ホーム > 特許ランキング > アイデミア フランス
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022183112
(43)【公開日】2022-12-08
(54)【発明の名称】改善された感染対策
(51)【国際特許分類】
H04K 3/00 20060101AFI20221201BHJP
【ＦＩ】
H04K3/00
【審査請求】未請求
【請求項の数】16
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2022086049
(22)【出願日】2022-05-26
(31)【優先権主張番号】2105447
(32)【優先日】2021-05-26
(33)【優先権主張国・地域又は機関】FR
(71)【出願人】
【識別番号】519260337
【氏名又は名称】アイデミア フランス
(74)【代理人】
【識別番号】110001173
【氏名又は名称】弁理士法人川口國際特許事務所
(72)【発明者】
【氏名】ローラン・カステルノヴィ
(72)【発明者】
【氏名】ギヨーム・バルブ
(72)【発明者】
【氏名】ルック・ベッタレ
(72)【発明者】
【氏名】トーマス・シャブリエ
(72)【発明者】
【氏名】ニコラス・ディバンド
(72)【発明者】
【氏名】クリストフ・ジロー
(72)【発明者】
【氏名】ネイサン・リボウド
(57)【要約】 （修正有）
【課題】故障注入攻撃に対する新規のタイプの感染対策方法を提供する。
【解決手段】新規の対策方法は、注入された誤りを、増幅する前に判定するのではなく、入力データＥに対して暗号操作ＯＰＥを実行することによって取得した２つの中間暗号Ｃ０、Ｃ１に、同じ拡散関数ｆｄｉｆｆを適用する。それゆえ、誤りは、同じ中間暗号の中で増幅され、拡散の後に感染暗号ｇ０、ｇ１と称される。その場合、中間暗号０を感染暗号０としてマッピングしない拡散関数を使用することが可能である。拡散されていない暗号のビットから再構成された暗号もまた生成される。これらの感染暗号と再構成された暗号Ｃｒｅｃとを、ＸＯＲ１０、１１で組み合わせることにより、出力暗号Ｓを提供する。この手法により、ペア及び関連する特定の拡散関数を、単純に重複実行することで、対策によって提供される保護を、所望の数の故障の注入に適応させることが可能になる。
【選択図】図４
【解決手段】新規の対策方法は、注入された誤りを、増幅する前に判定するのではなく、入力データＥに対して暗号操作ＯＰＥを実行することによって取得した２つの中間暗号Ｃ０、Ｃ１に、同じ拡散関数ｆｄｉｆｆを適用する。それゆえ、誤りは、同じ中間暗号の中で増幅され、拡散の後に感染暗号ｇ０、ｇ１と称される。その場合、中間暗号０を感染暗号０としてマッピングしない拡散関数を使用することが可能である。拡散されていない暗号のビットから再構成された暗号もまた生成される。これらの感染暗号と再構成された暗号Ｃｒｅｃとを、ＸＯＲ１０、１１で組み合わせることにより、出力暗号Ｓを提供する。この手法により、ペア及び関連する特定の拡散関数を、単純に重複実行することで、対策によって提供される保護を、所望の数の故障の注入に適応させることが可能になる。
【選択図】図４
【特許請求の範囲】
【請求項1】
入力メッセージ（Ｅ）を出力メッセージ（Ｓ）へと暗号処理するための方法であって、プロセッサによって実施される、
－中間メッセージ（Ｃｉ）の１つ以上のペア（ｐｉ）を取得するために、前記入力メッセージ（Ｅ）に対して同じ暗号操作（ＯＰＥ）を数回実行するステップと、
－各ペアに関して、２つの感染メッセージ（ｇ２ｉ、ｇ２ｉ＋１）を取得するために、前記ペアの２つの前記中間メッセージ（Ｃ２ｉ、Ｃ２ｉ＋１）に単一の拡散関数（ｆｄｉｆｆ－ｉ）を適用するステップと、
－前記出力メッセージ（Ｓ）を取得するために、前記感染メッセージを、前記暗号操作の前記実行から得られた１つ以上の第１のメッセージ（ｃｉ）からビットを選択することによって取得された、再構成されたメッセージ（Ｃｒｅｃ）と組み合わせるステップと、を含む、方法。
－中間メッセージ（Ｃｉ）の１つ以上のペア（ｐｉ）を取得するために、前記入力メッセージ（Ｅ）に対して同じ暗号操作（ＯＰＥ）を数回実行するステップと、
－各ペアに関して、２つの感染メッセージ（ｇ２ｉ、ｇ２ｉ＋１）を取得するために、前記ペアの２つの前記中間メッセージ（Ｃ２ｉ、Ｃ２ｉ＋１）に単一の拡散関数（ｆｄｉｆｆ－ｉ）を適用するステップと、
－前記出力メッセージ（Ｓ）を取得するために、前記感染メッセージを、前記暗号操作の前記実行から得られた１つ以上の第１のメッセージ（ｃｉ）からビットを選択することによって取得された、再構成されたメッセージ（Ｃｒｅｃ）と組み合わせるステップと、を含む、方法。
【請求項2】
前記拡散関数（ｆｄｉｆｆ－ｉ）が、中間メッセージのペア（ｐｉ）ごとに異なる、請求項１に記載の方法。
【請求項3】
或る１つのペア（ｐｉ）の前記拡散関数（ｆｄｉｆｆ－ｉ）が、前記ペアに固有の第１のパラメータ（ｉ）、例えば、前記ペアの一意識別子に基づく、請求項２に記載の方法。
【請求項4】
前記ペア（ｐｉ）の前記拡散関数（ｆｄｉｆｆ－ｉ）が、新たな入力メッセージから新たな出力メッセージを取得するために変化する、第２のパラメータに基づく、請求項１～３のいずれか一項に記載の方法。
【請求項5】
各中間メッセージ（Ｃｉ）が、前記暗号操作（ＯＰＥ）の前記実行のうちの１つから直接得られた第１のメッセージ（ｃｉ）である、請求項１～４のいずれか一項に記載の方法。
【請求項6】
各中間メッセージ（Ｃｉ）が、前記暗号操作（ＯＰＥ）の前記実行から直接得られた前記第１のメッセージ（ｃｉ）のうちのいくつか又は全てを、対応する連結プロファイルに従って連結しているメッセージである、請求項１～４のいずれか一項に記載の方法。
【請求項7】
２つの異なるペア（ｐｉ）の前記中間メッセージ（Ｃｉ）が、全ての前記第１のメッセージ（ｃｉ）を連結している単一のマスターメッセージ（ＣＭ）内での、前記第１のメッセージの異なるローテーション（Ｒｉ）によって互いに異なっている、請求項６に記載の方法。
【請求項8】
前記中間メッセージ（Ｃｉ）が、第１のメッセージ（ｃｉ）の別個のペアで形成される、請求項６に記載の方法。
【請求項9】
２～ｄの任意のｎに関して、最大でも
個の互いに素な連結プロファイルのペアが、ｎ個の第１のメッセージのグループに関して対称であり、ｄ＋１が、前記暗号操作の総実行回数であり、［ｘ］が、ｘ以下の最大整数であり、連結プロファイルのペアは、前記ペアの２つの連結プロファイルが、前記連結内の同じメッセージ位置を使用して、ｎ個の第１のメッセージの前記グループに由来する前記第１のメッセージを位置付ける場合に、ｎ個の第１のメッセージの前記グループに関して対称であると言われる、請求項６に記載の方法。
【数1】
【請求項10】
前記再構成されたメッセージ（Ｃｒｅｃ）が、
個の互いに素な連結プロファイルのペアが対称である場合、前記グループの前記第１のｎ個のメッセージ（ｃｉ）のうちの１つ以上のみによって形成されない、請求項９に記載の方法。
【数2】
【請求項11】
前記組み合わせるステップが、種々の前記感染メッセージ（ｇｉ）と前記再構成されたメッセージ（Ｃｒｅｃ）との間に、排他的論理和論理演算子（１０、１１）を適用することを含む、請求項１～１０のいずれか一項に記載の方法。
【請求項12】
前記組み合わせるステップが、前記再構成されたメッセージ（Ｃｒｅｃ）を前記感染メッセージのうちの１つ（ｇ０）と組み合わせる、最初の初期サブステップ（１０）と、前記初期サブステップの結果を他の前記感染メッセージ（ｇｉ）と組み合わせる、１つ以上の後続サブステップ（１１）とを含む、請求項１１に記載の方法。
【請求項13】
前記再構成されたメッセージ（Ｃｒｅｃ）が、前記暗号操作（ＯＰＥ）の前記実行のうちの１つから直接得られた前記第１のメッセージ（ｃｉ）のうちの１つである、請求項１～１２のいずれか一項に記載の方法。
【請求項14】
前記再構成されたメッセージ（Ｃｒｅｃ）が、前記暗号操作（ＯＰＥ）の前記実行から直接得られた前記第１のメッセージ（ｃｉ）のうちのいくつか又は全てに由来するビットで形成される、請求項１～１２のいずれか一項に記載の方法。
【請求項15】
暗号処理デバイス（４０）であって、
－中間メッセージ（Ｃｉ）の１つ以上のペアを取得するために、入力メッセージ（Ｅ）に対して単一の暗号操作（ＯＰＥ）を数回実行し、
－各ペアに関して、２つの感染メッセージ（ｇ２ｉ、ｇ２ｉ＋１）を取得するために、前記ペアの前記２つの中間メッセージ（Ｃ２ｉ、Ｃ２ｉ＋１）に単一の拡散関数（ｆｄｉｆｆ－ｉ）を適用し、
－出力メッセージ（Ｓ）を取得するために、前記感染メッセージを、前記暗号操作の前記実行から得られた１つ以上の第１のメッセージ（ｃｉ）からビットを選択することによって取得された、再構成されたメッセージ（Ｃｒｅｃ）と組み合わせるように構成されている、プロセッサ（４１）を備える、暗号処理デバイス（４０）。
－中間メッセージ（Ｃｉ）の１つ以上のペアを取得するために、入力メッセージ（Ｅ）に対して単一の暗号操作（ＯＰＥ）を数回実行し、
－各ペアに関して、２つの感染メッセージ（ｇ２ｉ、ｇ２ｉ＋１）を取得するために、前記ペアの前記２つの中間メッセージ（Ｃ２ｉ、Ｃ２ｉ＋１）に単一の拡散関数（ｆｄｉｆｆ－ｉ）を適用し、
－出力メッセージ（Ｓ）を取得するために、前記感染メッセージを、前記暗号操作の前記実行から得られた１つ以上の第１のメッセージ（ｃｉ）からビットを選択することによって取得された、再構成されたメッセージ（Ｃｒｅｃ）と組み合わせるように構成されている、プロセッサ（４１）を備える、暗号処理デバイス（４０）。
【請求項16】
