0106】

である場合、 関数Ｈは∈−殆ど２−ＸＯＲ不偏的(∈-almost 2-XOR universal)となる。
[065] アドバーサリー(adversary)とは、０個以上のオラクル(oracle)を入力として取り込むアルゴリズムのことである。アドバーサリーは、何らかの出力を戻す前に、ブラックボックス的に質問する。アドバーサリーはランダムであってもよい。表記Ａ^ｆ⇒ｂは、アドバーサリーＡが、オラクルｆをその入力として実行した後に、ｂを出力するというイベントを示す。

【0107】

[066] ときには、アドバーサリーが相互作用することができるオラクルの擬似コード記述、およびこのような相互作用を設定するまたそうでなければ関係付ける手順を与えると便利である。これらの記述をゲームと呼ぶ。ゲームは、１組の手順を含み、アドバーサリーＡを入力として取り込む特殊な「主」手順を含む。

【0108】

【数29】

[この文献は図面を表示できません]

【0109】

は、ゲームＧの主手順が、アドバーサリーＡが入力として与えられたときにｙを出力する確率である。主手順が明示的に与えられない場合、Ｍａｉｎ（Ａ）は単にＡを実行し、（コンテキストから明確になるある順序で）残りの手順をオラクルとしてそれに供給し、次いでＡの出力を戻す。
[067]

【0110】

【数30】

[この文献は図面を表示できません]

【0111】

は、非空集合であり、そして文字列

【0112】

【数31】

[この文献は図面を表示できません]

【0113】

である。調整可能暗号は、マッピング

【0114】

【数32】

[この文献は図面を表示できません]

【0115】

であり、全ての

【0116】

【数33】

[この文献は図面を表示できません]

【0117】

について、調整可能暗号

【0118】

【数34】

[この文献は図面を表示できません]

【0119】

は

【0120】

【数35】

[この文献は図面を表示できません]

【0121】

上の置換であるというプロパティを有する。鍵は、通例、添え字として示されるので、

【0122】

【数36】

[この文献は図面を表示できません]

【0123】

となる。調整可能暗号

【0124】

【数37】

[この文献は図面を表示できません]

【0125】

は、反転可能であり、

【0126】

【数38】

[この文献は図面を表示できません]

【0127】

で示される。

【0128】

【数39】

[この文献は図面を表示できません]

【0129】

は、鍵空間を示し、

【0130】

【数40】

[この文献は図面を表示できません]

【0131】

はトウィーク空間を示し、

【0132】

【数41】

[この文献は図面を表示できません]

【0133】

はメッセージ空間を示す。調整可能暗号

【0134】

【数42】

[この文献は図面を表示できません]

【0135】

は、全ての

【0136】

【数43】

[この文献は図面を表示できません]

【0137】

について、

【0138】

【数44】

[この文献は図面を表示できません]

【0139】

である場合、長さを保存する。調整可能暗号のトウィークまたはメッセージ空間を制限すると他のオブジェクトが生ずる。あるｎ＞０についてメッセージ空間

【0140】

【数45】

[この文献は図面を表示できません]

【0141】

であるとき、

【0142】

【数46】

[この文献は図面を表示できません]

【0143】

はブロック・サイズがｎの調整可能ブロック暗号（「ＴＢＣ」）である。更に一般化すると、ｎーキャラクタ

【0144】

【数47】

[この文献は図面を表示できません]

【0145】

は、メッセージ空間

【0146】

【数48】

[この文献は図面を表示できません]

【0147】

にわたる置換の一群であり、調整可能ブロック暗号（「ＴＢＣ」）における各置換は、鍵およびトウィークに関連付けられる。

【0148】

【数49】

[この文献は図面を表示できません]

【0149】

のとき、トウィークは暗示的であり、暗号

【0150】

【数50】

[この文献は図面を表示できません]

【0151】

を与える。ここでＥ_Ｋ（・）は、

【0152】

【数51】

[この文献は図面を表示できません]

【0153】

上の（長さ保存）置換であり、Ｅ_Ｋ^−１はその逆である。最後に、メッセージ空間

【0154】

【数52】

[この文献は図面を表示できません]

【0155】

および

【0156】

【数53】

[この文献は図面を表示できません]

【0157】

のとき、従来のブロック暗号は、

【0158】

【数54】

[この文献は図面を表示できません]

【0159】

となる。
[068] 値Ｎ（大文字）は、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）またはＮキャラクタ調整可能ブロック暗号（「ＴＢＣ」）について入力文字列の長さ、または可変入力長調整可能暗号（「ＶＩＬＴＣ」）について初期化ベクトル（「ＩＶ」）の長さを示す。Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、ｎ−ビット・ブロック暗号から組み立てることができ、ここでｎ（小文字）はブロック暗号のブロック・サイズを示す。ある例では、Ｎ＝ｎとなる。他の例では、Ｎ＝２ｎとなる。

【0160】

[069]

【0161】

【数55】

[この文献は図面を表示できません]

【0162】

は、

【0163】

【数56】

[この文献は図面を表示できません]

【0164】

上における全ての置換の集合を示す。

【0165】

【数57】

[この文献は図面を表示できません]

【0166】

は、鍵空間

【0167】

【数58】

[この文献は図面を表示できません]

【0168】

およびメッセージ空間

【0169】

【数59】

[この文献は図面を表示できません]

【0170】

を有する全ての暗号の集合である。

【0171】

【数60】

[この文献は図面を表示できません]

【0172】

が集合であるとき、

【0173】

【数61】

[この文献は図面を表示できません]

【0174】

は、全ての関数

【0175】

【数62】

[この文献は図面を表示できません]

【0176】

の集合である。調整可能暗号は次の通りである

【0177】

【数63】

[この文献は図面を表示できません]

【0178】

調整可能擬似ランダム置換（「ＴＰＲＰ」）および強いＴＰＲＰ（強調整可能擬似ランダム置換（「ＳＴＰＲＰ」））の利点尺度(advantage measure)は、次のようになる。

【0179】

【数64】

[この文献は図面を表示できません]

【0180】

ここで、各場合において、アドバーサリーＡは、指示された数のオラクルを取り込む。調整可能擬似ランダム置換（「ＴＰＲＰ」）および強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）実験双方に対して、アドバーサリーＡは決してオラクルに対する質問を繰り返さない。また、強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）利点尺度について、これは、アドバーサリーＡがその最も左側のオラクルに（Ｔ，Ｘ）を質問し、見返りにＹを受けた場合、アドバーサリーＡは決してその最も右のオラクルに（Ｔ，Ｙ）を質問しないこと、そしてその逆も意味する。

【0181】

[070] 関連尺度、ＳＲＮＤ利点は、次のように定義される。

【0182】

【数65】

[この文献は図面を表示できません]

【0183】

ここで、

【0184】

【数66】

[この文献は図面を表示できません]

【0185】

オラクルは、全てのＴおよびＸに対して、その第２入力｜＄（Ｔ，Ｘ）｜＝｜Ｘ｜と長さが等しいランダム文字列を出力する。以上の３つの利点に対するアドバーサリーは、それらのオラクル・質問（Ｔ_１，Ｘ_１）、．．．（Ｔ_ｑ，Ｘ_ｑ）のトランスクリプト(transcript)が任意のｉ≠ｊに対してＴ_ｉ＝Ｔ_ｊを含まない場合、ノンス制約付き(nonce-respecting)である。

【0186】

[071] 暗号

【0187】

【数67】

[この文献は図面を表示できません]

【0188】

について、擬似ランダム置換（「ＰＲＰ」）および強擬似ランダム置換（「ＳＰＲＰ」）の利点尺度は、次のように定義される。

【0189】

【数68】

[この文献は図面を表示できません]

【0190】

ここで、各場合において、アドバーサリーＡは、示された数のオラクルを取り込む。
[072] ３つのアドバーサリー・リソース(adversarial resource)を追跡する。時間複雑性ｔ、オラクルの質問数ｑ、およびこれらの質問の全長μとする。アドバーサリーＡの時間複雑性は、その包絡確率実験（鍵のサンプリング、オラクルの計算等を含む）の複雑性を含むと定義され、パラメータｔは、利点尺度において双方の実験に要した、アドバーサリーＡの最大時間複雑性であると定義される。

【0191】

ＩＶ．初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の一般化された構造および使用
[073] 図３ａから図３ｃは、初期化ベクトルが保護された可変入力長調整可能暗号（「ＶＩＬＴＣ」）の構造（３００、３０１、３０２）を一般化して示す。一般化された構造（３００、３０１、３０２）は、暗号化に使用することができ、平文の固定長入力文字列Ｘ_Ｌおよび可変長入力文字列Ｘ_Ｒが、暗号文の固定長出力文字列Ｙ_Ｌおよび可変長出力文字列Ｙ_Ｒに変換される。また、一般化された構造（３００、３０１、３０２）は、復号にも使用することができ、暗号文の固定長入力文字列Ｙ_Ｌおよび可変長入力文字列Ｙ_Ｒが、平文の固定長出力文字列Ｘ_Ｌおよび可変長出力文字列Ｘ_Ｒに変換される。

【0192】

[074] 図３ａの構造（３００）では、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）が、固定長初期化ベクトル（３２８ａ）をシステム外部への露出から保護する。バッファ（３１０）が、固定長入力文字列（３１１ａ）および可変長入力文字列（３１２）を格納する。第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）は、固定長初期化ベクトル（３２８ａ）を生成するように構成されている。例えば、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）は、固定長入力文字列（３１１ａ）が入力される毎にこれを使用して固定長初期化ベクトル（３２８ａ）を生成し、更にシステムに対するトウィーク（３１８）および可変長入力文字列（３１２）の組み合わせ（例えば、連結(concatenation)または他の調節）をそのトウィークとして生成するように構成されている。図３ａでは、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）（および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ））の網掛け部分(filled-in portion)は、トウィーク入力を表す。トウィーク（３１８）の値は、システムの環境的特徴（例えば、完全ディスク暗号化（「ＦＤＥ」）では論理ハード・ディスク・セクタＩＤ、メモリ・アドレス、フォーマット保存暗号化（「ＦＰＥ」）ではクレジット・カード番号の下４桁）に基づくことができる。

【0193】

[075] 図３ａでは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、固定長初期化ベクトル（３２８ａ）をトウィークとして使用して、可変長出力文字列（３５２）を生成するように構成されている。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、固定長初期化ベクトル（３２８ａ）をそのトウィークとして使用し、可変長入力文字列（３１２）をその入力として使用し、可変長出力文字列（３５２）を生成するように構成されている。

【0194】

[076] 図３ａでは、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）は、固定長出力文字列（３５１ａ）を生成するように構成されている。例えば、第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）は、固定長初期化ベクトル（３２８ａ）をその入力として使用し、トウィーク（３１８）および可変長出力文字列（３５２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、固定長出力文字列（３５１ａ）を生成するように構成されている。通例、第１固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３２０ａ）および第２固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）（３４０ａ）は、トウィーク（３１８）に対して同じ値を使用する。他のバッファ（３５０）が、固定長出力文字列（３５１ａ）および可変長出力文字列（３５２）を格納する。

【0195】

[077] 図３ｂは、フォーマット保存暗号化および復号に適応する構成とした構造（３００）の変種を示す。図３ｂの構造（３０１）では、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）が、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をシステム外部への露出から保護する。バッファ（３１０）が、Ｎ−キャラクタ入力文字列（３１１ｂ）および可変長入力文字列（３１２）を格納する。第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）を生成するように構成されている。例えば、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）は、Ｎ−キャラクタ入力文字列（３１１ｂ）をその入力として使用し、システムに対するトウィーク（３１８）および可変長入力文字列（３１２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）を生成するように構成されている。トウィーク（３１８）の値は、システムの環境的特徴（例えば、フォーマット保存暗号化（「ＦＰＥ」）では、クレジット・カード番号の下４桁）に基づくことができる。

【0196】

[078] 図３ｂでは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をトウィークとして使用して、可変長出力文字列（３５２）を生成するように構成されている。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をそのトウィークとして使用し、可変長入力文字列（３１２）をその入力として使用して、可変長出力文字列（３５２）を生成するように構成されている。

【0197】

[079] 図３ｂでは、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、Ｎ−キャラクタ出力文字列（３５１ｂ）を生成するように構成されている。例えば、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）をその入力として使用し、トウィーク（３１８）および可変長出力文字列（３５２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−キャラクタ出力文字列（３５１ｂ）を生成するように構成されている。通例、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、システムに対するトウィーク（３１８）に同じ値を使用する。他のバッファ（３５０）が、Ｎ−キャラクタ出力文字列（３５１ｂ）および可変長出力文字列（３５２）を格納する。

【0198】

[080] Ｎ−キャラクタ入力文字列（３１１ｂ）、可変長入力文字列（３１２）、Ｎ−キャラクタ出力文字列（３５１ｂ）、および可変長出力文字列（３５２）のキャラクタ は、所定の有限な１組の記号（例えば、数値０．．．９、文字Ａ．．．Ｚおよび数値０．．．９）から選択される。Ｎ−キャラクタ入力文字列（３１１ｂ）、Ｎ−キャラクタ初期化ベクトル（３２８ｂ）、およびＮ−キャラクタ出力文字列（３５１ｂ）のＮの数値例は、Ｎ＝１またはＮ＝２である。更に一般的には、Ｎは任意の正の整数とすることができる。

【0199】

[081] 一般化された構造（３０１）は、種々の方法で実現することができる。例えば、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）、および第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）は、ランダム生成置換参照表から組み立てることができる。一般に、調整可能ブロック暗号（「ＴＢＣ」）における各置換にはトウィークおよび鍵が関連付けられることを思い出すこと。トウィークおよび鍵は、調整可能ブロック暗号（「ＴＢＣ」）への入力として、調整可能ブロック暗号（「ＴＢＣ」）に対する特定の置換を指定する。ある実施態様では（例えば、規制圧力が強いクレジット・カード支払い業界におけるフォーマット保存暗号化（「ＦＰＥ」）の応用）、ユーザは明示的な鍵を避ける方を好む場合がある。このような場合、トウィークが、ランダム生成置換参照表の一群から選択するために使用される。

【0200】

[082] 更に一般的には、第１Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ）、第２Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３４０ｂ）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、特殊目的ハードウェアを使用して実現することができ、または汎用ハードウェア上で実行するソフトウェアを使用して実現することができる。通例、２つのＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ、３４０ｂ）は、前述のように、１つのＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する、異なる入力および出力を用いた、２回のコールによって供給される。代わりに、しかしながら、Ｎ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）（３２０ｂ、３４０ｂ）に２つの異なるＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）コンポーネントを供給することもできる。

【0201】

[083] 図３ｃは、完全ディスク暗号化および復号に適応する構成とした構造（３００）の変種を示す。図３ｃの構造（３０２）では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）が、Ｎ−ビット初期化ベクトル（３２８ｃ）をシステム外部への露出から保護する。バッファ（３１０）が、Ｎ−ビット入力文字列（３１１ｃ）および可変長入力文字列（３１２）を格納する。Ｎの数値例は、１２８および２５６ビットである。可変長入力文字列（３１２）の長さの値の例は、４０９６バイトおよび８１９２バイトである。

【0202】

[084] 図３ｃでは、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）は、Ｎ−ビット初期化ベクトル（３２８ｃ）を生成するように構成されている。例えば、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）は、Ｎ−ビット入力文字列（３１１ｃ）をその入力として使用し、システムに対するトウィーク（３１８）および可変長入力文字列（３１２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−ビット初期化ベクトル（３２８ｃ）を生成するように構成されている。トウィーク（３１８）の値は、システムの環境的特徴（例えば、完全ディスク暗号化（「ＦＤＥ」）では、論理的ハード・ディスク・セクタＩＤ）に基づくことができる。

