特開2022-83992暗号化ハッシュ関数の原像要素を決定するための方法、コンピュータプログラム、およびデータ処理システム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022083992
(43)【公開日】2022-06-06
(54)【発明の名称】暗号化ハッシュ関数の原像要素を決定するための方法、コンピュータプログラム、およびデータ処理システム
(51)【国際特許分類】
G06N 10/00 20220101AFI20220530BHJP
G09C 1/00 20060101ALI20220530BHJP
G06F 17/10 20060101ALI20220530BHJP
【ＦＩ】
G06N10/00
G09C1/00 650Z
G06F17/10 Z
【審査請求】有
【請求項の数】15
【出願形態】ＯＬ
【外国語出願】
(21)【出願番号】P 2021186248
(22)【出願日】2021-11-16
(31)【優先権主張番号】20209837
(32)【優先日】2020-11-25
(33)【優先権主張国・地域又は機関】EP
(71)【出願人】
【識別番号】521124319
【氏名又は名称】テラ クアンタム アーゲー
【氏名又は名称原語表記】ＴＥＲＲＡ ＱＵＡＮＴＵＭ ＡＧ
(74)【代理人】
【識別番号】100109210
【弁理士】
【氏名又は名称】新居 広守
(72)【発明者】
【氏名】パホムチク・アレクセイ
(72)【発明者】
【氏名】ヴォロシノフ・ヴラジーミル
【テーマコード（参考）】
5B056
【Ｆターム（参考）】
5B056BB91
(57)【要約】 （修正有）
【課題】暗号化ハッシュ関数の原像要素を決定する方法及びデータ処理システムを提供する。
【解決手段】方法は、暗号化ハッシュ関数の出力値及び暗号化ハッシュ関数のハッシュ関数演算が得られるステップ１０と、ハッシュ関数演算の各々について、方程式及び／又は不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ１１と、出力値と、暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、少なくとも１つの制約は、少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む最適化変数を含む、最適化問題を決定するステップ１２と、最適化問題を解き、少なくとも１つの原像変数の最適化した値から暗号化ハッシュ関数の原像要素を決定するステップ１３と、を含む。
【選択図】図３
【解決手段】方法は、暗号化ハッシュ関数の出力値及び暗号化ハッシュ関数のハッシュ関数演算が得られるステップ１０と、ハッシュ関数演算の各々について、方程式及び／又は不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ１１と、出力値と、暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、少なくとも１つの制約は、少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む最適化変数を含む、最適化問題を決定するステップ１２と、最適化問題を解き、少なくとも１つの原像変数の最適化した値から暗号化ハッシュ関数の原像要素を決定するステップ１３と、を含む。
【選択図】図３
【特許請求の範囲】
【請求項1】
データ処理システム（２０）で実行される、暗号化ハッシュ関数の原像要素を決定するための方法であって、
－暗号化ハッシュ関数の出力値および前記暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ（１０）と、
－前記ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ（１１）と、
－最適化問題を決定するステップ（１２）であって、
－前記出力値と、
－前記暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、
－前記暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、
前記少なくとも１つの制約は、前記少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む、最適化変数を含む、最適化問題を決定するステップと、
－前記最適化問題を解き（１３）、前記少なくとも１つの原像変数の最適化した値から前記暗号化ハッシュ関数の原像要素を決定するステップと
を含む、方法。
－暗号化ハッシュ関数の出力値および前記暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ（１０）と、
－前記ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ（１１）と、
－最適化問題を決定するステップ（１２）であって、
－前記出力値と、
－前記暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、