暗号処理デバイスによって実行されると、請求項１～１４のいずれか一項に記載の方法を前記暗号処理デバイスに実行させるプログラムを記憶している、非一時的コンピュータ可読媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、コンピュータセキュリティの分野に関する。より詳細には、暗号方法、暗号処理、又は暗号操作のセキュリティ保護に関する。
【背景技術】
【0002】
特定のデータ処理方法は、特にデータの暗号処理（例えば、暗号化又は復号化）の状況において、１つ以上の暗号秘密又は暗号鍵に基づく、暗号アルゴリズムを使用する。暗号操作の例としては、メッセージのデジタル署名、あるいは、「暗号文」、「暗号化されたメッセージ」、又は単に「暗号」と称される出力データ（バイナリデータ）としての、メッセージの暗号化が挙げられる。他の例としては、「平文」メッセージと称される出力データとしての、暗号の復号化が挙げられる。暗号操作の主要なクラスとしては、対称暗号化／復号化、若しくは秘密鍵アルゴリズム（例えば、ＡＥＳ、ＤＥＳ）、非対称暗号化／復号化、若しくは公開鍵及び秘密鍵アルゴリズム（例えば、ＲＳＡ、ＤＳＡ）、及びハッシュ関数（例えば、ＭＤ５及びＳＨＡ－３）が挙げられる。
【0003】
暗号秘密又は暗号鍵は、アクセス可能であってはならない。更には、暗号処理は一般に、暗号プロセッサを装備しているセキュアな暗号システム、セキュアエレメント（secure element；ＳＥ）などのシステム、すなわち、信頼機関によって設定されている規則及びセキュリティ要件に従ってデータを保持することが可能な、セキュアなハードウェアプラットフォームにおいて使用される。セキュアエレメントは、組み込まれていても（組み込みＳＥ又はｅＳＥ）、又は取り外し可能であってもよく、特に、スマートカード、ＵＩＣＣカード（又は、ｅＵＩＣＣ）を含む。
【0004】
これらの方法は、システムのセキュリティを回避しようとする、悪意のあるユーザによる攻撃の対象となる。
【0005】
これらの攻撃には、データ処理方法の通常の実行を意図的に混乱させることにより、その方法の出力において、通常予期されているものとは異なるが、暗号アルゴリズムで使用されている秘密データについての情報を明らかにするデータ（メッセージ）を取得することを伴う、故障発生タイプの攻撃が含まれる。これらの攻撃は、システムのハードウェア構成要素（暗号プロセッサ）又はソフトウェアに関与し得る。
【0006】
それゆえ、このタイプの攻撃に対抗するための対策が提案されてきた。
【0007】
暗号アルゴリズムの冗長実行、及び本実行の結果と冗長実行の結果との比較に主に基づいた、検出対策が既知である。比較に誤りがある場合には、その方法は中断され、セキュリティアクションが引き起こされる。しかしながら、これらの対策は、比較ステップ自体への攻撃に対しては脆弱である。
【0008】
この比較を不要なものにするために、他の感染対策が提案されてきた。それらは、暗号化又は復号化されたメッセージを悪意のあるユーザによって利用可能にさせないように、故障の影響を拡散させる。
【0009】
図１は、既知の感染対策の原理を概略的に示す。入力メッセージＥに対する暗号操作ＯＰＥを重複実行することにより、故障攻撃が存在しない場合には２つの同一メッセージ、いわゆる「第１のメッセージ」、ｃ０、ｃ１を取得することが可能となる。それらのメッセージは、実施される操作に応じて、暗号化されたメッセージ又は平文メッセージとなり得る。明瞭性のために、以下では主に「暗号」について言及するものとする。
【0010】
暗号操作の２つの実行に由来する暗号ｃ０、ｃ１に対する、ＸＯＲ（排他的論理和）１０は、注入された誤り「ｅ」（故障が存在しない場合はゼロ）を算出し、これは、０（誤りなし）を０としてマッピングし、あらゆる他のバイナリ入力値（ゼロではない、注入された誤り）を異なる出力値としてマッピングする、拡散関数ｆｄｉｆｆによって拡散され、すなわち、修正及び増幅される（これが誤りの拡散である）。
【0011】
拡散関数は決定論的であり、関数のパラメータが固定されているため、同じ入力に対しては常に同じ出力を生成する。拡散関数は更に、高いエントロピーを有するものであり、すなわち、入力の僅かな修正に対して出力を大幅に修正する。
【0012】
次いで、拡散された誤りｅｄｉｆｆ（ゼロ又はその他）が、暗号のうちの一方（ｃ０）に追加され（ＸＯＲ１１）、出力Ｓにおいて、感染した暗号が提供される。
【0013】
また、この感染対策は、暗号計算が正しく（誤りが注入されることなく）実行された場合には、暗号結果が正しくなり、そうではない場合には、その暗号結果が先験的に攻撃者によって使用されることが可能とならないように、暗号結果に感染させる。
【0014】
この感染対策設定は、少なくとも以下の理由により、満足のいくものではない。
【0015】
一方では、多重故障注入攻撃に対して耐性がない。それゆえ、多重故障注入攻撃に対して耐性がある感染対策を有することが有用であろう。また、所望の保護レベルに容易に適応させることが可能な、そのような対策を有することも好ましいであろう。
【0016】
他方では、拡散関数に対する（０が０としてマッピングされる）制約は、使用可能な拡散関数を著しく減少させるが、これは、それらの拡散関数が、大部分が既に文字通り破壊されているためである。
【0017】
それゆえ、既知の感染対策を改善することが、一般に必要とされている。
【発明の概要】
【0018】
この目的において、本発明は特に、入力メッセージを出力メッセージへと暗号処理するための方法であって、プロセッサによって実施される、
－中間メッセージの１つ以上のペアを取得するために、入力メッセージに対して単一の暗号操作を数回実行するステップと、
－各ペアに関して、２つの感染メッセージを取得するために、そのペアの２つの中間メッセージに単一の拡散関数を適用するステップと、
－出力メッセージを取得するために、それらの感染メッセージを、暗号操作の実行から得られた１つ以上の第１のメッセージからビットを選択することによって取得された、再構成されたメッセージと組み合わせるステップとを含む、方法を提供する。
－中間メッセージの１つ以上のペアを取得するために、入力メッセージに対して単一の暗号操作を数回実行するステップと、
－各ペアに関して、２つの感染メッセージを取得するために、そのペアの２つの中間メッセージに単一の拡散関数を適用するステップと、
－出力メッセージを取得するために、それらの感染メッセージを、暗号操作の実行から得られた１つ以上の第１のメッセージからビットを選択することによって取得された、再構成されたメッセージと組み合わせるステップとを含む、方法を提供する。
【0019】
暗号操作の性質に応じて、その実行から得られる第１のメッセージ、並びに、中間メッセージ、感染メッセージ、及び再構成されたメッセージは、全てが暗号化されている場合もあり、又は、全てが平文メッセージに対応している場合もある。
【0020】
それに応じて、本発明はまた、暗号処理デバイスであって、
－中間メッセージの１つ以上のペアを取得するために、入力メッセージに対して単一の暗号操作を数回実行し、
－各ペアに関して、２つの感染メッセージを取得するために、そのペアの２つの中間メッセージに単一の拡散関数を適用し、
－出力メッセージを取得するために、それらの感染メッセージを、暗号操作の実行から得られた１つ以上の第１のメッセージからビットを選択することによって取得された、再構成されたメッセージと組み合わせるように構成されているプロセッサを備える、暗号処理デバイスにも関する。
－中間メッセージの１つ以上のペアを取得するために、入力メッセージに対して単一の暗号操作を数回実行し、
－各ペアに関して、２つの感染メッセージを取得するために、そのペアの２つの中間メッセージに単一の拡散関数を適用し、
－出力メッセージを取得するために、それらの感染メッセージを、暗号操作の実行から得られた１つ以上の第１のメッセージからビットを選択することによって取得された、再構成されたメッセージと組み合わせるように構成されているプロセッサを備える、暗号処理デバイスにも関する。
【0021】
それゆえ、暗号操作を２回又は３回実行して、（すなわち、単一のペアの）２つの感染メッセージ（例えば、暗号）を、再構成されたメッセージと組み合わせるか、あるいは、暗号操作を４回又は５回実行して、４つの感染メッセージ（すなわち、２つの拡散関数に関連付けられた２つのペア）を、再構成されたメッセージと組み合わせるか、あるいは、より一般的には、暗号操作を２ｄ回又は２ｄ＋１回（ｄは１以上の整数）実行して、２ｄ個の感染メッセージ（ｄ個の拡散関数に関連付けられたｄ個のペア）を、再構成されたメッセージと組み合わせることが可能である。
【0022】
中間メッセージのペアに対して同じ拡散関数を適用し、その後続けて、例えばＸＯＲを介してそれらを組み合わせることにより、故障が存在しない場合、拡散関数の影響を打ち消すことが可能となる。また、メッセージ（例えば、暗号）０を「感染」メッセージ０としてマッピングすることを目的とした制約も解除される。その結果、利用可能な拡散関数の数が増大する。
【0023】
中間メッセージの各ペアは、故障攻撃に対する保護を提供する点に留意されたい。それゆえ、本発明は、（関連付けられている拡散関数で）処理される中間メッセージのペアの数を単純に増倍させることによって、耐性でなければならない故障攻撃の数に応じてスケーリングすることができる。
【0024】
本発明の実施形態のオプションの特徴が、添付の請求項において定義されている。これらの特徴のうちの一部は、方法を参照して以下で説明されているが、それらの特徴は、デバイスの特徴へと移し替えることもできる。