【0203】

[085] 図３ｃでは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−ビット初期化ベクトル（３２８ｃ）をトウィークとして使用して、可変長出力文字列（３５２）を生成するように構成されている。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、Ｎ−ビット初期化ベクトル（３２８ｃ）をそのトウィークとして使用し、可変長入力文字列（３１２）をその入力として使用して、可変長出力文字列（３５２）を生成するように構成されている。

【0204】

[086] 図３ｃでは、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、Ｎ−ビット出力文字列（３５１ｃ）を生成するように構成されている。例えば、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、Ｎ−ビット初期化ベクトル（３２８ｃ）をその入力として使用し、トウィーク（３１８）および可変長出力文字列（３５２）の組み合わせ（例えば、連結またはその他の調節）をそのトウィークとして使用して、Ｎ−ビット出力文字列（３５１ｃ）を生成するように構成されている。通例、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、システムに対するトウィーク（３１８）に同じ値を使用する。他のバッファ（３５０）が、Ｎ−ビット出力文字列（３５１ｃ）および可変長出力文字列（３５２）を格納する。

【0205】

[087] 一般化された構造（３０２）は、以下で詳述するように、多くの方法で実現することができる。第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）および第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は、同じ構造を有する。あるいは、これらは異なる構造を有する。

【0206】

[088] 例えば、一実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および／または第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、ＬＲＷ２ ＴＢＣ構造（以下で詳述する。章Ｖ．Ａ．を参照のこと）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、反復ＬＲＷ２ ＴＢＣ構造である。以下で更に詳述するが、ＬＲＷ２ ＴＢＣ構造は、（１）（ａ）ｎ−ビットＬＲＷ２入力文字列と（ｂ）トウィーク入力のｎ−ビット・ハッシュとの間のＸＯＲの暗号化バージョンと、（２）トウィーク入力のｎ−ビット・ハッシュとの間のＸＯＲを計算することによって、ｎ−ビットＬＲＷ２出力文字列を生成するように構成されている。他の例として、他の実施態様では、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）および／または第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）は、ドメイン拡張ＣＬＲＷ２構造（以下で定義する。章Ｖ．Ａ．を参照のこと）であり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は反復ＣＬＲＷ２構造である。

【0207】

[089] 構造（３０２）は、安全性と実装効率とのトレードオフを得るためにＮ（固定長入力文字列および固定長出力文字列のビット数）を調節するように構成されたコントローラ（図示せず）も含むことができる。Ｎの値が小さい程（例えば、１２８）、安全性が悪化するが、安全性制約に伴い効率的な実装が簡素化する。他方で、Ｎの値が大きい程（例えば、２５６）高い安全性が得られるが、安全性制約に伴い効率的な実装が複雑化する。

【0208】

[090] 一般に、Ｎは任意の正の整数とすることができる。保護された初期化ベクトル（「ＩＶ」）の構造の固定入力長（「ＦＩＬ」）および可変入力長（「ＶＩＬ」）コンポーネントが基礎の１２８−ビット・ブロック暗号（例えば、ＡＥＳ）から組み立てられるとき、Ｎ＝１２８およびＮ＝２５６という数値が相応しい。ＰＩＶ構造が、他のサイズのブロック暗号（ブロック・サイズが６４ビットのＤＥＳのような）を使用して実現される場合、Ｎには他の値が適していることもある（例えば、６４または１２８ビット）。

【0209】

[091] 第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、特殊目的ハードウェアを使用して実装することができる。また、第１Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ）、第２Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３４０ｃ）、および可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、汎用ハードウェア上で実行するソフトウェアを使用して実装することもできる。通例、２つのＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ、３４０ｃ）は、前述のように、１つのＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントに対する２回のコールによって、異なる入力および出力を用いて、供給される。代わりに、しかしながら、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）（３２０ｃ、３４０ｃ）に２つの異なるＮ−ビット調整可能ブロック暗号（「ＴＢＣ」）コンポーネントを供給することもできる。

【0210】

[092] 構造（３０２）は、一種の３ラウンド、不均衡ファイステル・ネットワーク(three-round, unbalanced Feistel network)として解釈することができ、入力の左部が固定ビット長Ｎであり、右部が可変長を有する。１回目および３回目のラウンド関数が、Ｎ−ビット

【0211】

【数69】

[この文献は図面を表示できません]

【0212】

（３２０ｃ、３４０ｃ）となる。実施態様例では、ビット長Ｎは、この構造の調整可能な（tunable)パラメータであり、Ｎ＝１２８またはＮ−２５６というような値を有することができる。可変入力長調整可能暗号（「ＶＩＬＴＣ」）（３３０）は、中間ラウンド関数

【0213】

【数70】

[この文献は図面を表示できません]

【0214】

を提供し、そのトウィークは、最初のラウンドの出力、即ち、初期化ベクトルＩＶ（３２８ｃ）となる。
[093] 初期化ベクトル（「ＩＶ」）が保護されない従来の

【0215】

【数71】

[この文献は図面を表示できません]

【0216】

と比較すると、初期化ベクトル（「ＩＶ」）が保護される可変入力長調整可能暗号（「ＶＩＬＴＣ」）

【0217】

【数72】

[この文献は図面を表示できません]

【0218】

における可変入力長調整可能暗号（「ＶＩＬＴＣ」）モジュール

【0219】

【数73】

[この文献は図面を表示できません]

【0220】

は、安全性要件を低く抑えることができる。

【0221】

【数74】

[この文献は図面を表示できません]

【0222】

に対する目標安全性プロパティは、強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全(STPRP-secure)であるということである。非公式には、強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全であるとは、攻撃者も全ての入力にわたって完全な制御を有する、選択暗号文攻撃に耐えることを意味する。攻撃者は、例えば、トウィークを任意の回数繰り返すことができる。章ＶＩＩにおいて詳述するが、

【0223】

【数75】

[この文献は図面を表示できません]

【0224】

が、Ｎ−ビット文字列のドメインにわたって強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全であり、調整可能暗号

【0225】

【数76】

[この文献は図面を表示できません]

【0226】

が、トウィークを決して繰り返さない攻撃に対して安全である場合、

【0227】

【数77】

[この文献は図面を表示できません]

【0228】

は強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全となる。定性的に、初期化ベクトル（「ＩＶ」）保護構造は、制限された種類の攻撃者に対する安全性を、任意の選択暗号文攻撃に対する安全性に高める（大きなドメインにわたって）。定量的に、

【0229】

【数78】

[この文献は図面を表示できません]

【0230】

に対する安全性限界(security bound)は、加算項ｑ^２／２^Ｎを有し、ｑは、

【0231】

【数79】

[この文献は図面を表示できません]

【0232】

が質問される回数である。Ｎは、ある基礎のブロック暗号のブロック・サイズｎとすることができる。この場合、

【0233】

【数80】

[この文献は図面を表示できません]

【0234】

は、既存の構造によって得られるものに比肩し得る限界(bound)を達成する。Ｎ＝２ｎの場合、ｎ−ビット・プリミティブを使用して

【0235】

【数81】

[この文献は図面を表示できません]

【0236】

および

【0237】

【数82】

[この文献は図面を表示できません]

【0238】

をインスタンス化することができ、なおも

【0239】

【数83】

[この文献は図面を表示できません]

【0240】

は、２^ｎ／２回の質問という誕生日超え(beyond-birthday)を遙かに超える安全性を有する調整可能暗号を提供する。
[094] 公式的には、実施形態例では、

【0241】

【数84】

[この文献は図面を表示できません]

【0242】

は、以下に基づいて組み立てられる。 あるｔ≧０について、トウィーク空間

【0243】

【数85】

[この文献は図面を表示できません]

【0244】

とする。

【0245】

【数86】

[この文献は図面を表示できません]

【0246】

である場合、

【0247】

【数87】

[この文献は図面を表示できません]

【0248】

となるように、

【0249】

【数88】

[この文献は図面を表示できません]

【0250】

とする。

【0251】

【数89】

[この文献は図面を表示できません]

【0252】

Ｎ＞０の整数について、

【0253】

【数90】

[この文献は図面を表示できません]

【0254】

および

【0255】

【数91】

[この文献は図面を表示できません]

【0256】

これらから、

【0257】

【数92】

[この文献は図面を表示できません]

【0258】

ここで、

【0259】

【数93】

[この文献は図面を表示できません]

【0260】

[095]

【0261】

【数94】

[この文献は図面を表示できません]

【0262】

のＰＩＶ組成(composition)は、３ラウンド・ファイステル構造であり、以下のように動作する。入力（Ｔ、Ｘ）上において、平文入力文字列Ｘ＝Ｘ_Ｌ||Ｘ_Ｒ、ここで固定長部の長さは｜Ｘ_Ｌ｜＝Ｎである。第１

【0263】

【数95】

[この文献は図面を表示できません]

【0264】

は、鍵Ｋ’を使用して、初期化ベクトル

【0265】

【数96】

[この文献は図面を表示できません]

【0266】

に対してＮ−ビット文字列を作成する。次に、

【0267】

【数97】

[この文献は図面を表示できません]

【0268】

はこの初期化ベクトル（「ＩＶ」）を使用して、鍵Ｋを用いて可変長入力文字列Ｘ_Ｒを暗号化し、可変長出力文字列

【0269】

【数98】

[この文献は図面を表示できません]

【0270】

を作成する。第２

【0271】

【数99】

[この文献は図面を表示できません]

【0272】

は、Ｎ−ビット出力文字列

【0273】

【数100】

[この文献は図面を表示できません]

【0274】

を作成する。暗号文出力文字列Ｙ_Ｌ||Ｙ_Ｒは、

【0275】

【数101】

[この文献は図面を表示できません]

【0276】

の値として戻される。
[096] 逆に、反転構造(inverse construction)

【0277】

【数102】

[この文献は図面を表示できません]

【0278】

は、次のように動作する。入力（Ｔ，Ｙ）上において、暗号文入力文字列はＹ＝Ｙ_Ｌ||Ｙ_Ｒであり、ここで固定長部の長さは｜Ｙ_Ｌ｜＝Ｎである。第１

【0279】

【数103】

[この文献は図面を表示できません]

【0280】

は、鍵Ｋ’を使用して、初期化ベクトル

【0281】

【数104】

[この文献は図面を表示できません]

【0282】

に対してＮ−ビット文字列を作成する。次に、

【0283】

【数105】

[この文献は図面を表示できません]

【0284】

はこの初期化ベクトル（「ＩＶ」）を使用して、鍵Ｋを用いて可変長入力文字列Ｙ_Ｒを復号し、可変長出力文字列

【0285】

【数106】

[この文献は図面を表示できません]

【0286】

を作成する。第２

【0287】

【数107】

[この文献は図面を表示できません]

【0288】

は、Ｎ−ビット出力文字列

【0289】

【数108】

[この文献は図面を表示できません]

【0290】

を作成する。平文出力文字列Ｘ_Ｌ||Ｘ_Ｒは、

【0291】

【数109】

[この文献は図面を表示できません]

【0292】

の値として戻される。
[097] 図３ｃでは、構造は３つのラウンドを含む。あるいは、構造はもっと多くのラウンド（例えば、５ラウンドまたは７ラウンド）を含むことができ、Ｎ−ビット

【0293】

【数110】

[この文献は図面を表示できません]

【0294】

がこの構造を開始および終了し、多数の

【0295】

【数111】

[この文献は図面を表示できません]

【0296】

コンポーネントがＮ−ビット

【0297】

【数112】

[この文献は図面を表示できません]

【0298】

の間で交互に現れる。
[098] 図４は、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用するための技法（４００）を一般化して示す。暗号化システムまたは復号システムは、技法（４００）を実行する。

【0299】

[099] 本システムは、固定長入力文字列（例えば、Ｎ−ビット入力文字列、Ｎ−キャラクタ入力文字列）、および可変長入力文字列を受ける（４１０）。暗号化では（例えば、完全ディスク暗号化（「ＦＤＥ」）、フォーマット保存暗号化（「ＦＰＥ」）、関連データ付き認証付暗号化（「ＡＥＡＤ」）、または他の暗号化のシナリオの間）、固定長入力文字列および可変長入力文字列は平文である。対応する復号では、固定長入力文字列および可変長入力文字列は暗号文である。

【0300】

[0100] 本システムは、固定長初期化ベクトル（例えば、Ｎ−ビット初期化ベクトル、Ｎ−キャラクタ初期化ベクトル）を生成する（４２０）。例えば、固定長初期化ベクトルは、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力である固定長入力文字列に基づき、更に固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システムに対するトウィークおよび可変長入力文字列の組み合わせに基づいて、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって生成される。固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）またはＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）とすることができる。固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対して、本システムは、システムの環境的特徴（例えば、ディスク・セクタ、メモリ・アドレス）に基づいてトウィークの値を設定するか、または何らかの他の方法でトウィークの値を設定することができる。あるいは、固定長初期化ベクトルは、何らかの他の方法で生成される。

【0301】

[0101] また、本システムは、固定長初期化ベクトルをトウィークとして使用する可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって、可変長出力文字列を生成する（４３０）。例えば、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、固定長初期化ベクトル（可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークとして）および可変長入力文字列（可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する入力として）に基づいて、可変長出力文字列を生成する。あるいは、可変長出力文字列は、何らかの他の方法で生成される。

【0302】

[0102] 本システムは、固定長初期化ベクトルを曖昧にする（４４０）。例えば、固定長初期化ベクトルは、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）によって曖昧にされ、固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対する入力である固定長初期化ベクトル、および固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）に対するトウィークである、システム・トウィークおよび可変長出力文字列の組み合わせに基づいて、固定長出力ストリング（例えば、Ｎ−ビット出力文字列、Ｎ−キャラクタ出力文字列）を生成する。固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）は、例えば、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）またはＮ−キャラクタ調整可能ブロック暗号（「ＴＢＣ」）とすることができる。あるいは、固定長初期化ベクトルは、何らかの他の方法で曖昧にされる。

【0303】

[0103] 最後に、本システムは、固定長出力文字列および可変長出力文字列を出力する（４５０）。暗号化では（例えば、完全ディスク暗号化（「ＦＤＥ」）、フォーマット保存暗号化（「ＦＰＥ」）、関連データ付き認証付暗号化（「ＡＥＡＤ」）、または他の暗号化のシナリオの間）、固定長出力文字列および可変長出力文字列は暗号文である。対応する復号では、固定長出力文字列および可変長出力文字列は平文である。

【0304】

Ｖ．初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の実施態様例
[0104] 初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する一般的なフレームワーク内において、固定入力長（「ＦＩＬ」）部

【0305】

【数113】

[この文献は図面を表示できません]

【0306】

および可変入力長（「ＶＩＬ」）部

【0307】

【数114】

[この文献は図面を表示できません]

【0308】

を独立して組み立てることができる。このモジュール型手法は、トウィークが繰り返さないと仮定できるときには、可変入力長（「ＶＩＬ」）部

【0309】

【数115】

[この文献は図面を表示できません]

【0310】

の効率的で安全なインスタンス化を組み立てることが容易であるのが通例なので、有効である。トウィークが繰り返されるかもしれないときに安全であり続ける

【0311】

【数116】

[この文献は図面を表示できません]

【0312】

を組み立てることは、固定ビット長Ｎ（即ち、Ｎ−ビット・ブロック・サイズ）の平文入力をそれに処理させることによって、簡略化される。実際には、N=１２８または２５６のとき、

【0313】

【数117】

[この文献は図面を表示できません]

【0314】

によって生ずる非効率は、

【0315】

【数118】

[この文献は図面を表示できません]

【0316】

における効率利得によって相殺することができる。
[0105] ブロック・サイズＮをできるだけ大きく設定することには、安全性上の利点があるが、大きなＮに対してドメイン｛０，１｝^Nを有し、

【0317】

【数119】

[この文献は図面を表示できません]

【0318】

がｑ^２／２^Ｎに接近する

【0319】

【数120】

[この文献は図面を表示できません]

【0320】

を構築すると、複雑になる。具体的には、現在では、ｎ−ビット・ブロック暗号を開始点として使用するとき、

【0321】

【数121】

[この文献は図面を表示できません]