－前記暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、
前記少なくとも１つの制約は、前記少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む、最適化変数を含む、最適化問題を決定するステップと、
－前記最適化問題を解き（１３）、前記少なくとも１つの原像変数の最適化した値から前記暗号化ハッシュ関数の原像要素を決定するステップと
を含む、方法。
【請求項2】
前記ハッシュ関数演算は、非線形ブール関数、左ビット回転、右ビット回転、およびモジュラ加算のうちの少なくとも１つ、特に、
の少なくとも１つを含む、請求項１に記載の方法。
【数1】
【請求項3】
－前記ハッシュ関数演算のうちの少なくとも１つの要素的演算を決定するステップと、
－前記要素的演算の各々について、要素方程式および／または要素不等式を含む少なくとも１つの要素的関係を決定するステップ（１１ａ）と、
－前記少なくとも１つのハッシュ関数演算の前記要素的関係から前記少なくとも１つのハッシュ関数関係を決定するステップであって、
好ましくは、前記要素的演算は、ＮＯＴ、ＡＮＤ、ＯＲ、およびＸＯＲのうちの少なくとも１つを含む、決定するステップと、をさらに含む、請求項１または２に記載の方法。
－前記要素的演算の各々について、要素方程式および／または要素不等式を含む少なくとも１つの要素的関係を決定するステップ（１１ａ）と、
－前記少なくとも１つのハッシュ関数演算の前記要素的関係から前記少なくとも１つのハッシュ関数関係を決定するステップであって、
好ましくは、前記要素的演算は、ＮＯＴ、ＡＮＤ、ＯＲ、およびＸＯＲのうちの少なくとも１つを含む、決定するステップと、をさらに含む、請求項１または２に記載の方法。
【請求項4】
前記ハッシュ関数関係のうちの少なくとも１つおよび／または前記要素的関係のうちの少なくとも１つは、双線形方程式および／または線形方程式を含み、好ましくは連続変数、バイナリ変数、および整数の変数のうちの少なくとも１つを含む、請求項１から３のいずれか一項に記載の方法。
【請求項5】
前記連続および／またはバイナリ変数のうちの少なくとも１つが、初期の最適化問題、好ましくは制約付き二次問題を解くことによって決定される、請求項４に記載の方法。
【請求項6】
前記ハッシュ関数関係のうちの少なくとも１つおよび／または前記要素的関係のうちの少なくとも１つは、連続的な係数、好ましくは整数の値の係数、およびバイナリ変数の線形方程式を含む、請求項１から５のいずれか一項に記載の方法。
【請求項7】
前記最適化問題を解くときに、初期内部状態の値および／または最終的内部状態の値が固定される、請求項１から６のいずれか一項に記載の方法。
【請求項8】
前記最適化問題を解く前に、前記最適化問題を少なくとも部分的に事前に解くステップ（１２ａ）をさらに含む、請求項１から７のいずれか一項に記載の方法。
【請求項9】
前記最適化問題は、整数混合線形プログラム、整数混合非線形プログラム、または二次の非制約バイナリ最適化問題である、請求項１から８のいずれか一項に記載の方法。
【請求項10】
前記最適化問題は、前記データ処理システム（２０）の量子処理デバイス（２２）、好ましくは量子アニーリングデバイスにおいて少なくとも部分的に解かれる、請求項１から９のいずれか一項に記載の方法。
【請求項11】
前記最適化変数は量子状態の重ね合わせに割り当てられ、および／または前記オプティマイザは、前記最適化問題の最小値、好ましくは大域的最小値である、請求項１０に記載の方法。
【請求項12】
前記暗号化ハッシュ関数は、好ましくは認証および／またはデータ破損検出のために情報のセキュリティをもたらし、および／またはＭＤ４、ＭＤ５、ＳＨＡ－１、およびＳＨＡ－２のうちの１つである、請求項１から１１のいずれか一項に記載の方法。
【請求項13】
前記原像要素は、好ましくはデータの完全性および／またはプルーフオブワークのために、デジタル署名および／または検証されるメッセージおよび／またはデータファイルを含む、請求項１から１２のいずれか一項に記載の方法。
【請求項14】
コンピュータプログラムであって、前記コンピュータプログラムがデータ処理システム（２０）で実行されると、前記データ処理システム（２０）に、請求項１から１３のいずれか一項に記載の方法のステップを実行させる命令を含む、コンピュータプログラム。
【請求項15】
暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システム（２０）であって、
－暗号化ハッシュ関数の出力値および前記暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ（１０）と、
－前記ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ（１１）と、
－最適化問題を決定するステップ（１２）であって、
－前記出力値と、
－前記暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、