【0025】
一実施形態では、拡散関数は、中間メッセージのペアごとに異なる。それゆえ、感染メッセージのｋ個のペアに関して、ｋ個の異なる拡散関数が使用されている。
【0026】
一実施形態では、或る１つのペアの拡散関数は、そのペアに固有の第１のパラメータ、例えば、そのペアの一意識別子に基づく。この識別子は特に、拡散関数の入力において、中間メッセージと連結させることができる。それゆえ、全てのペアに関して単一の拡散アルゴリズムを使用することが可能であり、その際には、この識別子のみが、ペア間で異なることになる。この規定により、計算の複雑性が簡略化される。
【0027】
別の実施形態では、これらのペアの拡散関数は、新たな入力メッセージから新たな出力メッセージを取得するために変化する、第２のパラメータに基づく。それゆえ、ペアの拡散関数は、対策の実行ごとに変化することにより、いくつかの実行にわたる故障注入攻撃に対しての、対策の堅牢性が改善される。
【0028】
一実施形態では、拡散関数は、１つ以上の鍵、例えば、前述の第１のパラメータ及び／又は第２のパラメータに基づく、擬似乱数生成器（pseudorandom number generator；ＰＲＮＧ）である。当然ながら、他のタイプの拡散関数、例えばハッシュ関数を使用することもできる。
【0029】
第１の実施形態では、各中間メッセージは、暗号操作の実行のうちの１つから直接得られた、第１のメッセージである。この規定は、１つ以上の故障注入に対する、対策の簡易な実装を提供する。
【0030】
第２の実施形態では、各中間メッセージは、暗号操作の実行から直接得られた第１のメッセージのうちのいくつか又は全てを、対応する連結プロファイルに従って連結しているメッセージである。この規定により、上記の第１の実施形態と比較して、一定の数の故障注入に対する、暗号操作の実行回数を低減することが可能となる。
【0031】
特定の実施形態では、２つの異なるペアの中間メッセージは、全ての第１のメッセージを連結している単一のマスターメッセージ内での、第１のメッセージの異なるローテーションによって、互いに異なっている。
【0032】
代替的実施形態では、中間メッセージは、第１のメッセージの別個のペアで形成される。例えば、第１の中間メッセージは、暗号操作の最初の２つの実行から得られた、２つの第１のメッセージで形成され、第２の中間メッセージは、暗号操作の第２及び第３の実行から得られた、２つの第１のメッセージで形成される、などとなり、最後の中間メッセージは、暗号操作の最後及び最初の実行から得られた、２つの第１のメッセージで形成される。この実施形態は、各ペアに関する異なる拡散関数が、不要なものになることを可能にする。
【0033】
一般に、最大でも
個の互いに素な連結プロファイルのペアが、ｎ個の第１のメッセージのグループに関して対称である場合には、各ペアに関する異なる拡散関数を不要にすることが可能であり、［ｘ］は、ｘ以下の最大整数である。連結プロファイルのペアは、その２つの連結プロファイルが、連結内の同じメッセージ位置を使用して、ｎ個の第１のメッセージのグループに由来する第１のメッセージを位置付ける場合に、ｎ個の第１のメッセージのグループに関して対称であると言われる。この制約は、２～ｄの任意のｎに関して確認することができ、ｄ＋１は、暗号操作の総実行回数である。
【数1】
【0034】
実際に、この構成により、同一の中間メッセージを
個のペアが有し、それゆえ、最終的な組み合わせの間に、それらが打ち消し合うことを防ぐことが可能となる。それゆえ、ｎ個の故障の注入に対する堅牢性が保証される。
【数2】
【0035】
特定の実施形態では、再構成されたメッセージは、
個の互いに素な連結プロファイルのペアが対称である場合、そのグループのｎ個の第１のメッセージのうちの１つ以上のみによって形成されるのではない。換言すれば、再構成されたメッセージ内には、連結プロファイルの
個のペアの対称性には含まれない、少なくとも１つの第１のメッセージの存在が必要とされる。このことにより、ｎ個の故障注入攻撃に対する、対策の堅牢性が改善される。好ましくは、この規定は、偶数ｎについて満たされる。優先的には、更に偶数ｄについて満たされる。
【数3】
【数4】
【0036】
一実施形態では、組み合わせるステップは、種々の感染メッセージと再構成されたメッセージとの間に、排他的論理和（又は、ＸＯＲ）論理演算子を適用することを含む。
【0037】
優先的には、組み合わせるステップは、再構成されたメッセージを感染メッセージのうちの１つと組み合わせる（例えば、ＸＯＲ）、最初の初期サブステップと、その初期サブステップの結果を他の感染メッセージと組み合わせる、１つ以上の後続サブステップとを含む。後続サブステップのそれぞれは、従前のサブステップの結果を別の感染メッセージ／暗号と組み合わせることが可能である。また、全ての感染メッセージも、段階的に組み合わされる。変形例として、他の感染メッセージを、初期サブステップの結果と組み合わせる前に、互いに組み合わせることもできる。
【0038】
再構成されたメッセージを組み合わせることから開始することにより、中間メッセージのペアの数よりも多くの故障を注入する特定の攻撃に対する、対策の耐性が改善される。
【0039】
一実施形態では、再構成されたメッセージは、暗号操作の実行のうちの１つから直接得られた、第１のメッセージのうちの１つである。このことにより、計算が簡略化される。
【0040】
一変形例では、再構成されたメッセージは、暗号操作の実行から直接得られた第１のメッセージのうちのいくつか又は全てに由来するビットで形成され、例えば、中間メッセージ間での、又はそのようなメッセージのペア間での、ビットの均等かつ交互の分布によって形成される。
【0041】
各中間メッセージが、暗号操作の実行のうちの１つから直接得られた第１のメッセージである一実施形態では、再構成されたメッセージは、少なくとも２つの異なるペアの（すなわち、異なる拡散関数によって処理される）第１のメッセージに由来するビットで形成することができる。
【0042】
例えば、再構成されたメッセージは、それぞれのペアの第１のメッセージに由来するビットで形成される。
【0043】
好ましい方式では、再構成されたメッセージの、少なくとも１つ以上のバイト又は各バイトが、少なくとも２つの異なるペアの第１のメッセージに由来するビットで形成される。このことは特に、少なくとも８つのペアが生成される場合に適用される。
【0044】
それゆえ、このことにより、同じペアの２つの実行の間に、同一の故障を介して、故障に感染した暗号が拡散又は修正されることなく、攻撃者により回収されることが防止される。それゆえ、システムのセキュリティが改善される。
【0045】
上記から、再構成されたメッセージの各ビットは、第１のメッセージのうちの１つに由来するものであり、そのビットが由来する第１のメッセージ内でのビットの位置と同じ位置を、再構成されたメッセージ内で占めることが理解されるはずである。実際に、故障が存在しない場合に出力メッセージとして提供されるのは、最初の再構成されたメッセージである。
【0046】
本発明の別の態様は、暗号処理デバイスのプロセッサによって実行されると、上記で定義されたような方法を暗号処理デバイスに実行させるプログラムを記憶している、非一時的コンピュータ可読媒体に関する。
【0047】
本発明による方法の少なくとも一部は、コンピュータによって実施することができる。したがって、本発明は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（マイクロプログラム、常駐ソフトウェア、マイクロコードなどを含む）、又はソフトウェアの態様とハードウェアの態様とを組み合わせた実施形態の形態を取り得るものであり、これらは全て、本明細書では「回路」、「モジュール」、又は「システム」として総称することができる。更には、本発明は、任意の有形表現媒体に含まれているコンピュータプログラム製品の形態を取ることもでき、このコンピュータプログラム製品は、その媒体に組み込まれている、コンピュータによって使用することが可能なプログラムコードを有する。
【0048】
本発明を、ソフトウェアとで実装することができると想定すると、本発明は、プログラマブルデバイスに提供されるコンピュータ可読コードの形態で、任意の好適な媒体上に組み込むことができる。有形媒体又は非一時的媒体は、ハードディスクドライブ、磁気テープデバイス、又は固体メモリデバイスなどの、記憶媒体を含み得る。一時的媒体は、電気信号、電子信号、光信号、音響信号、磁気信号、又は電磁信号、例えば、高周波信号又はＲＦ（radiofrequency；無線周波数）信号などの、信号を含み得る。
【図面の簡単な説明】
【0049】
本発明の他の特定の特徴及び利点は、非限定的な実施形態の例を示す添付の図によって例示される、以下の説明においてより明らかとなるであろう。
【0050】
【図1】既知の感染対策の原理を概略的に示す。
【0051】
【図2】本発明が実装される暗号システムを形成している、データ処理デバイスを概略的に示す。
【0052】
【0053】
【図4】本発明による改善された感染対策の一般的原理を概略的に示す。
【0054】
【図5】本発明による改善された対策の第１の実施形態を概略的に示す。
【0055】
【0056】
【図7】２つの故障の注入に対して耐性のある、改善された感染対策の変形例を示す。
【0057】
【図8】ｄ個の故障（ｄは１以上の整数）の注入に対して耐性のある、改善された感染対策を示す。
【0058】
【図9】本発明による改善された対策の第２の実施形態を概略的に示す。
【発明を実施するための形態】
【0059】