【0322】

が、

【0323】

【数122】

[この文献は図面を表示できません]

【0324】

よりも小さくなることを可能にする効率的な構造がない。しかしながら、以下ではＮ＝２ｎである構造について説明する。
[0106] しがたって、この章は、Ｎが比較的小さい（例えば、１２８、２５６）

【0325】

【数123】

[この文献は図面を表示できません]

【0326】

を組み立てることを中心に据える。具体的には、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）を、ブロック暗号から組み立てる。ｎをブロック暗号のブロック・サイズ、Ｎ＝ｎ、およびＮ＝２ｎとする。この章では、各々ｎ−ビット・ブロック暗号を使用し、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）の２つの実施態様について説明する。

【0327】

[0107] 第１の実施態様例（ＴＣＴ_１）は、誕生日限界の安全性を提供する。Ｎ＝ｎのとき、この実施態様は、大まかに、ブロック暗号に関する誕生日限界であるｑ＝２^ｎ／２回まで安全である。この安全性限界を念頭に入れ、この実施態様は、

【0328】

【数124】

[この文献は図面を表示できません]

【0329】

および

【0330】

【数125】

[この文献は図面を表示できません]

【0331】

双方の簡単で効率的な構造を使用する。第１の実施態様例（ＴＣＴ_１）は、入力のｎ−ビット・ブロック毎に、１回だけのブロック暗号呼び出し(invocation)、および２のべき乗を法とする(modulo powers of two)ある算術演算を使用する。対照的に、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を実装する以前の手法は、ｎ−ビット・ブロック毎に２回のブロック暗号呼び出しを使用するか、またはブロック毎に有限界動作を使用する。

【0332】

[0108] 第２の実施態様例（ＴＣＴ_２）は、誕生日限界を超えた安全性を提供する。Ｎ＝２ｎのとき、この実施態様は大まかにｑ＝２^ｎ回の質問まで安全である。この厳格化した安全性限界を念頭に入れて、なおもそれなりに効率的な構造がある。以前の可変入力長調整可能暗号（「ＶＩＬＴＣ」）が誕生日限界の安全性だけであるのと比較すると、第２の実施態様例（ＴＣＴ_２）は、入力のｎ−ビット・ブロック毎に、単純な算術演算の僅かな追加を招くに過ぎない。この場合も、この算術演算は、有限界においてではなく、２のべき乗を法として実行される。

【0333】

[0109] 第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）では、可変入力長（「ＶＩＬ」）コンポーネント

【0334】

【数126】

[この文献は図面を表示できません]

【0335】

は、調整可能ブロック暗号（「ＴＢＣ」）に対するカウンタ・モード暗号化(counter-mode encryption)を使用してインスタンス化される。調整可能ブロック暗号（「ＴＢＣ」）の追加のトウィーク入力は、種々の「トウィーク・スケジューリング」手法を可能にする。例えば、全てのブロックにわたって１つのメッセージ毎にトウィークを固定する、またはメッセージ・ブロック毎にトウィークを変化させる。（調整可能ブロック暗号（「ＴＢＣ」）のトウィークを変化させることとブロック暗号の鍵を変化させることの間には、自然な繋がりがある。双方共、安全性を高めるために使用することができるが、トウィークは秘密にする必要がないので、トウィークを変化させる方が影響が少ない(clean)。）ブロック毎に再調整すると、少なくともＮの任意の長さの文字列を受け入れ、初期化ベクトル（「ＩＶ」）が保護され、誕生日限界を超えて安全な可変入力長調整可能暗号（「ＶＩＬＴＣ」）構造が得られる。

【0336】

[0110] 手順ＴＣＴＲは、ｎ−ビット

【0337】

【数127】

[この文献は図面を表示できません]

【0338】

にカウンタ・モード暗号化を提供する。ＴＣＴＲへのコール内において、入力Ｘの各ｎ−ビット・ブロックＸ_ｉが、ブロック毎のトウィークＴ_ｉを使用して処理され、以下のように、入力トウィークＴの関数

【0339】

【数128】

[この文献は図面を表示できません]

【0340】

およびブロック・インデックスｉによって決定される。

【0341】

【数129】

[この文献は図面を表示できません]

【0342】

[0111] 反転ＴＣＴＲの手順では、入力Ｙの各ｎ−ビット・ブロックＹ_ｉが、以下のように、ブロック毎のトウィークＴ_ｉを使用して処理される。

【0343】

【数130】

[この文献は図面を表示できません]

【0344】

[0112] 初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）では、

【0345】

【数131】

[この文献は図面を表示できません]

【0346】

は長いトウィークを扱う。これらのトウィークは、∈−ＡＵハッシュ関数を使用して、ｑ^２∈項を調整可能暗号の調整可能擬似ランダム置換（「ＴＰＲＰ」）安全性限界に追加することを犠牲にして圧縮することができる。具体的には、ある実施態様例では、ＮＨハッシュの変種を使用する。関数ＮＨ［ｒ，ｓ］_Ｌは、ｒビットの鍵（｜Ｌ｜＝ｒ）を取り込み、ｒ−ビット文字列をｓ−ビット文字列にマッピングし、２^Ｓ／２−ＡＵである。

【0347】

【数132】

[この文献は図面を表示できません]

【0348】

が与えられると、

【0349】

【数133】

[この文献は図面を表示できません]

【0350】

は、結果的に得られる調整可能ブロック暗号（「ＴＢＣ」）を示し、ここでは、そのトウィーク空間は、それの範囲ではなく、ＮＨのドメインとなる。

Ａ．第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）のコンポーネント
[0113] 第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）は、以下のコンポーネントを使用する。

【0351】

[0114] コンポーネントＬＲＷ２は、ブロック暗号Ｅおよび∈−ＡＸＵ_２関数Ｈを使用する誕生日限界調整可能ブロック暗号（「ＴＢＣ」）を示す。

【0352】

【数134】

[この文献は図面を表示できません]

【0353】

[0115] コンポーネントＣＬＲＷ２は、誕生日限界を超える安全性を有する調整可能ブロック暗号（「ＴＢＣ」）であり、ブロック暗号Ｅおよび∈−ＡＸＵ_２関数Ｈを使用する。

【0354】

【数135】

[この文献は図面を表示できません]

【0355】

[0116] コンポーネントｐｏｌｙＨ^ｍｎは、ドメイン（｛０，１｝^ｎ）^ｍおよび∈＝ｍ／２^ｎを有する∈−ＡＸＵ_２関数である。全ての動作は、Ｆ_２ｎ内にある。

【0356】

【数136】

[この文献は図面を表示できません]

【0357】

[0117] コンポーネントＮＨ（ｖｗ、２ｔｗ）は、∈＝１／２^ｔｗである∈−ＡＸＵ_２関数である。入力はｖｗビットであり、ｖは偶数、ｗ＞０に固定される。

【0358】

【数137】

[この文献は図面を表示できません]

【0359】

ここで、

【0360】

【数138】

[この文献は図面を表示できません]

【0361】

[0118] コンポーネントＣＤＭＳは、

【0362】

【数139】

[この文献は図面を表示できません]

【0363】

に対するファイステル型ドメイン・エクステンダ(domain extender)である。

【0364】

【数140】

[この文献は図面を表示できません]

【0365】

ここで、

【0366】

【数141】

[この文献は図面を表示できません]

【0367】

および

【0368】

【数142】

[この文献は図面を表示できません]

【0369】

Ｂ．第１の実施態様例（ＴＣＴ_１）
[0119] 第１の実施態様例（ＴＣＴ_１）は、平文メッセージが小さな用途のための誕生日型安全性を備えた効率的な実施態様である（例えば、完全ディスク暗号化（「ＦＤＥ」））。この実施態様では、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）のサイズはＮ＝ｎ、そしてｎ−ビット

【0370】

【数143】

[この文献は図面を表示できません]

【0371】

はコンポーネントＬＲＷ２を使用する。ブロック暗号Ｅに加えて、ＬＲＷ２［Ｈ，Ｅ］は、∈−ＡＸＵ_２ハッシュ関数Ｈを使用する。理論上、コンポーネントＬＲＷ２は大きなトウィークに対応することができる。しかしながら、実用的な目的では、小さなトウィーク空間のＬＲＷ２を実装し、次いで高速∈−ＡＵハッシュ関数を使用してこの小さなトウィーク空間を拡張する方が効率的である。∈−ＡＸＵ_２ハッシュ関数自体に対しては、第１実施態様例は多項数ハッシュｐｏｌｙＨを使用する。

【0372】

[0120] 図５ａから図５ｃは、トウィークＴおよびメッセージＸを入力として取り込む第１の実施態様例（ＴＣＴ_１）（５００）のコンポーネントを示す。メッセージＸは、ブロックＸ_１、Ｘ_２、．．．、Ｘ_Ｖに分割され、最後のブロックＸｖを除く全てのブロックの長さはｎであり、最後のブロックＸ_Ｖの長さはｎ以下である。第１の実施態様例（ＴＣＴ_１）は、出力文字列Ｙ＝Ｙ_１、Ｙ_２、．．．Ｙ_Ｖを生成する。固定入力長（「ＦＩＬ」）コンポーネントのブロック・サイズはＮ＝ｎである。ｋ、ｎ＞０に対して、

【0373】

【数144】

[この文献は図面を表示できません]

【0374】

がブロック暗号である。

【0375】

【数145】

[この文献は図面を表示できません]

【0376】

ここで、τｎビットのトウィーク空間およびドメイン

【0377】

【数146】

[この文献は図面を表示できません]

【0378】

を得るために、ｎ−ビット

【0379】

【数147】

[この文献は図面を表示できません]

【0380】

および

【0381】

【数148】

[この文献は図面を表示できません]

【0382】

を次のように設定する。
[0121] ｎ−ビット

【0383】

【数149】

[この文献は図面を表示できません]

【0384】

【数150】

[この文献は図面を表示できません]

【0385】

即ち、ｎ−ビット

【0386】

【数151】

[この文献は図面を表示できません]

【0387】

は、ＮＨを使用してそのトウィーク空間が拡張されたコンポーネントＬＲＷ２である。

【0388】

【数152】

[この文献は図面を表示できません]

【0389】

の鍵空間は、

【0390】

【数153】

[この文献は図面を表示できません]

【0391】

であり、鍵Ｋ’は、Ｅの鍵ＰｏｌｙＨ^２ｎ、および

【0392】

【数154】

[この文献は図面を表示できません]

【0393】

に区分される。ＮＨは固定長入力しかサポートしないので、ＮＨ入力には暗黙的に１がパディングされ、次いで十分な０がパディングされて、

【0394】

【数155】

[この文献は図面を表示できません]

【0395】

ビットの全長になる。

【0396】

【数156】

[この文献は図面を表示できません]

【0397】

のトウィーク空間は、

【0398】

【数157】

[この文献は図面を表示できません]

【0399】

となる。
[0122] 図５ａは、トウィーク入力（５１０）およびメッセージ入力を受け入れる第１ｎ−ビット

【0400】

【数158】

[この文献は図面を表示できません]

【0401】

（５２０）を示す。メッセージ入力は、第１ｎ−ビット・ブロックＸ_１である。トウィーク入力（５１０）は、メッセージＸの残りのブロックのパディング・バージョンと連結されたトウィーク値Ｔである。関数Ｐａｄ（）は、ｓを、

【0402】

【数159】

[この文献は図面を表示できません]

【0403】

にマッピングする。第１ｎ−ビット

【0404】

【数160】

[この文献は図面を表示できません]

【0405】

（５２０）は、ｎ−ビット初期化ベクトル（「ＩＶ」）（５３８）を生成する。
[0123] また、図５ａは、トウィーク入力（５６０）およびメッセージ入力を受け入れる第２ｎ−ビット

【0406】

【数161】

[この文献は図面を表示できません]

【0407】

（５２０）も示す。メッセージ入力は、ｎ−ビット初期化ベクトル（「ＩＶ」）（５３８）である。トウィーク入力（５６０）は、可変長出力文字列ＹのブロックＹ_２．．．Ｙ_Ｖのパディング・バージョンと連結されたトウィーク値Ｔである。第２ｎ−ビット

【0408】

【数162】

[この文献は図面を表示できません]

【0409】

（５２０）は、可変長出力文字列Ｙの第１ブロックＹ_１を生成する。
[0124] 図５ｂは、ｎ−ビット

【0410】

【数163】

[この文献は図面を表示できません]

【0411】

（５２０）の詳細を示す。ＮＨ関数（５２１）は、（ｌ＋ｒ）×ｎビットのトウィーク値を受け入れ、２ｎビットのトウィーク値を生成する。ＰｏｌｙＨ^２ｎ関数（５２２）は、２ｎ−ビット・トウィーク値からｎ−ビット・トウィーク値を生成する。ブロック暗号（５２３）は、ｎ−ビット入力値とのＸＯＲを取ったｎ−ビット・トウィーク値（これは、第１ｎ−ビット

【0412】

【数164】

[この文献は図面を表示できません]

【0413】

と第２ｎ−ビット

【0414】

【数165】

[この文献は図面を表示できません]

【0415】

（ｎ−ビット初期化ベクトル（「ＩＶ」））との間で変化する）を暗号化する。次いで、ブロック暗号（５２３）の出力は、ｎ−ビット・トウィーク値とのＸＯＲが取られ、ｎ−ビット出力を生成する。

【0416】

[0125]

【0417】

【数166】

[この文献は図面を表示できません]

【0418】

ＴＣＴＲ手順では、ｇ（Ｔ，ｉ）＝Ｔであるので、

【0419】

【数167】

[この文献は図面を表示できません]

【0420】

【数168】

[この文献は図面を表示できません]

【0421】

の鍵空間は、｛０，１｝^ｋ×｛０，１｝^ｎであり、鍵ＫはＥの鍵およびＰｏｌｙＨ^ｎに区分される。

【0422】

【数169】

[この文献は図面を表示できません]

【0423】

のトウィーク空間は、｛０，１｝^ｎであり、そのドメインは、

【0424】

【数170】

[この文献は図面を表示できません]

【0425】

である。
[0126] 図５ａに示すように、

【0426】

【数171】

[この文献は図面を表示できません]

【0427】

に対するＴＣＴＲは、一連のコンポーネント

【0428】

【数172】

[この文献は図面を表示できません]

【0429】

（５４０）として実装される。各

【0430】

【数173】

[この文献は図面を表示できません]

【0431】

（５４０）は、トウィーク入力として、ｎ−ビット初期化ベクトル（「ＩＶ」）（５３８）を受け入れる。また、各

【0432】

【数174】

[この文献は図面を表示できません]

【0433】

（５４０）は、メッセージ入力として、０≦ｉ≦ｖ−２に対して、パディング・カウンタ値＜ｉ＞も受け入れる。各

【0434】

【数175】

[この文献は図面を表示できません]

【0435】

（５４０）の出力は、メッセージＸのｎ−ビット・ブロックＸ_ｉ＋２とＸＯＲが取られ、可変長出力文字列YのブロックＹ_ｉ＋２を生成する。
[0127] 図５ｃは、ｎ−ビット

【0436】

【数176】

[この文献は図面を表示できません]

【0437】

（５４０）の詳細を示す。ｐｏｌｙＨ^ｎ関数（５４２）は、入力ｎ−ビット・トウィーク値から結果的に得られるｎ−ビット・トウィーク値を生成する。ブロック暗号（５４３）は、結果的に得られたｎ−ビット・トウィーク値とｎ−ビット入力値（パディング・カウンタ値）とのＸＯＲを取って暗号化する。次いで、ブロック暗号（５４３）の出力は、結果的に得られたｎ−ビット・トウィーク値とＸＯＲが取られ、ｎ−ビット出力を生成する。

【0438】

ｃ．第２の実施態様例（ＴＣＴ_２）
[0128] 第２の実施態様例（ＴＣＴ_２）は、誕生日限界を超えた安全性を提供する。この実施態様では、Ｎ−ビット

【0439】

【数177】

[この文献は図面を表示できません]

【0440】

のサイズは、Ｎ＝２ｎである。この２ｎ−ビット

【0441】

【数178】

[この文献は図面を表示できません]

【0442】

は、ＣＤＭＳコンポーネントの変種を使用し、これは誕生日限界を超える安全性を提供するために、数個のｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）をＣコンポーネントＬＲＷ２の一部として含む。トウィーク空間は、ＮＨを使用して拡張され、ＮＨの範囲は｛０，１｝^２ｎに設定される。最終的に、設定

【0443】

【数179】

[この文献は図面を表示できません]

【0444】

は、約２^２ｎ／３回までの質問に対して安全である。また、ＣコンポーネントＬＲＷ２は、誕生日限界を超えて安全な可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントにおいても使用される。即ち、少なくとも、

【0445】

【数180】

[この文献は図面を表示できません]

【0446】

に対して、

【0447】

【数181】

[この文献は図面を表示できません]

【0448】

となる。第２の実施態様例（ＴＣＴ_２）は、τｎビットのトウィークをサポートし、ドメイン

【0449】

【数182】

[この文献は図面を表示できません]

【0450】

を有する。
[0129] 図６ａから図６ｃは、トウィークＴおよびメッセージＸを入力として取り込む第２の実施態様例（ＴＣＴ_２）（６００）のコンポーネントを示す。メッセージＸは、ブロックＸ_１、Ｘ_２、．．．、Ｘ_Ｖに分割され、最後のブロックＸ_ｖを除く全てのブロックの長さはｎであり、最後のブロックＸ_Ｖの長さはｎ以下である。メッセージＸの長さは、２ｎビットと

【0451】

【数183】

[この文献は図面を表示できません]

【0452】

ビットとの間である。第２の実施態様例（ＴＣＴ_２）は、出力文字列Ｙ＝Ｙ_１、Ｙ_２、．．．Ｙ_Ｖを生成する。固定入力長（「ＦＩＬ」）コンポーネントのブロック・サイズはＮ＝２ｎである。

【0453】

【数184】

[この文献は図面を表示できません]

【0454】

に対して、

【0455】

【数185】

[この文献は図面を表示できません]

【0456】

がブロック暗号となる。

【0457】

【数186】

[この文献は図面を表示できません]

【0458】

ここで、２ｎ−ビット

【0459】

【数187】

[この文献は図面を表示できません]

【0460】

および

【0461】

【数188】

[この文献は図面を表示できません]

【0462】

は、次のように設定される。
[0130] ｎ−ビット

【0463】

【数189】

[この文献は図面を表示できません]

【0464】

【数190】

[この文献は図面を表示できません]

【0465】

即ち、２ｎ−ビット

【0466】

【数191】

[この文献は図面を表示できません]

【0467】

は、そのトウィーク空間がＮＨを使用して拡張された、

【0468】

【数192】

[この文献は図面を表示できません]

【0469】

コンポーネントである。

【0470】

【数193】

[この文献は図面を表示できません]

【0471】

の鍵空間は、

【0472】

【数194】

[この文献は図面を表示できません]

【0473】

であり、鍵Ｋ’は、Ｅに対する２つの鍵、ｐｏｌｙＨ^６ｎに対する２つの鍵、および

【0474】

【数195】

[この文献は図面を表示できません]

【0475】

に対する鍵に区分される。

【0476】

【数196】

[この文献は図面を表示できません]

【0477】

のトウィーク空間は、｛０，１｝^τｎである。
[0131] 図６ａは、トウィーク入力（６１０）およびメッセージ入力を受け入れる第２ｎ−ビット

【0478】

【数197】

[この文献は図面を表示できません]

【0479】

（６２０）を示す。メッセージ入力は、２つの第１ｎ−ビット・ブロックＸ_１およびＸ_２である。トウィーク入力（６１０）は、メッセージＸの残りのブロックのパディング・バージョンと連結されたトウィーク値Ｔである。第１の２ｎ−ビット

【0480】

【数198】

[この文献は図面を表示できません]

【0481】

（６２０）は、２ｎ−ビット初期化ベクトル（「ＩＶ」）（６３８）を生成する。
[0132] また、図６ａは、トウィーク入力（６６０）およびメッセージ入力を受け入れる第２ｎ−ビット

【0482】

【数199】

[この文献は図面を表示できません]

【0483】

（６２０）も示す。メッセージ入力は、は、２ｎ−ビット初期化ベクトル（「ＩＶ」）（６３８）である。トウィーク入力（６６０）は、可変長出力文字列ＹのブロックＹ_３．．．Ｙ_Ｖのパディング・バージョンと連結されたトウィーク値Ｔである。第２の２ｎ−ビット

【0484】

【数200】

[この文献は図面を表示できません]

【0485】

（５２０）は、可変長出力文字列Ｙの２つの第１ブロックＹ_１およびＹ_２を生成する。
[0133] 図６ｂは、２ｎ−ビット

【0486】

【数201】

[この文献は図面を表示できません]

【0487】

（６２０）の詳細を示す。ＨＮ関数（６２１）は、（ｌ＋ｒ−１）×ｎビットのトウィーク値を受け入れ、４ｎビットのトウィーク値Ｔ’を生成する。２ｎ−ビット入力は、第１の２ｎ−ビット

【0488】

【数202】

[この文献は図面を表示できません]

【0489】

（Ｘ_１およびＸ_２）と第２の２ｎ−ビット

【0490】

【数203】

[この文献は図面を表示できません]

【0491】

（２ｎ−ビット初期化ベクトル（「ＩＶ」））との間で変化し、２つのｎ−ビット入力に分割される。第１ｎ−ビット入力は、第１

【0492】

【数204】

[この文献は図面を表示できません]

【0493】

コンポーネント（６２２）に供給される。このコンポーネント（６２２）は、６ｎビットのトウィーク値も受け入れる。６ｎ−ビット・トウィーク値は、４ｎ−ビット・トウィーク値Ｔ’のパディング・バージョン（ｎ個のゼロ・ビットがパディングされ、５ｎビットの長さになる）および第２ｎ−ビット入力を連結することによって決定される。第１

【0494】

【数205】

[この文献は図面を表示できません]

【0495】

コンポーネント（６２２）は、ｎ−ビット出力値を生成し、４ｎ−ビット・トウィーク値Ｔ’のパディング・バージョン（ｎ個のゼロ・ビットがパディングされて５ｎビットの長さになる）の後ろに連結され、第２

【0496】

【数206】

[この文献は図面を表示できません]

【0497】

コンポーネント（６２２）のために６ｎ−ビット・トウィーク値を形成する。また、第２

【0498】

【数207】

[この文献は図面を表示できません]

【0499】

コンポーネント（６２２）は、第２ｎ−ビット入力も受け入れ、ｎ−ビット出力を生成する。同様に、第３

【0500】

【数208】

[この文献は図面を表示できません]

【0501】

コンポーネント（６２２）も第１ＣコンポーネントＬＲＷ２（６２２）からのｎ−ビット出力値、および６ｎ−ビット・トウィーク値（図６ｂに示すように形成される）を処理して、他のｎ−ビット出力を生成する。第２および第３ＣコンポーネントＬＲＷ２（６２２）からのｎ−ビット出力は、ＣＤＭＳコンポーネント（６２０）の２ｎ−ビット出力に連結される。

【0502】

[0134] 図６ｃは、

【0503】

【数209】

[この文献は図面を表示できません]

【0504】

コンポーネントの詳細を示し、ここでｒは６（図６ｂのコンポーネント（６２２）におけるように）、または２（図６ａのコンポーネント（６４０）におけるように）とすることができる。第１ｐｏｌｙＨ^ｒｎ関数（６４２）は、入力ｒ・ｎ−ビット・トウィーク値からｎ−ビット・トウィーク値を生成する。第１ブロック暗号（６４３）（鍵Ｋ１を有する）は、ｎ−ビット入力値とＸＯＲが取られたｎ−ビット・トウィーク値を暗号化する。次いで、ブロック暗号（６４３）の出力は、ｎ−ビット・トウィーク値とＸＯＲが取られ、ｎ−ビット中間値を生成する。第２ｐｏｌｙＨ^ｒｎ関数（６４２）は、入力ｒ・ｎ−ビット・トウィーク値からｎ−ビット・トウィーク値を生成する。第２ブロック暗号（６４３）（鍵Ｋ２を有する）は、ｎ−ビット中間値とＸＯＲが取られたｎ−ビット・トウィーク値を暗号化する。次いで、第２ブロック暗号（６４３）の出力は、ｎ−ビット・トウィーク値とＸＯＲが取られ、ｎ−ビット出力値を生成する。

【0505】

[0135]

【0506】

【数210】

[この文献は図面を表示できません]

【0507】

ＴＣＴＲ関数では、ｇ（Ｔ，ｉ）＝Ｔであるので、

【0508】

【数211】

[この文献は図面を表示できません]

【0509】

【数212】

[この文献は図面を表示できません]

【0510】

の鍵空間は、｛０，１｝^２ｋ×｛０，１｝^４ｎであり、鍵ＫはＥの２つの鍵およびＰｏｌｙＨ^２ｎの２つの鍵に区分される。

【0511】

【数213】

[この文献は図面を表示できません]

【0512】

のトウィーク空間は、｛０，１｝^２ｎであり、そのドメインは、

【0513】

【数214】

[この文献は図面を表示できません]

【0514】

である。第２の実施態様例（ＴＣＴ_２）は、鍵素材の

【0515】

【数215】

[この文献は図面を表示できません]

【0516】

ビットを使用する。
[0136] 図６ａに示すように、

【0517】

【数216】

[この文献は図面を表示できません]

【0518】

に対するＴＣＴＲは、一連のコンポーネント

【0519】

【数217】

[この文献は図面を表示できません]

【0520】

（６４０）として実装される。各

【0521】

【数218】

[この文献は図面を表示できません]

【0522】

（６４０）は、

【0523】

【数219】

[この文献は図面を表示できません]

【0524】

コンポーネントとして実装される。また、各

【0525】

【数220】

[この文献は図面を表示できません]

【0526】

（６４０）は、トウィーク入力として、２ｎ−ビット初期化ベクトル（「ＩＶ」）（６３８）を受け入れる。また、各

【0527】

【数221】

[この文献は図面を表示できません]

【0528】

（６４０）は、メッセージ入力として、０≦ｉ≦ｖ−３に対して、ｎビットのパディング・カウンタ値＜ｉ＞も受け入れる。各

【0529】

【数222】

[この文献は図面を表示できません]

【0530】

（６４０）のｎ−ビット出力は、メッセージＸのｎ−ビット・ブロックＸ_ｉ＋３とＸＯＲが取られ、可変長出力文字列ＹのブロックＹ_ｉ＋３を生成する。図６ｃは、

【0531】

【数223】

[この文献は図面を表示できません]

【0532】

（６４０）に対する

【0533】

【数224】

[この文献は図面を表示できません]

【0534】

コンポーネントの詳細を示す。ここでは、ｒ＝２である。

Ｄ．変種および実用上の考慮点
[0137] この章では、第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）の様々な変種について説明する。これらの変更はいずれも、別段注記されなければ、これらの実施態様に対する安全性限界に著しい影響を及ぼすことはない。

【0535】

[0138] ブロック暗号鍵の数量削減 第１の実施態様例（ＴＣＴ_１）の場合、トウィークによってドメイン分離が実施されることを条件に、１つの鍵を双方のＬＲＷ２インスタンスに使用することができる。これによって、基礎のブロック暗号に対して１つの鍵の使用が可能となり、状況によっては、著しい実施の効果が見込まれる（例えば、１つのＡＥＳパイプラインを可能にすることによって）。これを遂行する１つの方法は、

【0536】

【数225】

[この文献は図面を表示できません]

【0537】

を、

【0538】

【数226】

[この文献は図面を表示できません]

【0539】

と交換し、更に、

【0540】

【数227】

[この文献は図面を表示できません]

【0541】

を、

【0542】

【数228】

[この文献は図面を表示できません]

【0543】

と交換することである。ここで、ｆは、鍵空間

【0544】

【数229】

[この文献は図面を表示できません]

【0545】

を有する２^−ｎ−ＡＵ関数であり、形式（Ｘ，ε）（あるＸ∈｛０，１｝^ｎに対して）または（ε，Ｙ）（ある

【0546】

【数230】

[この文献は図面を表示できません]

【0547】

に対して）の入力を取り込み、３ｎ−ビット文字列を出力する。

【0548】

【数231】

[この文献は図面を表示できません]

【0549】

とする。ここで説明する関数ｆは、２つのＬＲＷ２インスタンスのシグネチャー(signature)を統一するための数学的な便宜であり、これによってトウィーク・ベースのドメイン分離を範囲内に持ち込む。実際には、２つのインスタンスは、共有ブロック暗号鍵を除いて、独立に実装することができる。第２の実施態様例（ＴＣＴ_２）は、２つのブロック暗号鍵だけを必要とするように同様に変更することができる。

【0550】

[0139] 処理能力向上 固定入力長調整可能ブロック暗号（「ＦＩＬ ＴＢＣ」）では、パディング方式をしかるべく調節することによって、

【0551】

【数232】

[この文献は図面を表示できません]

【0552】

の代わりに、

【0553】

【数233】

[この文献は図面を表示できません]

【0554】

を使用することができる。また、第２の実施態様例（ＴＣＴ_２）のＴＣＴＲ部分では、各ＬＲＷ２呼び出しが同じトウィークを使用するので、ＣコンポーネントＬＲＷ２毎にｐｏｌｙＨ関数を１回計算することができる。

【0555】

[0140] 第２の実施態様例（ＴＣＴ_２）の１つの可能な実施態様では、２回の固定入力長（「ＦＩＬ」）フェーズ（ｐｏｌｙＨ^６ｎを１２回評価する結果）の間に７２回の有限界乗算を使用する。あるいは、ある実施態様では、ＣＤＭＳの内部で使用されるｐｏｌｙＨ^６ｎハッシュの中間値をキャッシュし（呼び出し毎に、４つのｎ−ビット・トウィーク・ブロックが一定である）、３２回の有限界乗算をしないで済む。ドメイン分離定数に対応する多項式ハッシュの項を予め計算することによって、更に１２回の乗算をなくし、合計で２８回だけが残る。可変入力長（「ＶＩＬ」）フェーズ中において４つ更に使用するので、数量は３２となる。

【0556】

[0141] 大きなメッセージ空間の処理(handling) 第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）の双方は、完全ディスク暗号化（「ＦＤＥ」）への応用を念頭に入れて設計される。具体的には、これらは、時間に先立って(ahead of time)固定される値

【0557】

【数234】

[この文献は図面を表示できません]

【0558】

を使用し、

【0559】

【数235】

[この文献は図面を表示できません]

【0560】

ビットより多くの鍵素材(key material)を使用する。これらの制限は、ＮＨハッシュ関数を使用することの結果である。しかしながら、単純なＮＨへの拡張が、任意に長い文字列を収容する。正の整数ｒに対して、

【0561】

【数236】

[この文献は図面を表示できません]

【0562】

ここで、ｉ＜ｖに対して｜Ｍ_ｉ｜＝ｒｎ、｜Ｍ_ｖ｜≦ｒｎ、そしてＮＨ_ＬはＮＨ_Ｌ［ｒｎ，２Ｎ］の省略である。このように定義すると、ＮＨ^＊は２^−Ｎ−殆ど普遍であり(-almost universal)、ドメイン｛０，１｝^＊を有し、ｒｎビットの鍵素材を必要とする。この変更は、ｐｏｌｙＨハッシュに対する重みの一部を移転させる。入力の追加のｒｎビット毎に、８回の余分な有限長乗算が使用される。