本発明は、故障注入攻撃に対して、暗号処理デバイスをセキュリティ保護するための、新規のタイプの感染対策を提案する。
【0060】
この新規の対策は、注入された誤りを、増幅する前に判定するのではなく、入力メッセージに対して暗号操作を実行することによって取得された２つの中間メッセージに、単一の拡散関数を適用する。それゆえ、誤りは、中間メッセージ自体の中で増幅され、拡散の後に感染メッセージと称される。
【0061】
それゆえ、中間メッセージ０を「感染」メッセージ０としてマッピングすることを目的とした、拡散関数の制約を克服することが可能である。その結果、利用可能な拡散関数の選択肢が増大する。
【0062】
暗号操作の実行から得られたメッセージのビットから再構成される、メッセージもまた生成される。
【0063】
感染メッセージと再構成されたメッセージとを、ＸＯＲで組み合わせることにより、出力メッセージを提供する。中間メッセージのペア及び関連する拡散関数による、この操作は、この取り合わせを毎回異なる拡散関数で単純に重複実行することによって、対策を所望の保護レベルに、すなわち、その対策が抵抗しなければならない注入故障の数に、スケーリングすることを可能にする。
【0064】
暗号処理は、平文メッセージを入力として受け取ることができ、またそれゆえ、暗号化されたメッセージ又は「暗号」を出力として生成することができる。これは、例えば、暗号化又はデジタル署名のタイプの暗号操作に関する場合である。この場合、中間メッセージ、感染メッセージ、及び再構成されたメッセージもまた暗号化される。
【0065】
変形例として、暗号処理は、暗号化されたメッセージを入力として受け取ることができ、またそれゆえ、復号化されたメッセージ又は「平文」メッセージを出力として生成することができる。これは、例えば、復号化タイプの暗号操作に関する場合である。この場合、中間メッセージ、感染メッセージ、及び再構成されたメッセージもまた平文メッセージである。
【0066】
以降での言葉を明確化するために、主に「暗号」タイプの、第１のメッセージ、中間メッセージ、感染メッセージ、再構成されたメッセージ、及び出力メッセージについて言及するが（この場合、入力メッセージは「平文」である）、本発明はまた、暗号化された入力メッセージの復号化から得られる、「平文」タイプのメッセージの場合にも適用される。一般に、当業者は、具体的に示されている「暗号」の代わりに、任意のタイプのメッセージ（平文、又は暗号化されているもの）に、以下の教示を適用することが可能である。
【0067】
図２は、本発明が実装される暗号システムを形成している、データ処理デバイス４０を概略的に示す。このデバイス４０は、一方では、例えばバス４３によってランダムアクセスメモリ４２に関連付けられ、かつ他方では、例えばバス４５を介して不揮発性メモリ４４（例えば、ＥＥＰＲＯＭタイプのもの）に関連付けられている、マイクロプロセッサ４１を備える。バス４３とバス４５とは、１つの同じバスとすることもできる。マイクロプロセッサ４１は、セキュアな暗号プロセッサとすることができる。
【0068】
データ処理デバイス４０、具体的にはデータ処理デバイスが内蔵しているマイクロプロセッサ４１は、通信インタフェース５０によって、外部デバイスとデータを交換することができる。
【0069】
図２は、外部デバイス（図示せず）から受信され、通信インタフェース５０からマイクロプロセッサ４１に送信される、入力データＸの伝送を概略的に示している。同様に、外部デバイスに向けた、マイクロプロセッサ４１から通信インタフェース５０への、出力データＹの伝送が示されている。この出力データＹは、一般に入力データＸに対する、本システムの内部の秘密データ６０、例えばメモリに記憶されている秘密鍵を使用した、マイクロプロセッサ４１によるデータの処理に由来するものである。
【0070】
入力データＸ及び出力データＹは、本発明による暗号処理アルゴリズムの入力データＥ及び出力データＳとすることができ、典型的には、入力における平文メッセージ（又は、代替的には暗号）、及び出力における暗号化されたメッセージ（又は、代替的には平文メッセージ）である。変形例として、データＸ、Ｙ、及びＥ、Ｓが、全体的に又は部分的に異なるような、デバイス４０における入力データＸ及び／又は暗号Ｓに対する他の処理操作を予見することもできる。
【0071】
この図では、入力データと出力データとは、２つの異なる矢印で表されているが、マイクロプロセッサ４１とインタフェース５０との間の通信を容易にする物理的手段を、唯一の手段によって、例えばシリアル通信ポート又はバスによって提供することもできる。
【0072】
マイクロプロセッサ４１は、本発明に準拠した方法をデータ処理デバイス４０が実行することを可能にする、ソフトウェア（又は、コンピュータプログラム）を実行することができ、その実施例が、図４～図９に関連して以下で示される。このソフトウェアは、例えばメモリ４４内に記憶されている、マイクロプロセッサ４１の一連のコマンド命令から成る。
【0073】
変形例として、マイクロプロセッサ４１／不揮発性メモリ４４／ランダムアクセスメモリ４２の取り合わせを、特定用途向け回路によって置き換えることができ、この回路は、その場合、本発明による方法の様々なステップを実施するための手段を備える。
【0074】
データ処理デバイス４０としては、組み込み型（組み込みＳＥ、又はｅＳＥ）であっても、組み込み型ではなくてもよいセキュアエレメント、例えば、スマートカード、ＵＩＣＣカード（又は、組み込みユニバーサル集積回路カードを表す、ｅＵＩＣＣ）、又はＳＩＭカード（又は、ｅＳＩＭ）が挙げられる。
【0075】
図３は、図２に示されるような本発明の実装のための、暗号処理デバイスの一実施例を構成するスマートカードを示す。この場合、通信インタフェース５０は、例えば、スマートカードの接点によって作り出されている。スマートカードは、図２に示されるような、マイクロプロセッサ４１、ランダムアクセスメモリ４２、及び不揮発性メモリ４４を内蔵している。
【0076】
このスマートカードは、例えば、ＩＳＯ７８１６規格に準拠しており、マイクロプロセッサ（又は、ＣＰＵ）４１とランダムアクセスメモリ４２とを組み合わせた、セキュアなマイクロコントローラを装備している。
【0077】
変形例として、暗号処理デバイスは、ＵＳＢスティック、文書又は紙情報媒体内に含めることができ、それらの文書又は紙情報媒体は、そのシートのうちの１つに、非接触通信手段に関連付けられているマイクロ回路を含む。好ましい方式では、それは、携帯用又はポケット用電子エンティティである。当然ながら、本発明はまた、パーソナルコンピュータ又はサーバに装備されている暗号処理デバイスにも適用される。
【0078】
そのような暗号処理デバイスは、例えば、処理（例えば、暗号化又は署名）するべきバイナリメッセージＥを受け取り、暗号Ｓを返すことができる。
【0079】
以下の実施例では、主に、メッセージＥを暗号化するためのＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ；高度暗号化標準）タイプの暗号操作ＯＰＥについて言及する。メッセージＥのサイズは、例えば、Ｌ＝１２８ビット（すなわち、１６バイト）である。
【0080】
当然ながら、本発明は、暗号化及び／又は署名であるか否かに関わりなく、任意のタイプの暗号操作に適用される。同様に、本発明は、入力メッセージＥの任意の（ビット単位の）サイズＬ、優先的には整数（１以上）のバイトに適用される。
【0081】
図４は、本発明による改善された対策の一般的原理を概略的に示す。
【0082】
先行技術の手法とは対照的に、拡散関数によって修正するために、注入された誤り「ｅ」を取得することは、もはや求められていない。本発明によれば、注入された誤りは、それにも関わらず拡散されるが、入力メッセージＥに対する暗号操作の実行から直接取得された第１の暗号ｃ０及びｃ１に（関数Ｆを介して）由来する、中間暗号Ｃ０及びＣ１自体の中で拡散される。
【0083】
例えばＸＯＲ１０、ＸＯＲ１１を介した、種々の暗号の最終的な再結合は、それらの暗号のうちの１つにおいて拡散された誤りを、再注入することを可能にする。
【0084】
ここでは、中間暗号Ｃ０及びＣ１のペアを取得するために、入力データＥに対して、同じ暗号操作ＯＰＥの実行を数回見出すことができるが、より一般的には、以降で開示されるように、中間メッセージの１つ以上のペアが取得される。簡易な方式では、また実施形態によれば、中間暗号は単純に、暗号操作の実行から直接得られた第１の暗号とすることができ、すなわち、Ｃ０＝ｃ０及びＣ１＝ｃ１であるか、あるいは、これらの実行から得られた第１の暗号を、組み合わせるか、混合するか、又は連結している（「｜｜」は連結演算子である）ものとすることができ、例えば、Ｃ０＝ｃ０｜｜ｃ１、及びＣ１＝ｃ１｜｜ｃ０である。
【0085】
次いで、中間暗号の各ペアに対して、拡散処理が実行される。
【0086】
同じ拡散関数が、そのペアの２つの中間暗号に適用される。このことにより、２つの感染暗号ｇ０、ｇ１を取得することが可能となる。特に、任意のタイプの拡散関数を使用することが可能であり、特に、中間暗号０を感染暗号０としてマッピングしないものを使用することが可能である。以下で開示されるように、中間暗号のいくつかのペアを生成することが可能である場合、拡散関数は、中間暗号のペアごとに異なる。
【0087】
次いで、感染暗号ｇ０、ｇ１は、暗号操作の実行から得られた１つ以上の第１の暗号（ここでは、ｃ０及びｃ１）のビット、オプションとして、それらの暗号を連結している中間暗号を介して回収されたビットの選択に由来する（Ｒｅｃ関数）、再構成された暗号Ｃｒｅｃと組み合わされる。そのようにして、出力暗号Ｓが取得される。