【0563】

[0142] これらの変更によって、第１の実施態様例（ＴＣＴ_１）の安全性限界における最終的な２つの項（第７章参照）は、

【0564】

【数237】

[この文献は図面を表示できません]

【0565】

となる。ここで、

【0566】

【数238】

[この文献は図面を表示できません]

【0567】

は、ここでは、アドバーサリーの最も長い質問の長さであり、

【0568】

【数239】

[この文献は図面を表示できません]

【0569】

、そして残りの項は、基礎のブロック暗号の（Ｓ）擬似ランダム置換（「ＰＲＰ」）安全性を測定する(measure)。２^ｎ≧ｒｎと仮定すると、|M| mod rnを１つのｎ−ビット・ブロック内でエンコードすることができる。６００という定数は大きいが、例えば、ｒ＝１６と設定すると、もっと快適なサイズに、この場合では３未満に縮小することができる。同様に、第２の実施態様例（ＴＣＴ_２）に対する限界も変化する。（また、２^ｎ−２≧ｒｎである場合、トウィーク・ドメイン分離定数および＜|M| mod rn＞の双方に１つのｎ−ビット・ブロックを使用することができる。）
[0143] 長いメッセージに対する誕生日限界を超える安全性

【0570】

【数240】

[この文献は図面を表示できません]

【0571】

が何らかの小さい値または中位の値に制限されない(bound)場合、第２の実施態様例（ＴＣＴ_２）はもはや誕生日限界を超える安全性を提供しない。安全性限界において問題となる項は、

【0572】

【数241】

[この文献は図面を表示できません]

【0573】

である。これに取り組むために、ＴＣＴＲ手順において、異なるブロック毎トウィーク関数を使用することができる。具体的には、

【0574】

【数242】

[この文献は図面を表示できません]

【0575】

となる。ノンス制約付きの場合では、基礎の

【0576】

【数243】

[この文献は図面を表示できません]

【0577】

が、次に、各メッセージ・ブロック上でこれまで見られなかった値によって、再調整される。

【0578】

【数244】

[この文献は図面を表示できません]

【0579】

が理想的な暗号Πと交換されようとする場合、ノンス制約付きの場合では、平文の各ブロックが、新鮮なランダム置換の出力によってマスクされる。言い換えると、戻される各ブロックは、均一にランダムとなる。つまり、きつい制限(tight bound)がこの場合には予期される。あるいは、

【0580】

【数245】

[この文献は図面を表示できません]

【0581】

を使用することができ、同じことが当てはまる。

Ｅ．従来の暗号化を使用して、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）をインスタンス化する
[0144] あるいは、

【0582】

【数246】

[この文献は図面を表示できません]

【0583】

は、直接従来のブロック暗号に基づく暗号化を使用して実現することもできる。以下の

【0584】

【数247】

[この文献は図面を表示できません]

【0585】

および

【0586】

【数248】

[この文献は図面を表示できません]

【0587】

の実施態様について検討する。

【0588】

【表1】

[この文献は図面を表示できません]

【0589】

[0145] この

【0590】

【数249】

[この文献は図面を表示できません]

【0591】

の実施態様は、カウンタ・モード暗号化を使用するが、初期値Ｔが入力として表出され、それを調整可能暗号にする。生憎、この

【0592】

【数250】

[この文献は図面を表示できません]

【0593】

の実施態様は、ノンス制約付きアドバーサリーに対抗するＳＲＮＤ安全性に欠ける。しかしながら、以下のように安全に変更することができる。

【0594】

【数251】

[この文献は図面を表示できません]

【0595】

トウィーク空間

【0596】

【数252】

[この文献は図面を表示できません]

【0597】

およびメッセージ空間

【0598】

【数253】

[この文献は図面を表示できません]

【0599】

を有する

【0600】

【数254】

[この文献は図面を表示できません]

【0601】

を想定すると、オラクル

【0602】

【数255】

[この文献は図面を表示できません]

【0603】

は質問

【0604】

【数256】

[この文献は図面を表示できません]

【0605】

を取り込み、（１）

【0606】

【数257】

[この文献は図面を表示できません]

【0607】

をサンプルし、
（２）Ｅ_Ｋ（Ｔ，Ｘ）を戻す。オラクル

【0608】

【数258】

[この文献は図面を表示できません]

【0609】

は、入力

【0610】

【数259】

[この文献は図面を表示できません]

【0611】

上でも同様に振る舞い、サンプリング

【0612】

【数260】

[この文献は図面を表示できません]

【0613】

を行い、

【0614】

【数261】

[この文献は図面を表示できません]

【0615】

を戻す。

ＶＩ．可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用した、関連データ付き認証付暗号化／復号
[0146] 関連データ付き認証付暗号化（「ＡＥＡＤ」）は、ヘッダと共に送られるメッセージを認証する方法を提供する。例えば、平文メッセージが、その守秘性および真正性を保護する方法で暗号文に変換されるとき、このメッセージに付随し、メッセージと共に認証されなければならないパッカ・ヘッダ(packer header)または他の補助情報がある場合もある。メッセージがノンスおよび冗長性によって補強される場合、符号化メッセージを直接、十分に広いドメインを有する強擬似ランダム置換いＰＲＰ（「ＳＰＲＰ」）−安全ブロック暗号に通すことによって、認証付暗号化を得ることができる。

【0616】

[0147] この章では、可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントを使用して関連データ付き認証付暗号化（「ＡＥＡＤ」）を実現する方法について説明する。可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントは、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネント、または初期化ベクトル（「ＩＶ」）が保護されない可変入力長調整可能暗号（「ＶＩＬＴＣ」）コンポーネントを含むことができる。具体的には、この章では、ヘッダ−メッセージ対（Ｈ、Ｍ）から調整可能暗号入力（Ｔ、Ｘ）へのマッピングの傑出したプロパティを特定する。その簡素さに加えて、可変入力長調整可能暗号（「ＶＩＬＴＣ」）によって関連データ付き認証付暗号化（「ＡＥＡＤ」）を実現することには、様々な実用的な利点がある。

【0617】

[0148] 可変入力長調整可能暗号（「ＶＩＬＴＣ」）による認証付暗号化は、関連データを受け入れ、ノンス誤用(nonce-misuse)に耐えることができる。メッセージ・ヘッダを暗号文に結び付ける(bind)ために、トウィークを効果的に使用することができる。

【0618】

[0149] 加えて、メッセージおよびヘッダ入力内にあるランダム性、状態、または冗長性の効果を探ることができる。例えば、安全性の損失なくランダム性および状態をヘッダに移すことができ、暗号的に処理しなければならないビット数を削減できる潜在的可能性がある。具体的には、これは、平文入力内に既に存在するノンス、ランダム性、および冗長性を利用することによって、帯域幅オーバーヘッドを削減することができる。シーケンス番号、人間読み取り可能フィールド、または詰め物(padding)を含むプロトコルのメッセージは、有用なノンスおよび冗長性を含むことが多い。

【0619】

[0150] また、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）は、サイド・チャネル攻撃に対してロバストであり続けながら、多数の復号エラー・メッセージに対処する。サイド・チャネル攻撃は、これらを利用しようとする（例えば、オラクルを詰まらせる）。多数の記述式エラー・メッセージの使用は、実用上非常に有用であり得るが、多くの場合有害な攻撃を強めることになる(empower)。これらの攻撃は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）方式に対しては失敗する。何故なら、暗号文の任意のビットを緩やかに変化させると、復号された平文文字列のあらゆるビットをランダム化するからである。つまり、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）は、ある種のサイド・チャネルおよび共通の実装誤りに直面しても、ロバスト性を提供する。記述式エラー・メッセージ（例えば、bad_paddingまたはbad_seq_number）は、有用な今後の暗号文を形作るために利用することはできない。更に、ノンスの繰り返しは平文の等しいこと(equality)を漏らすに過ぎない。

【0620】

[0151] この関連データ付き認証付暗号化（「ＡＥＡＤ」）手法は、フォーマット保存暗号化（「ＦＰＥ」）にも有効に作用する。変更を最小限に抑えて、透過的に暗号レイヤを旧来のシステムに挿入するために（例えば、データベース方式またはプロトコル仕様）、フォーマット保存暗号化（「ＦＰＥ」）は、平文と同じフォーマットを有する暗号文を使用する。例えば、ある（多くの場合非二進）アルファベットΣに対して、双方共集合Σ^ｎに制限される可能性がある。これは、専用初期化ベクトル（「ＩＶ」）を暗号文に挿入することを除外する。暗号化を調整するために関連データを使用することによって補償することができ、調整可能暗号およびそれらの安全性定義を自然に調和させる。一意の関連データは、更に標準的な意味で守秘性を保証し、冗長性（クレジット・カード発行者識別番号およびチェックサムのような）をチェックすることによって、認証付暗号化を提供する。

【0621】

[0152] 一般に、ヘッダＨおよびメッセージＭを想定すると、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、（Ｈ，Ｍ）を調整可能暗号入力（Ｔ，Ｘ）にエンコードする。ある固定長のノンスについて、Ｔ＝ノンス||Ｈ、およびＸ＝ノンス||Ｍと仮定する。ヘッダＨは送信される。しかしながら、ノンス値も復号には必要とされるので、暗号文を単純に、

【0622】

【数262】

[この文献は図面を表示できません]

【0623】

とすることはできない。したがって、暗号文は（ノンス，Ｃ）でなければならない。この例では、Ｔ＝ノンス||Ｈはエンコードされたヘッダであり、Ｘ＝ノンス||Ｍはエンコードされたメッセージであった。記号ＴおよびＸは、それぞれ、

【0624】

【数263】

[この文献は図面を表示できません]

【0625】

および

【0626】

【数264】

[この文献は図面を表示できません]

【0627】

と置き換えられる。Ｈから

【0628】

【数265】

[この文献は図面を表示できません]

【0629】

へのマッピングは非決定論的であるが、ノンスを知っていれば、完全に再生することができる。ノンスは再現情報として役立つ。メッセージ・エンコード機能は、この再現情報を使用し、したがってヘッダ・エンコード機能とは異なるシグネチャーを有する。また、再現情報はＭに依存してはならない。受信側は、

【0630】

【数266】

[この文献は図面を表示できません]

【0631】

を計算し、ノンスが

【0632】

【数267】

[この文献は図面を表示できません]

【0633】

におけるＭのプレフィクスであることを確認する。
[0153] 更に形式的には、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、鍵生成アルゴリズム

【0634】

【数268】

[この文献は図面を表示できません]

【0635】

、暗号化アルゴリズム

【0636】

【数269】

[この文献は図面を表示できません]

【0637】

、および復号アルゴリズム

【0638】

【数270】

[この文献は図面を表示できません]

【0639】

を含むタプル

【0640】

【数271】

[この文献は図面を表示できません]

【0641】

である。簡略化のために、鍵生成アルゴリズム

【0642】

【数272】

[この文献は図面を表示できません]

【0643】

は、同じ名称の空でない集合からの鍵をサンプリングすると仮定する。暗号化アルゴリズムは、ランダム化されてもステートフルでもよく、マッピング

【0644】

【数273】

[この文献は図面を表示できません]

【0645】

である。つまり、暗号化は、鍵

【0646】

【数274】

[この文献は図面を表示できません]

【0647】

ヘッダ

【0648】

【数275】

[この文献は図面を表示できません]

【0649】

およびメッセージ、

【0650】

【数276】

[この文献は図面を表示できません]

【0651】

を取り込み、ある再現情報

【0652】

【数277】

[この文献は図面を表示できません]

【0653】

を、暗号文Ｃと共に戻す。

【0654】

【数278】

[この文献は図面を表示できません]

【0655】

は、
（Ｈ，Ｍ）上で実行中の

【0656】

【数279】

[この文献は図面を表示できません]

【0657】

を表し、（Ｒ，Ｃ）を戻す。決定論的復号アルゴリズムは、マッピング、

【0658】

【数280】

[この文献は図面を表示できません]

【0659】

であり、Errorsは、

【0660】

【数281】

[この文献は図面を表示できません]

【0661】

となるような集合である。（｜Errors｜は１に等しい必要はない。）適正な動作のためには、全ての

【0662】

【数282】

[この文献は図面を表示できません]

【0663】

について、

【0664】

【数283】

[この文献は図面を表示できません]

【0665】

となる。

【0666】

【数284】

[この文献は図面を表示できません]

【0667】

がステートフルである場合、これは全ての状態に該当する。
[0154] 実際には、ヘッダＨは、通例、暗号文と共に安全に(in the clear)送信される（例えば、ヘッダがルーティングに必要とされるとき）が、可変入力長調整可能暗号（「ＶＩＬＴＣ」）による関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、Ｈを内部の使用のための何らかの関係する

【0668】

【数285】

[この文献は図面を表示できません]

【0669】

にエンコードすることもできる。このエンコード処理が非決定論的である場合、再現情報Ｒは、この

【0670】

【数286】

[この文献は図面を表示できません]

【0671】

をＨから適正に再生するために復号によって使用されるあらゆるものを提供する。例えば、Ｒは、カウンタ、いくつかのランダム・ビット、または何らかの冗長性を含むことができる。また、これは空文字列であってもよい。

【0672】

[0155] メッセージまたは鍵ビットをＲに書き込むことのために自動的に(trivially)危険になる構造を避けるために、以下の条件を適用する。任意の入力のシーケンス｛（Ｈ_ｉ，Ｍ_ｉ）｝_ｉ≦ｑ、および任意の２つの可能な成果のシーケンス｛（Ｒ_ｉ，Ｃ_ｉ）｝_ｉ≦ｑおよび｛（Ｒ’_ｉ，Ｃ’_ｉ）｝_ｉ≦ｑを仮定し、次いで、任意の

【0673】

【数287】

[この文献は図面を表示できません]

【0674】

について、

【0675】

【数288】

[この文献は図面を表示できません]

【0676】

ここで、

【0677】

【数289】

[この文献は図面を表示できません]

【0678】

および

【0679】

【数290】

[この文献は図面を表示できません]

【0680】

状態

【0681】

【数291】

[この文献は図面を表示できません]

【0682】

および

【0683】

【数292】

[この文献は図面を表示できません]

【0684】

は、それぞれ、２つのトランスクリプト(transcript)が条件とされている。即ち、Ｒ（したがって、Ｒ’）は、Ｈ、ｑ、およびＲを生成する質問上で

【0685】

【数293】

[この文献は図面を表示できません]

【0686】

によって投げられたコインのみに依存することができる。
[0156] |Errors|>1を許すことによって、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式は、多数の全く異なるエラー・メッセージを戻すことができる。これは、実際には、例えば、プロトコル・セッション内部における診断に有用となることができる。

【0687】

[0157] 理想的には、暗号文はランダム・ビットから区別不可能である。再現情報は、ランダムでないかもしれない（例えば、Ｒがカウンタであるかもしれない）。しかしながら、そのためにＩＮＤ＄−ＣＰＡ観念(notion)が修正される。具体的には、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式Ψの守秘性は、以下のアドバンテージによって測定される。

【0688】

【数294】

[この文献は図面を表示できません]

【0689】

【数295】

[この文献は図面を表示できません]

【0690】

は、オラクルであり、入力（Ｈ，Ｍ）上で、

【0691】

【数296】

[この文献は図面を表示できません]

【0692】

を計算し、

【0693】

【数297】

[この文献は図面を表示できません]

【0694】

をサンプリングし、（Ｒ，Ｙ）を戻す。真正性の目標は暗号文の完全性である。即ち、

【0695】

【数298】

[この文献は図面を表示できません]

【0696】

ここで、ブール事象Ｆｏｒｇｅｓは、
（１）

【0697】

【数299】

[この文献は図面を表示できません]

【0698】

および、（２）

【0699】

【数300】

[この文献は図面を表示できません]

【0700】

に対する以前の質問がいずれも（Ｈ，Ｒ，Ｃ）を戻さないように、Ａが質問（Ｈ，Ｒ，Ｃ）をその

【0701】

【数301】

[この文献は図面を表示できません]

【0702】

オラクルに尋ねた場合にのみに限って、真となる。汎用性を失うことなく、Ｆｏｒｇｅｓが真になると直ぐに、Ａは停止する。

Ａ．エンコードおよびデコード方式
[0158] 非公式的には、エンコード・アルゴリズムはその入力をフォーマットし直し、ランダム性、状態、または冗長性を注入する。一方、デコード・アルゴリズムは元の入力データの有効性を判断して抜き出す。

【0703】

[0159] 更に形式的には、実施態様例において、関連データ付き認証付暗号化（「ＡＥＡＤ」）方式（および対応する復号）は、メッセージ空間

【0704】

【数302】

[この文献は図面を表示できません]

【0705】

、ヘッダ・スペース

【0706】

【数303】

[この文献は図面を表示できません]

【0707】

、エンコード・メッセージ空間

【0708】

【数304】

[この文献は図面を表示できません]

【0709】

およびエンコード・ヘッダ

【0710】

【数305】

[この文献は図面を表示できません]

【0711】

を使用する。これらの集合は、空ではないが、

【0712】

【数306】

[この文献は図面を表示できません]

【0713】

に等しい可能性がある。集合Ｅrrorsについて、

【0714】

【数307】

[この文献は図面を表示できません]

【0715】

である。
[0160] ヘッダ・エンコード関数

【0716】

【数308】

[この文献は図面を表示できません]

【0717】

は、ヘッダをエンコードされたヘッダに、恐らくは何らかのランダムなまたはステートフルな様式でマッピングする。非空集合

【0718】

【数309】

[この文献は図面を表示できません]

【0719】

および全単射

【0720】

【数310】

[この文献は図面を表示できません]

【0721】

があり、全てのＨに対して、ある

【0722】

【数311】

[この文献は図面を表示できません]

【0723】

に対して、

【0724】

【数312】

[この文献は図面を表示できません]

【0725】

というプロパティを有する。言い換えると、ＨはEncode_H(H)から復元することができ、Encode_H(H)の任意の特定の出力は、対応するＲが与えられると、Ｈから再生することができる。Encode_Hは、

【0726】

【数313】

[この文献は図面を表示できません]

【0727】

−エンコーダである（

【0728】

【数314】

[この文献は図面を表示できません]

【0729】

を暗示的のままにしておく）。
[0161] メッセージ・エンコード方式EncodeMsg=(Encode_M, Decode_M)は、メッセージ・エンコード機能

【0730】

【数315】

[この文献は図面を表示できません]

【0731】

およびメッセージ・デコード機能

【0732】

【数316】

[この文献は図面を表示できません]

【0733】

から構成されている。Encode_Mは、ランダム化することができ、またはステートフルにすることができる。Encode_Mのある状態に対して、

【0734】

【数317】

[この文献は図面を表示できません]

【0735】

となる場合にのみに限って、

【0736】

【数318】

[この文献は図面を表示できません]

【0737】

となる。それ以外の場合は、

【0738】

【数319】

[この文献は図面を表示できません]

【0739】

となる。例えば、

【0740】

【数320】

[この文献は図面を表示できません]

【0741】

となることが可能である。Decode_Mアルゴリズムは決定論的であり、全てのアルゴリズムは線形時間で実行しなければならない。EncodeMsgは、

【0742】

【数321】

[この文献は図面を表示できません]

【0743】

−エンコード方式である。
[0162] エンコード機能は、最大ストレッチ(maximal stretch)が関連付けられている。これは、

【0744】

【数322】

[この文献は図面を表示できません]

【0745】

の全てに対して、

【0746】

【数323】

[この文献は図面を表示できません]

【0747】

および

【0748】

【数324】

[この文献は図面を表示できません]

【0749】

となるような、最も小さい

【0750】

【数325】

[この文献は図面を表示できません]

【0751】

であると定義される。
[0163] エンコード・メカニズムの鍵となる１つのプロパティは、エンコード方式が出力を繰り返すように作ることができる尤度に関係する。Ａを、ｑ回の質問（必ずしも別個でなくてもよい）をオラクルｆに尋ね、

【0752】

【数326】

[この文献は図面を表示できません]

【0753】

を応答で受け、これらの値を出力することによって停止するアドバーサリーであるとする。（ｆはメッセージ−またはヘッダ−エンコード関数とすることができる）。Ａは決定論的であると仮定することができる。

【0754】

【数327】

[この文献は図面を表示できません]

【0755】

は関数である。ｆは、

【0756】

【数328】

[この文献は図面を表示できません]

【0757】

である場合、（ｄ、δ）−衝突(-colliding)となる。この観念は、ｄ≧２に対してのみ定義される。（ｄ、δ）−衝突オラクルを想定すると、δ（０）＝δ（１）＝０であると仮定することができる。

【0758】

[0164] 第２の鍵となるプロパティは、ランダムな文字列（所与の長さの）が有効なエンコード処理である確率を捕らえる。本質的に、これは、エンコード処理の密度の尺度である。

【0759】

【数329】

[この文献は図面を表示できません]

【0760】

は実数である。全ての正の整数ｎ、および全ての

【0761】

【数330】

[この文献は図面を表示できません]

【0762】

に対して、

【0763】

【数331】

[この文献は図面を表示できません]

【0764】

である場合、

【0765】

【数332】

[この文献は図面を表示できません]

【0766】

エンコード方式EncodeMsg=(Encode_M, Decode_M)は、∈−疎(∈-sparse)となる。

Ｂ．エンコード−次いで−暗号化、対応する復号−次いで−デコードによる関連データ付き認証付暗号化（「ＡＥＡＤ」）
[0165] 図７は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用する、関連データ付き認証付暗号化のための技法（７００）を一般化して示す。暗号化システムは技法（７００）を実行する。

【0767】

[0166] 暗号化システムは、ヘッダおよびメッセージを受ける（７１０）。暗号化システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用してこのメッセージを処理し（７２０）、関連データ付き認証付暗号化を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）を使用する。あるいは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は従来の可変入力長調整可能暗号（「ＶＩＬＴＣ」）である。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。この処理により、暗号化メッセージが生成される。暗号化システムは、ヘッダおよび暗号化メッセージを出力する（７３０）。

【0768】

[0167] 例えば、メッセージの処理（７２０）の一部として、暗号化システムは、ヘッダおよび再現情報を使用して修正ヘッダを決定し、次いでメッセージおよび修正ヘッダを使用して修正メッセージを決定する。暗号化システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して修正メッセージを暗号化し、修正ヘッダは可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークを供給する。暗号化システムは、再現情報を、ヘッダおよび暗号化メッセージと共に出力する（７３０）。

【0769】

[0168] 暗号化システムは、１つ以上の他のメッセージのために技法（７００）を繰り返すことができる。
[0169] 図８は、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用した、関連データによる認証復号のための技法（８００）を一般化して示す。復号システムは技法（８００）を実行する。

【0770】

[0170] 復号システムは、ヘッダおよび暗号化メッセージを受ける（８１０）。復号システムは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、暗号化メッセージを処理し（８２０）、関連データによる認証復号を行う。可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、保護された初期化ベクトル（「ＩＶ」）を使用する。あるいは、可変入力長調整可能暗号（「ＶＩＬＴＣ」）は従来の可変入力長調整可能暗号（「ＶＩＬＴＣ」）である。可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークは、少なくとも部分的にヘッダに基づく。この処理により復号メッセージが生成され、復号システムはこれを出力する（８３０）。

【0771】

[0171] 復号システムは、再現情報も受けることができる。暗号化メッセージの処理（８２０）の一部として、例えば、復号システムは、ヘッダおよび再現情報を使用して修正ヘッダを決定し、次いで可変入力長調整可能暗号（「ＶＩＬＴＣ」）を使用して、暗号化メッセージを復号し、修正ヘッダが可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対するトウィークを供給することによって、修正メッセージを生成する。復号システムは、修正メッセージおよび修正ヘッダを使用して、メッセージを決定する。

【0772】

[0172] 任意に、認証ステップの間に、復号システムはメッセージが有効であるか否か確認するためにチェックを行う。例えば、所定数の「０」ビットが暗号化の間にメッセージに添付されていた場合、復号はこれらのビットの存在をチェックすることができる。このチェックに失敗した場合、復号はエラーを出力する。メッセージを通すためには多数の異なるチェックがあってもよく、出力されるエラー（１つまたは複数）は、どのチェック（の組み合わせ）が失敗したのかに応じて、異なってもよい。（これは、認証付暗号化の「認証」部分である。攻撃者が暗号化メッセージを改竄した場合、一旦復号されたなら、恐らくもはや有効ではなくなるであろう。）
[0173] 復号システムは、１つ以上の他のメッセージのために技法（８００）を繰り返すことができる。

【0773】

[0174] 更に形式的には、実施態様例において、

【0774】

【数333】

[この文献は図面を表示できません]

【0775】

は、調整可能暗号である。ある非空集合

【0776】

【数334】

[この文献は図面を表示できません]

【0777】

に対して、Encode_Ｈは、

【0778】

【数335】

[この文献は図面を表示できません]

【0779】

エンコーダであり、EncodeMsg=(Encode_M, Decode_M)は、

【0780】

【数336】

[この文献は図面を表示できません]

【0781】

エンコード方式である。これらから、エンコード−次いで−暗号化関連データ付き認証付暗号化（「ＡＥＡＤ」）方式

【0782】

【数337】

[この文献は図面を表示できません]

【0783】

を次のように定義する。

【0784】

【表2】

[この文献は図面を表示できません]

【0785】

[0175] 再現情報Ｒは、復号がヘッダから

【0786】

【数338】

[この文献は図面を表示できません]

【0787】

を再生することを可能にする（

【0788】

【数339】

[この文献は図面を表示できません]

【0789】

を暗号文の一部として送る代わりに、またはコール側アプリケーションに、Ｈを

【0790】

【数340】

[この文献は図面を表示できません]

【0791】

と交換させる代わりに）。
[0176] 単純な例として、Encode_Ｈは６４−ビット・カウンタRをヘッダＨに予め添付し、

【0792】

【数341】

[この文献は図面を表示できません]

【0793】

はM||0^８０を戻す。次いで、Encode_Ｈは（２，０）−衝突となり、Encode_Mは２^−８０−疎（しかし（２，１）−衝突）となる。真正性チェックは、Decode_M関数内部で暗示的に行われる。

【0794】

ＶＩＩ．結果の説明
[0177] この章では、以上で提示した結果に対する詳細な正当とする理由を示す。

【0795】

[0178] 定理１−初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）に対する安全性
初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）はなおもその内部に可変入力長調整可能暗号（「ＶＩＬＴＣ」）モジュールを含む。初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）は、より大きなドメインを有し、Ｎ−ビット調整可能ブロック暗号（「ＴＢＣ」）は安全性に関して利点が得られる。

【0796】

[0179] ＩＶ章において定義したトウィーク空間およびメッセージ空間

【0797】

【数342】

[この文献は図面を表示できません]

【0798】

について、そして調整可能ブロック暗号（「ＴＢＣ」）長Ｎについて、

【0799】

【数343】

[この文献は図面を表示できません]

【0800】

は、調整可能ブロック暗号であり、

【0801】

【数344】

[この文献は図面を表示できません]

【0802】

は可変入力長調整可能暗号（「ＶＩＬＴＣ」）である。

【0803】

【数345】

[この文献は図面を表示できません]

【0804】

Ａは、ｑ＜２^Ｎ／４回の質問を行い、合計してμビットとなり、時間ｔにおいて実行するアドバーサリーである。それぞれｑ回および２ｑ回の質問を行い、双方共Ｏ（ｔ）時間において実行するアドバーサリーＢおよびＣについて、

【0805】

【数346】

[この文献は図面を表示できません]

【0806】

ここで、Ｂはノンス制約付きであり、その質問の長さは合計してμ−ｑＮビットになる。
[0180] ＰＩＶ組成の可変入力長（「ＶＩＬ」）部分

【0807】

【数347】

[この文献は図面を表示できません]

【0808】

は、ノンス制約付きアドバーサリーのみに対してＳＲＮＤ−安全である必要がある。この要件を満たす効率的な方式を構築することは容易である。固定入力長（「ＦＩＬ」）部分

【0809】

【数348】

[この文献は図面を表示できません]

【0810】

だけが、任意の質問戦略を使用することができる強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）アドバーサリーに対して安全であればよい。つまり、ＰＩＶ組成は、大きなドメインに渡るノンス制約付きの安全性を、それよりも多少大きなドメインに渡る完全な強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全性に昇級させる。

【0811】

【数349】

[この文献は図面を表示できません]

【0812】

が相応しい強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）である場合、ＴまたはＸの任意の部分が「新鮮」であるなら、初期化ベクトル（「ＩＶ」）に対する文字列はランダムなはずである。したがって、初期化ベクトル（「ＩＶ」）値は繰り返されそうもなく、したがって可変入力長（「ＶＩＬ」）組成のノンス制約付きの安全性は十分である。同じことは、Ｔ、Ｙの任意の部分が「新鮮」である場合、復号のときにも当てはまる。

【0813】

[0181] 項４_ｑ^２／２^Ｎは、初期化ベクトル（「ＩＶ」）における衝突、および

【0814】

【数350】

[この文献は図面を表示できません]

【0815】

とランダム関数との間の差を考慮する。これは、Ｎにおける誕生日限界項、

【0816】

【数351】

[この文献は図面を表示できません]

【0817】

のブロック・サイズである。殆どの調整可能ブロック暗号（「ＴＢＣ」）設計は（１つ以上の）基礎のブロック暗号を採用するので、

【0818】

【数352】

[この文献は図面を表示できません]

【0819】

のブロック・サイズＮは、それを構築するかもしれないいずれかの基礎のブロック暗号のブロック・サイズｎよりも大きくすることができる。実際、ｎ−ビット・ブロック暗号（およびハッシュ関数）を想定すると、

【0820】

【数353】

[この文献は図面を表示できません]

【0821】

をＮ＝２ｎで構築することができる。
[0182] 下位

【0822】

【数354】

[この文献は図面を表示できません]

【0823】

呼び出し(lower F invocation)を除去し（

【0824】

【数355】

[この文献は図面を表示できません]

【0825】

の後）、

【0826】

【数356】

[この文献は図面を表示できません]

【0827】

を戻す場合、結果的に得られる組成は、一般に安全な強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）を提供しない。一方で、これは調整可能擬似ランダム置換（「ＴＰＲＰ」）としては安全である（単に強い調整可能擬似ランダム置換（「ＴＰＲＰ」）ではない）。メッセージ空間

【0828】

【数357】

[この文献は図面を表示できません]

【0829】

トウィーク空間

【0830】

【数358】

[この文献は図面を表示できません]

【0831】

、および負でない整数ｎ≦ｍｉｎ（Ｓ）に対して、Ａはせいぜいｑ回の質問を行い時間ｔにおいて実行するアドバーサリーとする。

【0832】

【数359】

[この文献は図面を表示できません]

【0833】

この結果は、本質的に、調整可能ブロック暗号（「ＴＢＣ」）に対するＰＲＦ−擬似ランダム置換（「ＰＲＰ」）切り替え命題であり、問題を境界(bounding)

【0834】

【数360】

[この文献は図面を表示できません]

【0835】

のそれに縮減する。
[0183]

【0836】

【数361】

[この文献は図面を表示できません]

【0837】

について検討する。ここで、

【0838】

【数362】

[この文献は図面を表示できません]

【0839】

は理想的な暗号である。ゲーム１（「Ｇ１」）（図９に示す）におけるオラクルは、Πを定義するために、レイジー・サンプリング(lazy sampling)を使用して、

【0840】

【数363】

[この文献は図面を表示できません]

【0841】

および

【0842】

【数364】

[この文献は図面を表示できません]

【0843】

をシミュレーションする。したがって、

【0844】

【数365】

[この文献は図面を表示できません]