【0088】
図に示されるように、感染暗号と再構成された暗号とは、典型的には、排他的論理和（又は、ＸＯＲ）論理演算子を使用して組み合わされ、これにより操作が簡略化される。変形例として、「＋」演算子と、その逆の「－」演算子とを使用して、これらの種々の暗号を組み合わせることも可能であり、Ｃｒｅｃ＋ｇ０－ｇ１である。
【0089】
また、図には、この組み合わせが最初に、再構成された暗号を感染暗号のうちの一方（ここでは、ＸＯＲ１０によってｇ０）と組み合わせて、その後続けて、その結果を他方の感染暗号（ここでは、ＸＯＲ１１によってｇ１）と組み合わせることも示されている。
【0090】
この図における対策が、故障注入攻撃に対する保護を提供する場合には、暗号の組み合わせのこの順序は、更に、ＸＯＲの一方を攻撃する第２の故障からも保護する。
【0091】
拡散関数ｆｄｉｆｆは、好ましくは、同じ長さの暗号に対する組み合わせ操作（ＸＯＲ）を実行することが可能となるように、長さＬの（ビット数の）感染暗号を返す。拡散関数が、Ｌよりも大きい長さを有する感染暗号を返す場合には、暗号とのＸＯＲ（組み合わせ）は、共通の長さ（組み合わされる２つの暗号内に存在しているビット）に対して実行される。
【0092】
一実施形態では、拡散関数ｆｄｉｆｆは、１つ以上の鍵又は「パラメータ」に基づく、擬似乱数生成器（ＰＲＮＧ）、例えば３ラウンドのＡＥＳである（それゆえ、ＰＲＮＧはＡＥＳベースである）。当然ながら、典型的にはハッシュ関数を含めた、他のタイプの拡散関数を使用することもできる。
【0093】
擬似乱数生成器は、完全にランダムな値と殆ど区別できない可能性が高い、感染暗号を生成することが可能であるという点で、暗号処理操作に適している。そのようなＰＲＮＧ生成器としては、Ｙａｒｒｏｗ、Ｆｏｒｔｕｎａ、Ｂｌｕｍ Ｂｌｕｍ Ｓｈｕｂ、ＩＳＡＡＣ生成器、又は更に、複数ラウンドのＡＥＳが挙げられる。
【0094】
第１のいわゆる「ペア」鍵又はパラメータは、そのペアに固有のものであり、例えば、そのペアの一意識別子である。このことにより、同じ拡散アルゴリズムを使用して、ペアごとに異なる拡散関数を取得することが可能となる。このペア鍵は、中間暗号の単一のペアを有する実装形態の場合には、オプションである。
【0095】
第２のいわゆる「実行」鍵又はパラメータは、対策の実行ごとに修正され、すなわち、新たな入力メッセージから新たな出力メッセージをそれぞれ取得するために変化し、すなわち、対策の新たな実行のたびに変化する。このことにより、本発明に、同じ拡散アルゴリズムを使用して、対策のいくつかの実行にわたる堅牢性が付与される。例として、暗号システムによって生成される、ランダム値とすることができる。好ましくは、対策の同じ実行の間は、全ての拡散関数に関して同じ実行鍵が使用される。このことにより、ランダム値の生成を、対策の実行による単一のランダム値に限定することが可能となる。
【0096】
当然ながら、２つの鍵を、単一の鍵（例えば、２つの鍵の連結の結果）の形態で、一体に操作することもできる。
【0097】
前述のように、本発明は、各中間暗号（より一般的には、メッセージ）が、暗号操作の実行のうちの１つから直接得られた第１の暗号である実施形態を提案している。図４の関数Ｆは、この場合、恒等式：Ｃｉ＝ｃｉである。これらの実施形態が、図５～図８によって示されている。
【0098】
図５によって示されている対策は、対策が実行されるたびに実行鍵が変更される限り、オプションとして対策のいくつかの実行にわたって、故障注入に対して耐性がある。
【0099】
暗号操作ＯＰＥ、例えばＡＥＳが、長さＬの入力データＥに対して２回実行される結果として、２つの第１の暗号ｃ０、ｃ１が取得され、長さＬの中間暗号の単一のペア（Ｃ０＝ｃ０、Ｃ１＝ｃ１）を形成する。恒等関数Ｆにより、用語「第１の暗号」と用語「中間暗号」とは同義である。
【0100】
単一の拡散関数ｆｄｉｆｆ、例えば、３ラウンドのＡＥＳなどのＰＲＮＧが、２つの中間暗号Ｃ０＝ｃ０、Ｃ１＝Ｃ１に適用される結果として、好ましくは長さＬの、２つの感染暗号ｇ０、ｇ１が取得される。拡散関数ｆｄｉｆｆは、中間暗号のうちの一方が含み得る潜在的な誤りを増幅する。
【0101】
再構成された暗号が、２つの第１の暗号のうちの一方で形成され、ここでは、Ｒｅｃ（ｃ０、ｃ１）＝ｃ０である。また、再構成関数Ｒｅｃは、この場合、その入力のうちの一方の恒等関数である。それゆえ、単一の故障の注入に対する感染対策のための、プロセッサ占有時間が短縮される。
【0102】
次いで、感染暗号ｇ０、ｇ１と、再構成された暗号Ｃｒｅｃ＝ｃ０とを組み合わせて、長さＬの出力暗号Ｓを取得する。図示のように、この組み合わせは、ＸＯＲ１０、ＸＯＲ１１を使用して実行することができ、
である。好ましくは、以下のステップが実行される：
【数5】
【数6】
【0103】
この構成では、ｃ０を導入する前に感染暗号を互いに組み合わせるのではなく、再構成された暗号ｃ０は、最初に、感染暗号ｇ０及びｇ１のうちの一方と組み合わされる。このことは更に、ＸＯＲの一方を攻撃する追加的誤りの注入に対しての、保護を提供する。
【0104】
図６は、故障の注入に対して耐性のある、改善された感染対策の変形例を示す。この場合も同様に、この対策は、実行鍵が提供され、対策が実行されるたびに変更される限り、そのいくつかの実行に対する攻撃（単一の故障の注入）に対して耐性がある。
【0105】
前出の図と同様に、暗号操作ＯＰＥ、例えばＡＥＳが、長さＬの入力データＥに対して２回実行される結果として、長さＬの中間暗号のペア（Ｃ０＝ｃ０、Ｃ１＝ｃ１）が取得される。恒等関数Ｆにより、用語「第１の暗号」と用語「中間暗号」とは同義である。
【0106】
同じ拡散関数ｆｄｉｆｆが、それらに適用される結果として、２つの感染暗号ｇ０、ｇ１が取得される。
【0107】
２つの暗号Ｃ０＝ｃ０、Ｃ１＝ｃ１はまた、再構成関数Ｒｅｃを使用して、第１の暗号ｃ０、ｃ１からビットを選択することによって、長さＬの再構成された暗号Ｃｒｅｃを形成するように処理される。操作ＯＰＥの実行から直接取得された第１の暗号が、ここで組み合わされる場合には、その結果は、関数Ｆが恒等式であるため、中間暗号Ｃ０、Ｃ１と同一である。
【0108】
再構成された暗号Ｃｒｅｃの各ビットは、第１の暗号ｃ０、ｃ１のうちの一方に由来するものであり、そのビットが由来する第１の暗号内でのビットの位置と同じ位置を、再構成された暗号内で占めている。換言すれば、Ｃｒｅｃ（ｉ）＝ｃ０（ｉ）又はｃ１（ｉ）であり、ｘ（ｉ）は、暗号ｘにおけるインデックスｉのビットｂｉを表している。一般に、長さＬの暗号ｘは、ビット｛ｂＬ－１、ｂＬ－２、．．．、ｂ２、ｂ１、ｂ０｝で形成されている。
【0109】
図６のこの変形例では、再構成された暗号Ｃｒｅｃは、そのペアの２つの第１の暗号に由来するビットで形成されており、すなわち、Ｃｒｅｃ（ｉ）がｃ０に由来し、Ｃｒｅｃ（ｊ）がｃ１に由来するような、少なくとも１つのｉ及び１つのｊが存在している。
【0110】
再構成関数は、好ましくは（必須ではないが）、各ｃｉから同じ数のビットを公平に使用する。
【0111】
いくつかの選択スキームを想到することができる。例えば、Ｃｒｅｃのビットのうちの半分は、第１の暗号ｃ０、ｃ１のそれぞれに由来する。しかしながら、例えば、再構成された暗号Ｃｒｅｃを形成する１つ以上のバイト又は全てのバイト内に、各暗号ｃ０、ｃ１の少なくとも１つのビットを提供する、別のビット分布を想到することもできる。
【0112】
例として、２ビットのうちの１ビットが、暗号ｃ０、ｃ１の一方又は他方に由来し得る。例えば、Ｌ／２＞ｉ≧０（Ｌは暗号の長さ）のいずれにおいても、Ｃｒｅｃ（２ｉ）＝ｃ０（２ｉ）、及びＣｒｅｃ（２ｉ＋１）＝ｃ１（２ｉ＋１）であり、また、ブール記法では、以下のようにも記述される：
∧はＡＮＤ演算子であり、
は排他的論理和演算子（ＸＯＲ）である。ビットの他の分布が、半分に分割されていても、想到することができる。例えば、
であり、より一般的には、
であり、ここで、
である。
【数7】
【数8】
【数9】
【数10】
【数11】
【0113】
故障の注入が存在しない場合、Ｃｒｅｃ＝ｃ０＝ｃ１が求まる。故障の注入が存在する場合、Ｃｒｅｃは、ｃ０及び／又はｃ１とは異なっている可能性が高い。
【0114】
次いで、感染暗号ｇ０、ｇ１と、再構成された暗号Ｃｒｅｃとを組み合わせて、出力暗号Ｓを取得する。図示のように、この組み合わせは、ＸＯＲ１０、ＸＯＲ１１を使用して生成することができ、
である。好ましくは、以下のステップが実行される：
【数12】
【数13】
【0115】
この構成では、Ｃｒｅｃを導入する前に感染暗号を互いに組み合わせるのではなく、再構成された暗号Ｃｒｅｃは、最初に、感染暗号ｇ０及びｇ１のうちの一方と組み合わされる。
【0116】
図７は、対策の実行に対する２つの故障の注入に対して耐性のある、改善された感染対策の変形例を示す。この対策は、実行鍵が提供され、対策が実行されるたびに変更される場合、そのいくつかの実行に対する故障注入攻撃に対して耐性がある。
【0117】
暗号操作ＯＰＥ、例えばＡＥＳが、入力データＥに対して４回実行される結果として、４つの第１の暗号ｃ０～ｃ３、４つの中間暗号Ｃ０＝ｃ０～Ｃ３＝ｃ３が取得され、中間暗号の２つのペア（ｃ０、ｃ１）及び（ｃ２、ｃ３）、すなわち一般には、ペア「ｐｉ」に関して（ｃ２ｉ、ｃ２ｉ＋１）を形成する。当然ながら、この連続インデックスによるペアの編成は、説明の簡略化を目的とする例示的なものに過ぎない。恒等関数Ｆにより、用語「第１の暗号」と用語「中間暗号」とは同義である。
【0118】