【0845】

となる。図９において、ゲーム１はボックス状ステートメント(boxed statements)を含む。
[0184] ゲーム２（「Ｇ２」）（これも図９に示す）において、Πを定義するとき、「違法な」値はもはや再サンプリングされない。図９において、ゲーム２はボックス状ステートメントを含まない。コードにおける唯一の変化が起こるのは、ブール「悪い」フラグが真に設定された後である。ゲーム−プレーイングの基礎命題によって、

【0846】

【数366】

[この文献は図面を表示できません]

【0847】

ゲーム２において、

【0848】

【数367】

[この文献は図面を表示できません]

【0849】

は、決して同じトウィークを２回使用して質問されず、ゲームにおけるオラクルはランダムなｎ−ビット・プレフィックスを有する値を戻す。ゲーム１および２において、ブール変数は偽に初期化される。

【0850】

[0185] 第３ゲーム（「Ｇ３」）（図９には示されていない）では、

【0851】

【数368】

[この文献は図面を表示できません]

【0852】

はオラクル

【0853】

【数369】

[この文献は図面を表示できません]

【0854】

によって交換される。このオラクルは、常に、その第２入力と長さが等しいランダム文字列を返す。標準的な引数によって、

【0855】

【数370】

[この文献は図面を表示できません]

【0856】

となるように、ｑ回の質問を行い、

【0857】

【数371】

[この文献は図面を表示できません]

【0858】

時間において実行する何らかのノンス制約付きアドバーサリーＢが存在する。これから次の式が得られる。

【0859】

【数372】

[この文献は図面を表示できません]

【0860】

各オラクル出力（Ｚ’_ｉに対応する）の各最初のＮビットは、常にゲーム２では均一にランダムである。ゲーム３において

【0861】

【数373】

[この文献は図面を表示できません]

【0862】

が

【0863】

【数374】

[この文献は図面を表示できません]

【0864】

に切り替わるとき、残りのビットも均一にランダムになる。したがって、

【0865】

【数375】

[この文献は図面を表示できません]

【0866】

となる。
[0186] 最後のタスクは、Ａがゲーム２において悪いフラグを設定する確率を制限することである。ｂａｄ_１が質問ｊの間に設定される確率は、ｊ／（２^Ｎ−２ｊ）未満である。同様に、ｂａｄ_２およびｂａｄ_３が設定される確率も、それぞれ、高々２ｊ／（２^Ｎ−２ｊ）および２^ｊ／２^Ｎである。したがって、少なくとも１つのフラグが質問ｊの間に設定される確率は、高々３ｊ／（２^Ｎ−２ｊ）＋２ｊ／２^Ｎである。

【0867】

[0187] ｊ∈１，２，．．．、ｑに対して結合限界(union bound)を取ると、

【0868】

【数376】

[この文献は図面を表示できません]

【0869】

となる。ｑ＜２^Ｎ／４であるので、１．５／（２^Ｎ−２ｑ）＜３／２^Ｎとなる。直前の結果により、標準的な引数を使用して、計算設定に戻ると、証明が完成する。

【0870】

【数377】

[この文献は図面を表示できません]

【0871】

ここで、Ｃは２ｑ回の質問を行い、Ｂは、トウィークを繰り返さずに、合計で長さμ−ｑＮビットとなるｑ回の質問を行い、双方共

【0872】

【数378】

[この文献は図面を表示できません]

【0873】

時間において実行する。
[0188] 定理２−ＴＣＴＲ ｇ（Ｔ，ｉ）＝Ｔのときの手順ＴＣＴＲの挙動について検討する。Ｖ章のＴＣＴＲ疑似コードの一覧におけるように、

【0874】

【数379】

[この文献は図面を表示できません]

【0875】

として、

【0876】

【数380】

[この文献は図面を表示できません]

【0877】

ならびに

【0878】

【数381】

[この文献は図面を表示できません]

【0879】

および

【0880】

【数382】

[この文献は図面を表示できません]

【0881】

を定義する。Ａは、時間ｔにおいて実行し、ｑ回の質問を尋ねるノンス制約付きアドバーサリーであり、各質問の長さは高々

【0882】

【数383】

[この文献は図面を表示できません]

【0883】

ビットである（したがって、

【0884】

【数384】

[この文献は図面を表示できません]

【0885】

。次いで、高々

【0886】

【数385】

[この文献は図面を表示できません]

【0887】

回の質問を行い時間

【0888】

【数386】

[この文献は図面を表示できません]

【0889】

において実行するあるアドバーサリーＢについて、

【0890】

【数387】

[この文献は図面を表示できません]

【0891】

となる。

【0892】

【数388】

[この文献は図面を表示できません]

【0893】

であるとき、限界は誕生日型挙動を呈し、

【0894】

【数389】

[この文献は図面を表示できません]

【0895】

が小さな定数であるときに最も厳しくなる。定数

【0896】

【数390】

[この文献は図面を表示できません]

【0897】

が小さい重要な用途に、完全ディスク暗号化がある。ここでは、平文Ｘは通例長さが４０９６バイトであり、したがって基礎の調整可能ブロック暗号（「ＴＢＣ」）がサイズｎ＝１２８のブロック・サイズを有する場合、大まかに

【0898】

【数391】

[この文献は図面を表示できません]

【0899】

ブロックがある。
[0189] 定理３−第１の実施態様例（ＴＣＴ_１）の強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全性 Ｖ．Ｂ章において定義したＴＣＴ₁について、Ａは、ｑ＜２^ｎ／４回の質問を行い時間ｔにおいて実行するアドバーサリーである。アドバーサリーＢおよびＣは、双方共

【0900】

【数392】

[この文献は図面を表示できません]

【0901】

となるように、時間

【0902】

【数393】

[この文献は図面を表示できません]

【0903】

において実行し、

【0904】

【数394】

[この文献は図面を表示できません]

【0905】

回および２ｑ回の質問をそれぞれ行う。したがって、以下の式が得られる。

【0906】

【数395】

[この文献は図面を表示できません]

【0907】

[0190] このアルゴリズムは、

【0908】

【数396】

[この文献は図面を表示できません]

【0909】

の２つの鍵を含む、

【0910】

【数397】

[この文献は図面を表示できません]

【0911】

ビットの鍵素材を必要とする。安全性限界に重大な損傷がなければ、Ｅには１つの鍵で十分であろうが、しかしながら、この改善は主に処理能力の問題から関心が寄せられている。つまり、第１の実施態様例（ＴＣＴ_１）は、以前の構造の安全性を保持し、有限界におけるのではなく、法に対する２の冪(powers-of-two moduli)を有するリング(ring)における算術演算を使用する。これは、潜在的に、あるアーキテクチャにおいて処理能力を高めることができる。

【0912】

[0191] 定理４−第２の実施態様例（ＴＣＴ_２）の強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）安全性 Ｖ．Ｃ章において定義したＴＣＴ_２について、Ａは、ｑ回の質問を行い時間ｔにおいて実行するアドバーサリーであり、ここで、

【0913】

【数398】

[この文献は図面を表示できません]

【0914】

である。アドバーサリーＢおよびＣは、双方共、

【0915】

【数399】

[この文献は図面を表示できません]

【0916】

となるように、

【0917】

【数400】

[この文献は図面を表示できません]

【0918】

時間において実行し、それぞれ、

【0919】

【数401】

[この文献は図面を表示できません]

【0920】

および６ｑ回質問を行う。したがって、以下の式が得られる。

【0921】

【数402】

[この文献は図面を表示できません]

【0922】

[0192] この限界における定数の一部が重要である。しかしながら、第２の実施態様例（ＴＣＴ_２）は、第１の実施態様例（ＴＣＴ_１）および以前の構造よりもはるかに優れた安全性限界を提供する。

【0923】

[0193] 定理５−長いメッセージに対する誕生日限界を超える安全性

【0924】

【数403】

[この文献は図面を表示できません]

【0925】

は調整可能ブロック暗号（「ＴＢＣ」）であり、

【0926】

【数404】

[この文献は図面を表示できません]

【0927】

および

【0928】

【数405】

[この文献は図面を表示できません]

【0929】

もＶ．Ｄ章におけるように定義し、

【0930】

【数406】

[この文献は図面を表示できません]

【0931】

は、任意の注入マッピング(injective mapping)である。Ａは、時間ｔにおいて実行し、全長が高々μ＝σｎビットであるｑ回の質問を尋ねるノンス制約付きアドバーサリーである。あるアドバーサリーＢは、

【0932】

【数407】

[この文献は図面を表示できません]

【0933】

となるように、高々σ回の質問を行い時間

【0934】

【数408】

[この文献は図面を表示できません]

【0935】

において実行する。第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）に対する安全性証明のためにＴＣＴＲのこの変種を使用すると、限界から

【0936】

【数409】

[この文献は図面を表示できません]

【0937】

項が除去され、これによってメッセージ長の問題が持ち上がる。この変更が行われる場合、単に１回だけではなく、呼び出し毎に

【0938】

【数410】

[この文献は図面を表示できません]

【0939】

回までｇ（Ｔ，ｉ）が計算される。この問題は、ＬＲＷ２の代わりに、他の調整可能ブロック暗号（「ＴＢＣ」）を使用することによって軽減することができる（Rogaway, "Efficient Instantiations of Tweakable Blockciphers and Refinements to Modes OCB and PMAC"（調整可能ブロック暗号の効率的なインスタンス化およびモードＯＣＢおよびＰＭＡＣに対する精緻化）(2004)に記載されているように）。これは、安全性限界を著しく変化させることなく、トウィークを非常に速く増分させる。以上の変更がなされるとき、第１の実施態様例（ＴＣＴ_１）および第２の実施態様例（ＴＣＴ_２）は、有界でない領域において効率的な調整可能暗号を提供し、

【0940】

【数411】

[この文献は図面を表示できません]

【0941】

ビット（それぞれ、

【0942】

【数412】

[この文献は図面を表示できません]

【0943】

）が暗号化された後でなければ安全性保証を失わない。
[0194] 定理６および命題−従来の暗号化による、初期化ベクトル（「ＩＶ」）保護可変入力長調整可能暗号（「ＶＩＬＴＣ」）

【0944】

【数413】

[この文献は図面を表示できません]

【0945】

、整数Ｎを仮定する。

【0946】

【数414】

[この文献は図面を表示できません]

【0947】

および調整可能暗号

【0948】

【数415】

[この文献は図面を表示できません]

【0949】

については定理１において説明した。Ａは、ｑ＜２^Ｎ／４回の質問を行い時間ｔにおいて実行するアドバーサリーである。アドバーサリーＢおよびＣは、

【0950】

【数416】

[この文献は図面を表示できません]

【0951】

となるように、それぞれｑ回および２ｑ回の質問を行い、時間

【0952】

【数417】

[この文献は図面を表示できません]

【0953】

において実行する。ここでＢはノンス制約付きである。標準的な証明では、Ｅが擬似ランダム置換（「ＰＲＰ」）のように安全である場合、Ｖ．Ｅ章における擬似コード一覧における調整可能ブロック暗号（「ＴＢＣ」）が、誕生日限界までＳＲＮＤ＄−安全であることを示す。

【0954】

[0195]

【0955】

【数418】

[この文献は図面を表示できません]

【0956】

はブロック暗号であると仮定し、

【0957】

【数419】

[この文献は図面を表示できません]

【0958】

および

【0959】

【数420】

[この文献は図面を表示できません]

【0960】

はＶ．Ｅ章における擬似コード一覧におけるように定義する。Ａは、時間ｔにおいて実行しｑ回の質問を尋ねるアドバーサリーであるとし、これらは合計で高々μ＝σｎビットである。次いで、

【0961】

【数421】

[この文献は図面を表示できません]

【0962】

ここで、Ｂは、高々ａ回質問を尋ね、時間

【0963】

【数422】

[この文献は図面を表示できません]

【0964】

において実行する。
[0196] このように、効率的な誕生日限界−安全な強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）を構築するために、ＬＲＷ２に基づいて

【0965】

【数423】

[この文献は図面を表示できません]

【0966】

によってカウンタ・モード暗号化を構成する(compose)ことができる。

【0967】

【数424】

[この文献は図面を表示できません]

【0968】

を特殊な種類のＰＲＦ（逆転可能性プロパティを有するもの）として見ることができ、入力（Ｔ，Ｘ）を取り込み、カウンタ・モードにおける使用のために「合成初期化ベクトル（「ＩＶ」）」を戻す。次いで、

【0969】

【数425】

[この文献は図面を表示できません]

【0970】

の２回目の適用は、鍵Ｋ’を有する者には復元可能なまま残すようにこの合成初期化ベクトル（「ＩＶ」）を隠す役割を果たす。
[0197] このカウンタ−モード構造の安全性は、章Ｖ．Ｅ．の擬似コード一覧における

【0971】

【数426】

[この文献は図面を表示できません]

【0972】

の構造において示すように、基礎のブロック暗号を「リキーイング」(re-keying)し、

【0973】

【数427】

[この文献は図面を表示できません]

【0974】

を使用してメッセージ毎の鍵を生成することによって高めることができる。

【0975】

【数428】

[この文献は図面を表示できません]

【0976】

を、（１）

【0977】

【数429】

[この文献は図面を表示できません]

【0978】

として計算し、（２）

【0979】

【数430】

[この文献は図面を表示できません]

【0980】

を戻すようにして計算できる。任意の関数

【0981】

【数431】

[この文献は図面を表示できません]

【0982】

について、ｆに対するアドバーサリーＡの擬似乱数関数（ＰＲＦ）の利点は、

【0983】

【数432】

[この文献は図面を表示できません]

【0984】

と定義されることを思い出すこと。次に、定理理論６に進む。
[0198] 定理６

【0985】

【数433】

[この文献は図面を表示できません]

【0986】

はブロック暗号であり、

【0987】

【数434】

[この文献は図面を表示できません]

【0988】

および

【0989】

【数435】

[この文献は図面を表示できません]

【0990】

はＶ．Ｅ章における擬似コード一覧におけるように定義する。

【0991】

【数436】

[この文献は図面を表示できません]

【0992】

は関数であり、

【0993】

【数437】

[この文献は図面を表示できません]

【0994】

および

【0995】

【数438】

[この文献は図面を表示できません]

【0996】

は、Ｖ．Ｅ章の擬似コード一覧におけるように定義する。Ａは、時間ｔにおいて実行し、ｑ回の質問を尋ねるノンス制約付きアドバーサリーであり、質問は、各々、高々ｍｎビットの長さである（したがって、μ≦ｑｍｎ）。

【0997】

【数439】

[この文献は図面を表示できません]

【0998】

ここで、（１）Ｂは高々ｍ回の質問を尋ね、時間

【0999】

【数440】

[この文献は図面を表示できません]

【1000】

において実行し、（２）Ｃはｑ回の質問を尋ね、高々時間

【1001】

【数441】

[この文献は図面を表示できません]

【1002】

において実行する。
[0199] メッセージｍにおけるブロックの最大数が小さい場合、このリキーイング手法は、ノンス制約付きアドバーサリーに対して、誕生日限界を超えるＳＲＮＤ−安全性を与える潜在的可能性がある。完全ディスク暗号化（「ＦＤＥ」）の場合、例えば、

【1003】

【数442】

[この文献は図面を表示できません]

【1004】

は、ｎ＝１２８のとき非常に小さく見えるので、ｑ＞＞２^６４に対する安全性が可能に思われる。この実施態様は、このようなｑのいずれに対しても安全であり続けるＰＲＦｆを使用する。

【1005】

[0200] いずれの場合でも、

【1006】

【数443】

[この文献は図面を表示できません]

【1007】

の構造は、調整可能プリミティブ抽象化の中核原理を破る。即ち、トウィークの変更は速くなければならず、鍵を変更するよりも遙かに速くなければならない。
[0201] 定理７−関連データ付き認証付暗号化（「ＡＥＡＤ」）に対する守秘性 ＶＩ．Ｂ章における擬似コード一覧において定義したように、