各ペア「ｐｉ」に関して、そのペアの２つの暗号（ｃ２ｉ、ｃ２ｉ＋１）に、単一の拡散関数ｆｄｉｆｆ－ｉが適用される。それゆえ、４つの感染暗号ｇ０～ｇ３が取得される。
【0119】
ｆｄｉｆｆ－０は、第１のペアｐ０に関する拡散関数であり、ｆｄｉｆｆ－１は、第２のペアｐ１の拡散関数である。上述のように、これらの拡散関数は、例えば、異なる鍵を使用する３ラウンドのＡＥＳなどの、ＰＲＮＧ、特にＡＥＳベースのＰＲＮＧとすることができる。
【0120】
いくつかの実施形態では、拡散関数は、ペア鍵及び実行鍵に基づく。例として、ペア鍵及び／又は実行鍵を、拡散関数の入力において、暗号と連結するか又はＸＯＲを取ることができる。このことにより、連結された入力、又はＸＯＲが取られた入力に対して、同じ拡散アルゴリズムを実行しながらも、ペアごとに異なり、かつ対策の実行ごとに異なる拡散関数を、容易に取得することが可能となる。
【0121】
暗号のペアごとに異なる鍵に基づく、擬似乱数生成器の使用は、本発明の一実施形態に過ぎない。一般に、拡散関数は、暗号のペアごとに異なる。更には、それはまた、対策の実行ごとに変化する。
【0122】
４つの暗号ｃ０～ｃ３はまた、再構成関数Ｒｅｃを使用して処理されるが、その目的は、暗号ｃ０～ｃ３からビットを選択することによって、再構成された暗号Ｃｒｅｃを形成することである。再構成された暗号Ｃｒｅｃの各ビットは、暗号ｃ０～ｃ３のうちの１つに由来するものであり、そのビットが由来する暗号内でのビットの位置と同じ位置を、再構成された暗号内で占めている。換言すれば、Ｃｒｅｃ（ｉ）＝ｃ０（ｉ）又はｃ１（ｉ）又はｃ２（ｉ）又はｃ３（ｉ）である。
【0123】
セキュリティ上の理由から、再構成された暗号Ｃｒｅｃは、優先的には、少なくとも２つの異なるペアからの暗号に由来するビットで形成され、２つの異なる暗号のみに由来するものではない。
【0124】
暗号の２つのペアのみを提示しているこの図の場合、再構成された暗号Ｃｒｅｃは、それぞれのペアの暗号に由来するビットで形成されている。
【0125】
再構成関数は、対抗するべき攻撃に基づいて選択することができる。例として、ＡＥＳ－１２８暗号操作に対するＤＦＡ（Ｄｉｆｆｅｒｅｎｔｉａｌ Ｆａｕｌｔ Ａｎａｌｙｓｉｓ；差分故障解析）タイプの攻撃は、その暗号の４バイトを修正し、これらの修正を悪用することに基づくものである。
【0126】
一般的な方式では、攻撃は一般に、暗号の１バイト、数バイト、又は更に全てのバイトへの修正を悪用する。
【0127】
この状況では、再構成された暗号Ｃｒｅｃの少なくとも１つ以上のバイト又は各バイトが、少なくとも２つの異なるペア、又は更に、３つ以上のペア、若しくは可能である場合には全てのペア（例えば最大８つのペア）の暗号に由来するビットで形成されるように、再構成関数を選択することができる。このことにより、暗号の単一のペアに対応している操作ＯＰＥの実行に、同じ故障を注入する特定の攻撃に対して、対策をセキュリティ保護することが可能となる。
【0128】
上述のように、いくつかの選択／再構成スキームを想到することができる。
【0129】
再構成関数は、好ましくは（必須ではないが）、各ｃｉから、又は各ペアｐｉから、同じ数のビットを公平に使用する。例えば、Ｃｒｅｃのビットの４分の１は、暗号ｃ０～ｃ３のそれぞれに由来し得る。変形例として、Ｃｒｅｃのビットの半分は、各ペアｐｉの暗号に由来し得る。しかしながら、例えば、再構成された暗号Ｃｒｅｃを形成する１つ以上のバイト又は各バイト内に、暗号ｃ０～ｃ３のそれぞれの少なくとも１つのビットを提供する、別のビット分布を想到することもできる。
【0130】
例として、４ビットのうちの１ビットが、暗号ｃ０～ｃ３のそれぞれに由来し得る。例えば、
である。
この実施例は、同じペアの２つの暗号に由来する２つの連続ビットを使用しない、再構成関数の場合を示している。
【数14】
この実施例は、同じペアの２つの暗号に由来する２つの連続ビットを使用しない、再構成関数の場合を示している。
【0131】
ビットの他の分布が、４つに分割されていても、想到することができる。例えば、
であるが、また、
であり、
より一般的には、
であり、
である。
【数15】
【数16】
より一般的には、
【数17】
【数18】
【0132】
堅牢性を改善する一実施形態では、（ｉ及びｊの任意の値に関して）ａｉ∧ａｊ≠ｉ＝０は、単一の暗号のみからビットが回収されることを保証するものである。
【0133】
オプションとして組み合わせることが可能な、別の実施形態では、ａ０∨ａ１≠０及びａ２∨ａ３≠０（Ｖはブール演算子ＯＲ）は、各ペアから少なくとも１ビットが取得されることを保証するものである。
【0134】
故障の注入が存在しない場合、Ｃｒｅｃ＝ｃ０＝ｃ１＝ｃ２＝ｃ３が求まる。故障の注入が存在する場合、Ｃｒｅｃは、ｃ０～ｃ３とは異なっている可能性が高い。
【0135】
次いで、感染暗号ｇ０～ｇ３と、再構成された暗号Ｃｒｅｃとを組み合わせて、出力暗号Ｓを取得する。図示のように、この組み合わせは、ＸＯＲ１０、ＸＯＲ１１を使用して生成することができ、
である。
【数19】
【0136】
当然ながら、感染暗号は、異なる順序で使用することもできる。更には、異なるペアに由来する感染暗号を交互にすることが好ましい場合には、単一のペアの２つの暗号で最初のＸＯＲを生成し、次いで、他のペアの２つの暗号で最後のＸＯＲを生成することも同様に可能である。
【0137】
好ましくは、以下のステップが実行される：
【数20】
【0138】
この構成では、Ｃｒｅｃを導入する前に２つ以上の感染暗号を互いに組み合わせるのではなく、再構成された暗号Ｃｒｅｃは、最初に、感染暗号ｇ０～ｇ３のうちの１つと組み合わされる。再構成された暗号Ｃｒｅｃが、初期サブステップの間に感染暗号のうちの１つと組み合わされ、次いで、いくつかの連続する後続サブステップの間に、他の感染暗号のそれぞれが、従前のサブステップの結果と組み合わされる。
【0139】
図７のこの実施形態は、本発明による改善された対策を、（その対策が有効となる、故障の注入の数の観点で）所望のセキュリティレベルにスケーリングすることができる点を示している。このスケーリングは、中間暗号の新たなペアｐｉを追加するために、操作ＯＰＥの実行を重複させることによって、及び、新規の専用の拡散関数ｆｄｉｆｆ－ｉを使用することによって実行される。
【0140】
また、任意の数の故障の注入に対して耐性がある、改善された感染対策を得ることも可能である。
【0141】
それゆえ、図８は、対策の単一の実行に対するｄ個の故障（ｄは１以上の整数）の注入に対して耐性のある、改善された感染対策を示す。それゆえ、この感染対策は、セッション鍵の生成などの機序に、特に良好に適している。
【0142】
更には、この対策は、実行鍵が提供され、対策が実行されるたびに変更される場合、そのいくつかの実行に対する故障注入攻撃に対して耐性がある。
【0143】
ｄの最大値は、保護するべきＯＰＥアルゴリズムに、及び／又は、対象とする攻撃のタイプに依存し得る。例えば、ＡＥＳは、３２ビットの不正な暗号を対象とする攻撃の影響を受けやすいため、ｄに関する最大値は３１である。換言すれば、この最大値は、攻撃の対象となり得る暗号の最小ビット数から、１を減じたものである。
【0144】
暗号操作ＯＰＥ、例えばＡＥＳが、入力データＥに対して２ｄ回実行される結果として、操作ＯＰＥの実行に直接由来する２ｄ個の第１の暗号ｃ０～ｃ２ｄ－１に等しい、２ｄ個の中間暗号Ｃ０～Ｃ２ｄ－１が取得される。それらは、暗号のｄ個のペア（ｃ０、ｃ１）、（ｃ２、ｃ３）．．．（ｃ２ｄ－２、ｃ２ｄ－１）、すなわち一般には、ペアｐｉに関して（ｃ２ｉ、ｃ２ｉ＋１）を形成する。当然ながら、この連続インデックスによるペアの編成は、説明の簡略化を目的とする例示的なものに過ぎない。この場合も同様に、恒等関数Ｆにより、用語「第１の暗号」と用語「中間暗号」とは同義である。
【0145】
操作ＯＰＥの多重実行は、全体的若しくは部分的に、同時及び／又は順次とすることができる。
【0146】
各ペアｐｉ（０≦ｉ＜ｄ）に関して、そのペアの２つの暗号（ｃ２ｉ、ｃ２ｉ＋１）に、単一の拡散関数ｆｄｉｆｆ－ｉ、例えば、ペア鍵Ｋｉ（ｉ≠ｊである任意のｉ、ｊに関して、Ｋｉ≠Ｋｊ）及びオプションとして実行鍵（ランダム値）を使用する３ラウンドのＡＥＳなどの、ＰＲＮＧが適用される。それゆえ、１つのペア当たり２つの感染暗号ｇ２ｉ～ｇ２ｉ＋１が取得され、すなわち、合計で２ｄ個の感染暗号ｇ０～ｇ２ｄ－１が取得される。
【0147】
拡散関数について上述された説明はまた、この実施形態にも適用される。例えば、暗号のペアごとに異なる鍵Ｋｉに基づく、擬似乱数生成器の使用は、本発明の一実施形態に過ぎない。一般に、拡散関数は、暗号のペアごとに異なる。使用される１つ以上の拡散関数は、ＰＲＮＧとすることができるが、１つ以上の他の拡散関数は、１つ以上の他のタイプ、例えばハッシュ関数とすることもできる。また、ペア鍵及び／又は実行鍵を、拡散関数の入力において、中間暗号と連結するか又はＸＯＲを取ることもできる。
【0148】
２ｄ個の暗号ｃ０～ｃ２ｄ－１はまた、再構成関数Ｒｅｃを使用して処理されるが、その目的は、暗号ｃ０～ｃ２ｄ－１からビットを選択することによって、再構成された暗号Ｃｒｅｃを形成することである。再構成された暗号Ｃｒｅｃの各ビットは、暗号ｃ０～ｃ２ｄ－１のうちの１つに由来するものであり、そのビットが由来する暗号内でのビットの位置と同じ位置を、再構成された暗号内で占めている。換言すれば、Ｃｒｅｃ（ｉ）＝ｃｊ（ｉ）であり、ｊ＝０～２ｄ－１である。
【0149】
セキュリティ上の理由から、再構成された暗号Ｃｒｅｃは、優先的には、少なくとも２つの異なるペアからの暗号に由来するビットで形成され、２つの異なる暗号のみに由来するものではない。
【0150】
特定の一実施形態では、再構成された暗号Ｃｒｅｃは、それぞれのペアの暗号に由来するビットで形成されている。このことにより、操作ＯＰＥの異なる実行に注入された誤りのうちの一部を、再構成された暗号内に、統計的に混合することが可能となる。
【0151】
再構成関数は、対抗するべき攻撃に基づいて選択することができる。例として、ＡＥＳ－１２８暗号操作に対するＤＦＡ（差分故障解析）タイプの攻撃は、（ＡＥＳにおけるＭｉｘＣｏｌｕｍｎｓ操作のサイズにより）暗号の４バイトを修正し、これらの修正を悪用することに基づくものである。
【0152】
一般的な方式では、攻撃は一般に、暗号の１バイト、数バイト、又は更に全てのバイトへの修正を悪用する。
【0153】
この状況では、再構成された暗号Ｃｒｅｃの少なくとも１つ以上のバイト又は各バイトが、少なくとも２つの異なるペア、又は更に、３つ以上のペア、若しくは可能である場合には全てのペア（例えば、１バイト当たり最大８つのペア）の暗号に由来するビットで形成されるように、再構成関数を選択することができる。このことにより、暗号の或る１つのペアに対応している操作ＯＰＥの実行に、同じ故障を注入する特定の攻撃に対して、対策をセキュリティ保護することが実際に可能となる。
【0154】
上述のように、いくつかの選択／再構成スキームを想到することができる。
【0155】
再構成関数は、好ましくは（必須ではないが）、各ｃｉから、又は各ペアｐｉから、同じ数のビットを公平に使用する。例えば、Ｃｒｅｃのビットの１／２ｄは、暗号ｃ０～ｃ２ｄ－１のそれぞれに由来し得る。変形例として、Ｃｒｅｃのビットの１／ｄは、各ペアｐｉの暗号に由来し得る。しかしながら、例えば、再構成された暗号Ｃｒｅｃを形成する１つ以上のバイト又は各バイト内に、暗号ｃ０～ｃ２ｄ－１のそれぞれの少なくとも１つのビットを提供する、別のビット分布を想到することもできる。
【0156】
例として、２ｄビットごとに１ビットが、暗号ｃ０～ｃ２ｄ－１のそれぞれに由来し得る。ｄが、２のべき乗ではない場合には、特定の暗号に関して、他の暗号と比較して余分のビットを選択することができる。
【0157】
典型的には、ｄが、２のべき乗である場合には、以下の再構成関数を使用することができ、
ここでｘ＜＜ｙは、ｘのビットを、左にｙ位置（ビット）シフト（ローテーション）させるものである。
【数21】
【0158】
当業者は、少なくとも２つの別個のペアの暗号に由来するビットの選択、オプションとして、同じバイト内、いくつかのバイトのそれぞれ、又は更に、再構成された暗号の各バイトの、ビットの選択を保証する、再構成関数を特定することが可能である。
【0159】
例えば、
であり、
である。
【数22】
【数23】
【0160】
堅牢性を改善する一実施形態では、（全てのｉ及びｊに関して）ａｉ∧ａｊ≠ｉ＝０である。
【0161】
更には、少なくとも１つのビットが、ｎ（例えば、ｎ＝２）個の別個の暗号のペアから選択されることを保証するために、少なくともｎ個の異なるｉの値に関して、ａｉ∨ａｄ＋ｉ≠０とする。この条件は、ａｉの全てのビットに適用されるが、変形例として、所望される制約に応じて、ａｉの特定のバイト、いくつかのバイト、いくつかのバイトのそれぞれ、又は各バイトに適用することもできる。
【0162】
故障の注入が存在しない場合、Ｃｒｅｃ＝ｃｉ、ｉ＝０．．．２ｄ－１が求まる。故障の注入が存在する場合、Ｃｒｅｃは、ｃ０～ｃ２ｄ－１とは異なっている可能性が高い。
【0163】
次いで、感染暗号ｇ０、ｇ２ｄ－１と、再構成された暗号Ｃｒｅｃとを組み合わせて、出力暗号Ｓを取得する。図示のように、この組み合わせは、ＸＯＲ１０、ＸＯＲ１１を使用して生成することができ、
である。
【数24】
【0164】
当然ながら、感染暗号は、異なる順序で使用することもできる。更には、異なるペアに由来する感染暗号を交互にすることが好ましい場合には、単一のペアの２つの暗号で、２つの連続するＸＯＲを実行することも同様に可能である。
【0165】
好ましくは、以下のステップは、Ｃｒｅｃを導入する前に２つ以上の感染暗号を互いに組み合わせるのではなく、最初に、再構成された暗号Ｃｒｅｃを感染暗号ｇ０～ｇ２ｄ－１のうちの１つと組み合わせて、次いで、それぞれの連続する組み合わせの結果を、他の感染暗号のそれぞれと組み合わせることによって実行される。
【0166】
図５～図８によって示されている感染対策は、１つの実行に対するｄ個の故障の注入に対して耐性があるが、それらは、いくつかの実行にわたって同程度のセキュリティを保証するものではない（１つの故障に対する保護のみである）。
【0167】
図９に関連して以降で提示される実施形態は、特に、１つの実行に対するｄ個の故障の注入に対して、及び、対策のいくつかの実行に対するｄ個の故障の注入の繰り返しに対して、強化されたセキュリティを提供する。ｄの最大値（ｄは１以上の整数）は、図８を参照して上述した通りである。
【0168】
更には、これらの実施形態は、以下で説明されるように、操作ＯＰＥの実行及び拡散関数の数が、実質的に（２ｄと比較して、ｄ又はｄ＋１まで）低減されるため、より複雑ではないという利点を有する。
【0169】
これらの実施形態では、各中間暗号Ｃｉは、暗号操作の実行から直接得られた第１の暗号ｃｉのうちのいくつか又は全てを、組み合わせるか若しくは連結している暗号である。換言すれば、関数Ｆ（図４）は、恒等関数ではなく、第１の暗号ｃｉの全て又は一部を組み合わせるものである。
【0170】
暗号操作ＯＰＥ、例えばＡＥＳが、長さＬの入力データＥに対してｄ＋１回実行される結果として、操作ＯＰＥの実行に直接由来するｄ＋１個の第１の暗号ｃ０～ｃｄが取得される。第１の暗号の混合関数Ｆにより、中間暗号のｋ個のペア（Ｃ０、Ｃ１）、（Ｃ２、Ｃ３）．．．、又は一般には、ペアｐｉに関して（Ｃ２ｉ、Ｃ２ｉ＋１）を生成することが可能となる。当然ながら、この連続インデックスによるペアの編成は、説明の簡略化を目的とする例示的なものに過ぎない。
【0171】
操作ＯＰＥの多重実行は、全体的若しくは部分的に、同時及び／又は順次とすることができる。
【0172】
ｋはｄに依存しており、ｄが偶数である場合には、ｋ＝ｄ／２であり、ｄが奇数である場合には、ｋ＝（ｄ＋１）／２である。また、ｄが偶数である場合には、関数Ｆは、ペアへと編成される中間暗号を生成する。ｄが奇数である場合には、関数Ｆは、ペアへと編成されるｄ＋１個の中間暗号を生成する。ｄ＝２である場合には、上記の実施形態に関する図５又は図６と同様に、中間暗号の１つのペアが求まる。ｄ＝３又は４である場合には、上記の実施形態に関する図７と同様に、中間暗号の２つのペアが求まる。
【0173】
関数Ｆは、第１の暗号ｃ０～ｃｄの全て又は一部の連結から、中間暗号Ｃｉを生成し、これらは、中間暗号ごとに異なっている。
【0174】
関数Ｆは、操作ＯＰＥのｎ個の（２つ以上の）実行に対する（それゆえ、２つ以上のｃｉにおける）同じ故障の注入の結果として、過度に多くの同一の中間暗号のペアが取得され、最終的なＸＯＲ１０、ＸＯＲ１１を介してそれらの打ち消しがもたらされることがないように、選択することができる。この保護は、適切な連結を選択することによって可能であり、同じ拡散関数ｆｄｉｆｆ－ｉが、中間暗号の全てのペアではないにせよ、いくつかのペアに関して使用されることを可能にするという利点を提供する。
【0175】
例えば、ｄ＝３（それゆえ、ｋ＝２個のペア）に関しては、操作ＯＰＥの４つの実行が実施される結果として、ｃ０～ｃ３が取得される。長さ（ｄ＋１）Ｌの、４（２ｋ）個の中間暗号を、以下のように形成することができる：
Ｃ０＝ｃ０｜｜ｃ１｜｜ｃ２｜｜ｃ３、
Ｃ１＝ｃ１｜｜ｃ２｜｜ｃ３｜｜ｃ０、
Ｃ２＝ｃ２｜｜ｃ０｜｜ｃ１｜｜ｃ３、
Ｃ３＝ｃ３｜｜ｃ２｜｜ｃ０｜｜ｃ１。
Ｃ０＝ｃ０｜｜ｃ１｜｜ｃ２｜｜ｃ３、
Ｃ１＝ｃ１｜｜ｃ２｜｜ｃ３｜｜ｃ０、
Ｃ２＝ｃ２｜｜ｃ０｜｜ｃ１｜｜ｃ３、
Ｃ３＝ｃ３｜｜ｃ２｜｜ｃ０｜｜ｃ１。
【0176】
変形例として、中間暗号を、第１の暗号の別個のペア（スライディングペア）で単純に形成することも可能である。典型的には、ｄ＋１個の第１の暗号で構成されている、循環キューを巡覧していくことが可能である。
Ｃ０＝ｃ０｜｜ｃ１、
Ｃ１＝ｃ１｜｜ｃ２、
Ｃ２＝ｃ２｜｜ｃ３、
Ｃ３＝ｃ３｜｜ｃ０。
Ｃ０＝ｃ０｜｜ｃ１、
Ｃ１＝ｃ１｜｜ｃ２、
Ｃ２＝ｃ２｜｜ｃ３、
Ｃ３＝ｃ３｜｜ｃ０。
【0177】
テーブルの各行は、連結プロファイルを定義するものであり、各暗号ｃｉは、連結内での暗号位置を有している。
【0178】
各ペア（ｄ、ｋ）に関する、そのような連結テーブルを、デバイスのメモリ内に提供することができる。
【0179】
これらのテーブルの例は、最大でも
個の互いに素な連結プロファイルのペアが、ｎ個の第１のメッセージのグループに関して対称であることによる、より一般的な手法を示している。連結プロファイルのペアは、その２つの連結プロファイルが、連結内の同じメッセージ位置を使用して、ｎ個の第１のメッセージのグループに由来する第１のメッセージを位置付ける場合に、ｎ個の第１のメッセージのグループに関して対称であると言われる（プロファイルは、そのグループのｎ個の第１のメッセージのうちの一部のみを含み得るものであり、それらの全てを含むのではない）。この条件は、２～ｄの全てのｎの値に関して検証される。［ｘ］は、ｘ以下の最大整数である点に留意されたい。
【数25】
【0180】
それゆえ、このことにより、２つの中間暗号が同一であり、その結果、対応する感染暗号が、最終的な組み合わせの間にペアとなって打ち消し合う、
個のペアを有することが回避される。それゆえ、