【1008】

【数444】

[この文献は図面を表示できません]

【1009】

ｓはEncodeMsgの最大ストレッチであり、ｓ’はEncode_Ｈの最大ストレッチであり、ｍは、ある

【1010】

【数445】

[この文献は図面を表示できません]

【1011】

に対して、

【1012】

【数446】

[この文献は図面を表示できません]

【1013】

を満たす、最も短い

【1014】

【数447】

[この文献は図面を表示できません]

【1015】

の長さである。Ａは、合計でμビットとなるｑ回の質問を行い、時間ｔにおいて実行するアドバーサリーである。δ_Mが増大しつつあり、｛０，１，．．．，ｑ｝上で凸であるとき、このδ_Mに対してEncode_Hが（ｄ，δ_H)−衝突であり、Encode_Mが（２，δ_M)−衝突である場合、

【1016】

【数448】

[この文献は図面を表示できません]

【1017】

となるようなアドバーサリーＢがある。ここで、Ｂは全長が高々μ＋ｑ（ｓ＋ｓ’）ビットであるｑ回の質問を行い、時間

【1018】

【数449】

[この文献は図面を表示できません]

【1019】

において実行する。
[0202] 定理８-関連データ付き認証付暗号化（「ＡＥＡＤ」）に対する真正性 ＶＩ．Ｂ章の擬似コード一覧において定義したように、

【1020】

【数450】

[この文献は図面を表示できません]

【1021】

ｓはEncodeMsgのストレッチであり、ｓ’はEncode_Hの最大ストレッチであり、ｍは、ある

【1022】

【数451】

[この文献は図面を表示できません]

【1023】

について

【1024】

【数452】

[この文献は図面を表示できません]

【1025】

を満たす最も短い

【1026】

【数453】

[この文献は図面を表示できません]

【1027】

の長さである。Ａは、その暗号化（それぞれ、復号）オラクルに、合計でμ_ε（それぞれ、

【1028】

【数454】

[この文献は図面を表示できません]

【1029】

）ビットとなるｑ_ε（それぞれ、

【1030】

【数455】

[この文献は図面を表示できません]

【1031】

）回の質問を行い、時間ｔにおいて実行するアドバーサリーである。Encode_Mが ∈−疎で、

【1032】

【数456】

[この文献は図面を表示できません]

【1033】

である場合、

【1034】

【数457】

[この文献は図面を表示できません]

【1035】

となるようなアドバーサリーＢがあり、ここで、Ｂは、全長（μ_ε＋ｑ_εｓ）ビットのｑ_ε回の順方向質問(forward-query)、全長

【1036】

【数458】

[この文献は図面を表示できません]

【1037】

ビットのｑ_Ｄ回の逆方向−質問を行い、

【1038】

【数459】

[この文献は図面を表示できません]

【1039】

時間において実行する。
[0203] Encode_Hが（２，０）−衝突である場合について検討する。この場合、守秘性限界（定理７）は、

【1040】

【数460】

[この文献は図面を表示できません]

【1041】

に簡略化する。これは直観的である。何故なら、トウィーク

【1042】

【数461】

[この文献は図面を表示できません]

【1043】

が決して繰り返さない場合、出力

【1044】

【数462】

[この文献は図面を表示できません]

【1045】

は（Ｈ，Ｍ）の任意の有効な

【1046】

【数463】

[この文献は図面を表示できません]

【1047】

へのエンコードに対して、均一なランダム文字列となるからであり、Encode_H（Ｈ，Ｍ）＝Ｍで十分である。つまり、ヘッダＨを正しくエンコードすると、（Ｈ，Ｍ）の

【1048】

【数464】

[この文献は図面を表示できません]

【1049】

へのエンコードにかかる負担を大幅に低減することができる。
[0204] 更に一般的には、ある小さな定数ｄ＜＜ｑに対して、Encode_Hが任意の

【1050】

【数465】

[この文献は図面を表示できません]

【1051】

をｄ回よりも多く生成する確率は、無視し得ると仮定する。すると、限界における最終項を事実上無視することができる。第２項は、大まかに、

【1052】

【数466】

[この文献は図面を表示できません]

【1053】

となる。ここで、δ_Mはｑではなくｄにおいて評価され、したがってｑδ_Ｍ（ｄ）は、適度な量のランダム性を

【1054】

【数467】

[この文献は図面を表示できません]

【1055】

にエンコードすることによって（例えば、ｌｏｇ（ｑ）ビット）無視可能にできることに注意すること。次いで、ある自然なEncodeMsgの選択では、ｑ／２^ｍ＋１が優勢項となり、ここでｍは

【1056】

【数468】

[この文献は図面を表示できません]

【1057】

の最も短い長さである。しかし、正しい真正性限界を達成するために、ｍがｑ／２^ｍ＋１に限界を破壊させる(ruin)ことはありそうもない。
[0205] トウィークが存在することによって、ランダム性または状態のための「余分な」ビットを、ヘッダのエンコードに移すことが可能になり、潜在的に、暗号的に処理しなければならないビット数が減少する。

【1058】

[0206] これより真正性限界（定理８）に移り、Encode_Mがｂ冗長ビット（したがって、∈≒２^−ｂ）およびｑ_ε＋ｑ_D＜＜２^ｍを挿入する場合、真正性限界の第２項は、近似的にｑ_Ｄ／２^ｂとなることを注記しておく。つまり、調整可能暗号

【1059】

【数469】

[この文献は図面を表示できません]

【1060】

が、例えば、２^８０回の質問まで強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）−安全性を有する場合（例えば、ＰＩＶをＮ＝２５６でしかるべくインスタンス化する）、ノンスによってヘッダをエンコードし、８０ビットの冗長性でメッセージをエンコードすると、大凡８０ビットの守秘性および真正性保証がある関連データ付き認証付暗号化（「ＡＥＡＤ」）方式、およびノンス−誤用に耐えることができるものが得られる。

【1061】

[0207] 定理８の証明は、アドバーサリーがEncode_MおよびEncode_Hのコインおよび状態を制御するのであっても、先に述べた限界がそのままである(hold)ことを示すために容易に修正することができる。加えて、復号オラクルの質問のみが冗長でないと仮定し、アドバーサリーは、ヘッダまたはメッセージにエンコードされるいずれのノンスにも配慮しないと仮定する。

【1062】

[0208] 定理７の証明

【1063】

【数470】

[この文献は図面を表示できません]

【1064】

はランダム暗号である。Ψ[Π]は、

【1065】

【数471】

[この文献は図面を表示できません]

【1066】

のアルゴリズムにおけるいずれかの場所で、

【1067】

【数472】

[この文献は図面を表示できません]

【1068】

および

【1069】

【数473】

[この文献は図面を表示できません]

【1070】

をΠおよびΠ^−１でぞれぞれ置き換えることによって得られた関連データ付き認証付暗号化（「ＡＥＡＤ」）方式である。ε_Πは、対応する暗号化アルゴリズムである。それ自体のオラクルに応じてε_Ｋまたはε_Πをシミュレーションする標準的なアドバーサリーＢに対して、

【1071】

【数474】

[この文献は図面を表示できません]

【1072】

これは、

【1073】

【数475】

[この文献は図面を表示できません]

【1074】

を残す。
[0209] 図１０における３つのゲームのシーケンスは、証明を例示するのに役立つ。図１０において、四角く囲ったコマンドは、ゲーム１には含まれるがゲーム２からは省略され、ε_Πオラクルに常にランダム文字列を返させる。ゲーム３は、この変化をアドバーサリーが検出することができる確率を制限する(bound)（「悪い」値が設定される確率によって測定されるように）。

【1075】

[0210] ｓは、Encode_Mのストレッチである。ゲーム１（図１０における）は、Πを定義するためにレイジー・サンプリングを使用してε_Πを実装する。具体的には、ｉ番目の質問（Ｈ_ｉ，Ｍ_ｉ）において、ゲーム１はエンコード

【1076】

【数476】

[この文献は図面を表示できません]

【1077】

を計算し、次いで、

【1078】

【数477】

[この文献は図面を表示できません]

【1079】

に割り当てるための潜在的な値Ｓ_ｉをサンプリングする。この値は、

【1080】

【数478】

[この文献は図面を表示できません]

【1081】

が未だ設定されていない限り、そして以前にＳ_ｉが

【1082】

【数479】

[この文献は図面を表示できません]

【1083】

と共に使用されていない限り有効である。そうでない場合、ゲーム１はｂａｄ_１またはｂａｄ_２を設定し、次いでＳｉにしかるべき値を割り当て直す。
[0211] ゲーム２（図１０における）は、ｂａｄ_１またはｂａｄ_２が設定されるまで、ゲーム１と同一であるので、

【1084】

【数480】

[この文献は図面を表示できません]

【1085】

ここで、最終ライン(final line)は、ゲーム−プレーイングの基本的命題の代替定式化(formulation)を使用する。ゲーム２では、Ｓ_ｉの値は

【1086】

【数481】

[この文献は図面を表示できません]

【1087】

において常に均一にランダムであり、ε_Πの出力は、各Ｍ_ｉとは独立である。その結果、Ａが停止した後まで、各Ｍ_ｉへの値の割り当てを遅らせることができる。一方、このために、ｂａｄ_１またはｂａｄ_２を設定すべきか確認するためのチェックを、これらがそうなる確率を変えることなく、遅らせることが可能になる。これらの変更双方を行うことによって、ゲーム３（図１０における）が求められるので、

【1088】

【数482】

[この文献は図面を表示できません]

【1089】

となる。つまり、

【1090】

【数483】

[この文献は図面を表示できません]

【1091】

ここで、最後の式は、ゲーム３において、各Ｓ_ｉが独立して、そして均一にランダムに、しかるべき大きさにされた文字列の集合からサンプリングされるという事実から得られる。要点を纏めると、この時点において、

【1092】

【数484】

[この文献は図面を表示できません]

【1093】

となる。
[0212]

【1094】

【数485】

[この文献は図面を表示できません]

【1095】

に対して上界を確立するために、ゲーム３において実行した後に、Ａがその出力を丁度生成したところであると仮定する。ｂａｄ_１が設定される確率を制限する(bound)ために、

【1096】

【数486】

[この文献は図面を表示できません]

【1097】

はゲームの間に生成された別個のトウィーク・エンコード(tweak encodings)の数である。

【1098】

【数487】

[この文献は図面を表示できません]

【1099】

は、

【1100】

【数488】

[この文献は図面を表示できません]

【1101】

である場合のみに限ってｉおよびｊが同じクラス内にあるというプロパティによって特徴付けられる等価クラス(equivalence class)である。ｂａｄ_１が設定される確率は、高々

【1102】

【数489】

[この文献は図面を表示できません]

【1103】

である。上界は、時点

【1104】

【数490】

[この文献は図面を表示できません]

【1105】

において増加凸関数δ_Ｍの値を総和することによって得られ、ここで、

【1106】

【数491】

[この文献は図面を表示できません]

【1107】

である。したがって、Ｎ＝１およびＲ_１＝（１，２，．．．，ｑ｝であるときに、限界は最も大きくなる（固定のｑに対して）。しかし、各｜Ｒ_Ｋ｜＜ｄとなる、Ｃａｐｐｅｄと称されるイベントを仮定する。この場合、

【1108】

【数492】

[この文献は図面を表示できません]

【1109】

Ｃａｐｐｅｄが発生したと想定すると、

【1110】

【数493】

[この文献は図面を表示できません]

【1111】

および、ｋ＝１，２，．．．、Ｎ−１について、

【1112】

【数494】

[この文献は図面を表示できません]

【1113】

であるときに、

【1114】

【数495】

[この文献は図面を表示できません]

【1115】

は最大になる。これから、次の式が得られる。

【1116】

【数496】

[この文献は図面を表示できません]

【1117】

同様に、

【1118】

【数497】

[この文献は図面を表示できません]

【1119】

標準(standard)

【1120】

【数498】

[この文献は図面を表示できません]

【1121】

であるので、誕生日限界（｛０，１｝^ｍから均一にサンプリングされたｉ個の独立したランダム変数間における衝突の確率に対する）は、増加凸関数の判断基準を満たす。
[0213] 定理８の証明 Ｂは、ＡについてのＩＮＴ−ＣＴＸＴ実験をシミュレーションし、ＡがＦｏｒｇｅｓを真に設定する場合に１を出力する強調整可能擬似ランダム置換（「ＳＴＰＲＰ」）アドバーサリーであるとする。すると、

【1122】

【数499】

[この文献は図面を表示できません]

【1123】

となり、ここで、Ψ [Π]は、Ψのアルゴリズムにおけるいずれかの場所で、

【1124】

【数500】

[この文献は図面を表示できません]

【1125】

および

【1126】

【数501】

[この文献は図面を表示できません]

【1127】

をΠおよびΠ^−１でぞれぞれ置き換えることによって得られた方式であり、

【1128】

【数502】

[この文献は図面を表示できません]

【1129】

は、自然な方法で定義される（Ｋではなく、Πのランダム選択に対する確率で）。
[0214] ゲーム４（図１１）は、

【1130】

【数503】

[この文献は図面を表示できません]

【1131】

に対するＩＮＤ−ＣＴＸＴ実験をシミュレーションする。レイジー・サンプリングによってΠを定義することによって、

【1132】

【数504】

[この文献は図面を表示できません]

【1133】

となる。

【1134】

【数505】

[この文献は図面を表示できません]

【1135】

オラクルに対するコードにおいて、

【1136】

【数506】

[この文献は図面を表示できません]

【1137】

が既に定義されているか否かチェックする必要はない。この可能性は、Ａが

【1138】

【数507】

[この文献は図面を表示できません]

【1139】

への質問を繰り返さず、ε_Πによって以前に戻された値を

【1140】

【数508】

[この文献は図面を表示できません]

【1141】

に送らないという事実によって除外される（一方、ヘッダは保存される）。

【1142】

【数509】

[この文献は図面を表示できません]

【1143】

へのある質問に対して、Ａがこの質問上で偽造する(forge)確率は、対応してランダムに選択された

【1144】

【数510】

[この文献は図面を表示できません]

【1145】

の値が有効なエンコードである確率に等しい。正しい長さの有効なエンコードは、高々２^｜Ｙ｜∈個であり、

【1146】

【数511】

[この文献は図面を表示できません]

【1147】

は、サイズが少なくとも

【1148】

【数512】

[この文献は図面を表示できません]

【1149】

である集合からサンプリングされる。その結果、Ａがこの質問上で偽装する確率は、高々

【1150】

【数513】

[この文献は図面を表示できません]

【1151】

である。結合限界が証明を完成させる。
[0215] 開示した発明の原理を適用することができる多くの可能な実施形態があることに鑑み、例示した実施形態は、単に発明の好ましい例に過ぎず、発明の範囲を限定するように捕らえてはならないことは認められてしかるべきである。むしろ、本発明の範囲は以下の請求項によって定められるものとする。したがって、これらの請求項の範囲および主旨に該当する全てを、本発明者の発明として特許請求する。

【図1】

[この文献は図面を表示できません]

【図2】

[この文献は図面を表示できません]

【図3A】

[この文献は図面を表示できません]

【図3B】

[この文献は図面を表示できません]

【図3C】

[この文献は図面を表示できません]

【図4】

[この文献は図面を表示できません]

【図5A】

[この文献は図面を表示できません]

【図5B】

[この文献は図面を表示できません]

【図5C】

[この文献は図面を表示できません]

【図6A】

[この文献は図面を表示できません]

【図6B】

[この文献は図面を表示できません]

【図6C】

[この文献は図面を表示できません]

【図7】

[この文献は図面を表示できません]

【図8】

[この文献は図面を表示できません]

【図9】

[この文献は図面を表示できません]

【図10】

[この文献は図面を表示できません]

【図11】

[この文献は図面を表示できません]