個の感染暗号が、この組み合わせの間に打ち消し合わないことが保証され、２ｋ個の故障の注入に対する堅牢性が保証される。
【数26】
【数27】
【0181】
例えば、ｄ＝１６に関しては、１７個の第１の暗号ｃｉと、１６個の中間暗号Ｃｊとが取得される。それゆえ、２（ｎ）個の第１の暗号に関して対称である連結プロファイルのペアが２つ以上存在しないことを検証することによって、中間暗号を取得するための連結プロファイルが、２つの故障の注入（ｎ＝２）の影響を受けにくいことを検証することが可能である。逆の場合には、２つの対応する実行に対する２つの故障により、２つの対称のペアに関する４つ（以上）の同一の中間暗号が取得されるため、ＸＯＲ組み合わせの間に、対応する感染暗号を（同一の拡散関数の場合）打ち消すことが可能となるであろう。最大でも１２個の故障により、他の１２個のＸＯＲを短絡させることが可能となり、追加的な故障により、Ｃｒｅｃを介して、未感染の暗号の故障を取得することが可能となるであろう。それゆえ、１５個の故障は、対策を回避するために十分であろう。
【0182】
また、３（ｎ）個の第１の暗号に関して対称である連結プロファイルのペアが２つ以上存在しないことを検証することによって、連結プロファイルが、３つの故障の注入（ｎ＝３）の影響を受けにくいことも検証される。同様に、４つの故障の注入（ｎ＝４）に関しても、４（ｎ）個の第１の暗号に関して対称である連結プロファイルのペアが３つ以上存在しないことを検証することによって、検証される。以下、最大でｄ個の故障の注入（ｎ＝ｄ）に関して検証される。
【0183】
仮に、連結プロファイルの
個（以上）のペアが、ｎ個の第１の暗号のグループに関して対称であった場合には、中間暗号の１つ以上のペアを既存のペアに追加することによって、所望の堅牢性を提供することが可能であり、その場合、１つのペアの中間暗号は、２つの別個のプロファイルに従って、グループの暗号のうちの少なくとも１つを、グループにない第１の暗号のうちの少なくとも１つと組み合わせている。
【数28】
【0184】
例えば、そのグループにｃ０が属しており、ｃ３が属していない場合には、中間暗号ｃ０｜｜ｃ３と中間暗号ｃ３｜｜ｃ０とで形成されているペアを追加することができる。
【0185】
連結操作を簡略化する一変形例では、図に示されているように、暗号混合関数Ｆは、暗号操作の実行から直接得られた全ての第１の暗号ｃ０～ｃｄを連結して、（長さ（ｄ＋１）Ｌビットの）マスター暗号ＣＭを生成する、連結モジュールＣＯＮＣＡＴを含む。
【0186】
次いで、中間暗号を取得するために、同じマスター暗号に２ｋ個の操作Ｒｊを適用することができる。
【0187】
例えば、操作Ｒｊは、（循環キューとして動作する）ＣＭ内の２つの暗号を選択するための、スライディングウィンドウとすることができる。それゆえ、Ｒ０は、ｃ０及びｃ１を選択してＣ０（Ｃ０＝ｃ０｜｜ｃ１）を形成し、Ｒ１は、ｃ１及びｃ２を選択してＣ１（Ｃ１＝ｃ１｜｜ｃ２）を形成する、などとなる。
【0188】
変形例として、操作Ｒｊは、マスター暗号ＣＭの、Ｌビット（各暗号ｃｉの長さ）の倍数でのローテーション操作とすることもできる。
【0189】
例えば、中間暗号Ｃｊを取得するためのローテーションＲｊは、マスター暗号ＣＭのビットをｊＬビット左にシフトする（すなわち、暗号ｃｉをｊだけシフトする）ことを含み得る。それゆえ、ローテーションＲ０は、恒等式：Ｃ０＝ＣＭである。
【0190】
別の実施例では、Ｒ２ｊ＝Ｉｄであり、及びＲ２ｊ＋１は、恒等式とは異なる、Ｌビットの倍数によるマスター暗号ＣＭのビットの任意のローテーション（それゆえ、１つ以上の暗号ｃｉのローテーション）である。それゆえ、中間暗号の各ペアｐｉに関して、マスター暗号Ｃ２ｉ＝ＣＭと、暗号ｃ０～ｃｄの別の連結に由来する中間暗号Ｃ２ｉ＋１が存在している。
【0191】
これらの、ローテーションによる暗号の異なる混合は、操作ＯＰＥのいくつかの実行に対する同一の故障の場合に、同一の中間暗号が存在しないことを保証するものではないため、適用するべき拡散関数は、互いに異なるものとすることができる。特にペア鍵に基づく、またオプションとして実行鍵に基づく、拡散関数の例が上記で示されている。
【0192】
各ペアｐｉ（０≦ｉ＜ｋ）に関して、そのペアの２つの中間暗号（Ｃ２ｉ、Ｃ２ｉ＋１）に、単一の拡散関数ｆｄｉｆｆ－ｉが適用される。それゆえ、１つのペア当たり２つの感染暗号ｇ２ｉ～ｇ２ｉ＋１が取得され、すなわち、合計で２ｋ（ｄが偶数である場合にはｄ、ｄが奇数である場合にはｄ＋１）個の感染暗号ｇ０～ｇ２ｋ－１が取得される。それゆえ、感染暗号は、２つずつ打ち消し合う。
【0193】
拡散関数について上述された説明はまた、この実施形態にも適用される。例えば、暗号のペアごとに異なる鍵Ｋｉに基づく、擬似乱数生成器の使用は、本発明の一実施形態に過ぎない。一般に、拡散関数は、暗号のペアごとに異なる。使用される１つ以上の拡散関数は、ＰＲＮＧとすることができるが、１つ以上の他の拡散関数は、１つ以上の他のタイプ、例えばハッシュ関数とすることもできる。また、ペア鍵及び／又は実行鍵を、拡散関数の入力において、中間暗号と連結するか又はＸＯＲを取ることもできる。
【0194】
いくつかの実施形態では、ペアのサブセットに対して単一の拡散関数を使用することが可能であり、これは、２つ以上のサブセットに対して可能である（拡散関数は、サブセットごとに異なる）。この場合、ペアの各サブセットにおいて使用される連結プロファイルは、上記で開示されたように、ｎ個の故障の注入の影響を受けにくい点を保証することが可能である（ｎは、当該のサブセットを構成する中間暗号の数によって制限される）。
【0195】
拡散関数が、Ｌの倍数の長さ（例えば、上記の実施例では２Ｌ又は（ｄ＋１）Ｌビット）の暗号の入力を受け取る実施形態では、それらは、好ましくは、長さＬビットの感染暗号を生成する点に留意されたい。それゆえ、使用される拡散関数は、（中間暗号を形成する）入力された暗号の倍数（実施例では、２又はｄ＋１）を吸収することが可能でなければならない。それゆえ、典型的には、ハッシュ関数を使用することができる。
【0196】
当然ながら、拡散関数の出力は、Ｌビットよりも長い場合もあり、その場合、組み合わせ（ＸＯＲ１０及びＸＯＲ１１）は、最下位ビットＬに作用する。
【0197】
図９の実施例では、第１の暗号ｃ０が、ＸＯＲ１０による最終的な組み合わせを目的とする、再構成された暗号Ｃｒｅｃとして使用されている。操作ＯＰＥの実行回数に関わりなく、任意の他の第１の暗号ｃｉを、代わりに使用することもできる。
【0198】
Ｃｒｅｃに関する単一の第１の暗号の使用は、図のダイヤグラムを簡略化する。
【0199】
変形例として、再構成された暗号Ｃｒｅｃは、第１の暗号ｃ０～ｃｄの全て又は一部のビットを選択することによって形成することもできる。再構成関数Ｒｅｃについて上述された説明はまた、この実施形態にも適用される。
【0200】
例えば、前述のスライディングペアによる変形例では、再構成された暗号Ｃｒｅｃは、同じ拡散関数を共有する各ペアの中間暗号（又は、より一般的には、全ての中間暗号）に由来する、ビット又はバイト又は暗号から形成される。
【0201】
【数29】
【0202】
故障の注入が存在しない場合、Ｃｒｅｃ＝ｃｉ、ｉ＝０．．．ｄが求まる。故障の注入が存在する場合、Ｃｒｅｃは、ｃ０～ｃｄとは異なっている可能性が高い。
【0203】
再構成が、第１の暗号ｃ０～ｃｄ内のビットを選択することによって実行することができる場合には、中間暗号が、いくつかの実施形態で第１の暗号ｃ０～ｃｄの全て又は一部を連結しているものである限り、この選択を、１つの（又は、複数の）中間暗号Ｃｉから実施することもまた可能である点に留意されたい。
【0204】
次いで、感染暗号ｇ０、ｇ２ｋ－１と、再構成された暗号Ｃｒｅｃとを組み合わせて、出力暗号Ｓを取得する。図示のように、この組み合わせは、ＸＯＲ１０、ＸＯＲ１１を使用して生成することができ、
【数30】
【0205】
当然ながら、感染暗号は、異なる順序で使用することもできる。更には、異なるペアに由来する感染暗号を交互にすることが好ましい場合には、単一のペアの２つの感染暗号で、２つの連続するＸＯＲを実現することも同様に可能である。
【0206】
好ましくは、以下のステップは、Ｃｒｅｃを導入する前に２つ以上の感染暗号を互いに組み合わせるのではなく、最初に、再構成された暗号Ｃｒｅｃを感染暗号ｇ０～ｇ２ｋ－１のうちの１つと組み合わせて、次いで、それぞれの連続する組み合わせの結果を、他の感染暗号のそれぞれと組み合わせることによって実行される。
【0207】
本発明は、特定の実施形態を参照して上記で開示されてきたが、本発明は、これらの特定の実施形態に限定されるものではなく、本発明の範囲内で見出される修正が、当業者には明らかとなるであろう。
【0208】
数多くの他の修正及び変形が、上記の例示的実施形態を参照することによって、当業者に課せられることになるが、それらの実施形態は、例としてのみ与えられているものであり、本発明の範囲を限定するものではなく、本発明の範囲は、添付の請求項によってのみ決定される。特に、異なる実施形態の異なる特徴は、該当する場合、交換することができる。
【0209】
請求項では、用語「含む（comprising）」は、他の要素又はステップを排除するものではなく、不定冠詞「ａ」又は「ａｎ」は、複数を排除するものではない。異なる特徴が、互いに異なる従属請求項内に列挙されているという単なる事実は、これらの特徴の組み合わせが、有利に使用され得ないことを示すものではない。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【外国語明細書】