－前記暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、
前記少なくとも１つの制約は、前記少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む、最適化変数を含む最適化問題を決定するステップと、
－前記最適化問題を解き（１３）、前記少なくとも１つの原像変数の最適化した値から前記暗号化ハッシュ関数の原像要素を決定するステップと
を実行することによって、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システム。
－暗号化ハッシュ関数の出力値および前記暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ（１０）と、
－前記ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ（１１）と、
－最適化問題を決定するステップ（１２）であって、
－前記出力値と、
－前記暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、
－前記暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、
前記少なくとも１つの制約は、前記少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む、最適化変数を含む最適化問題を決定するステップと、
－前記最適化問題を解き（１３）、前記少なくとも１つの原像変数の最適化した値から前記暗号化ハッシュ関数の原像要素を決定するステップと
を実行することによって、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、特に量子アニーリングデバイスなどの量子コンピュータで、暗号化ハッシュ関数の原像要素を決定するための技術に関する。
【背景技術】
【0002】
反転の暗号化ハッシュ関数は、それぞれの暗号強度の分析に関する。式中Ｘが入力値の集合（入力ビットシーケンス、メッセージ）であり、Ｙが出力値の集合（ハッシュの値、固定の長さのビットシーケンス）であるハッシュ関数Ｈ：Ｘ→Ｙについて、Ｙにおける要素ｙのサイズ｜ｙ｜は通常、｜ｘ｜よりもはるかに小さい。したがって、ハッシュ関数は全単射ではなく、次式
Ｈ（ｘ）＝ｙ （１）
は一般に、多くの解を有し、すなわち、集合Ｈ（－１）（ｙ）＝｛ｘ：Ｈ（ｘ）＝ｙ｝（特定のハッシュの値ｙに対応する原像要素または逆像要素の集合）は多くの要素を含むことができる。それにもかかわらず、それらのいずれかの模索は、「強力な」ハッシュ関数の計算上困難な問題である。近年、ハッシュ関数は、ブロックチェーン技術における重要な要素として使用されている。最も計算電力を消費する段階、いわゆるマイニングはまた、以下の不等式を解くと理解され得る。
Ｈ（ｘ）＝ｙ （１）
は一般に、多くの解を有し、すなわち、集合Ｈ（－１）（ｙ）＝｛ｘ：Ｈ（ｘ）＝ｙ｝（特定のハッシュの値ｙに対応する原像要素または逆像要素の集合）は多くの要素を含むことができる。それにもかかわらず、それらのいずれかの模索は、「強力な」ハッシュ関数の計算上困難な問題である。近年、ハッシュ関数は、ブロックチェーン技術における重要な要素として使用されている。最も計算電力を消費する段階、いわゆるマイニングはまた、以下の不等式を解くと理解され得る。
【0003】
Ｈ（｛ｘ，ｘｆｉｘｅｄ｝）≦ｙ （２）
【0004】
式中、｛ｘ，ｘｆｉｘｅｄ｝は、未知の部分ｘ（いわゆるノンス、通常は４バイトのフィールド）と、ブロックヘッダを伴う固定された残りの部分ｘｆｉｘｅｄとを含むハッシュ関数Ｈの引数であり、ハッシュの値ｙは、所定の閾値に対応する。式（２）の左辺および右辺はビットシーケンスであるが、整数のバイナリ表現として解釈することもできる。これにより、式（２）から、ハッシュの値ｙの事前定義された先頭ビット数はすべて０に等しい。例えば、ハッシュ関数が１２８ビットのハッシュ関数Ｈである場合、ハッシュの値ｙは、ｙｍがシーケンス（ｙｋ）（ｋ＝１，…，１２８）内の最初の（左から）ゼロ以外のビットである（有限）シーケンスｙ＝（ｙｋ）（ｋ＝１，…，１２８）として書くことができる。したがって、式（２）は、以下に相当する。
【0005】
［Ｈ（｛ｘ，ｘｆｉｘｅｄ｝）］ｋ＝０（ｋ＝１：（ｍ－１）） （２’）
【0006】
ハッシュ関数Ｈの先頭ビット（ｍ－１）は０である。これにより、原像要素の集合のうちの１つを決定することができる。
【0007】
暗号化ハッシュ関数によって処理される入力にアクセスするか、またはそれを変更する主なタイプは、衝突攻撃と原像攻撃の２つである。衝突攻撃では、目標は、２つの異なるメッセージｘ１，ｘ２を見つけ、Ｈ（ｘ１）＝Ｈ（ｘ２）とすることである。ＭＤ５の暗号化ハッシュ関数に対するこのタイプの攻撃は既に知られており、約２１８ＭＤ５の圧縮を必要とし、これは依然として網羅的な探索（２６４ＭＤ５の圧縮を必要とする）よりもはるかに少ない。したがって、そのような攻撃は通常のＰＣで実行することができる。一方、原像攻撃は、より複雑であるが、衝突攻撃よりも強力である。原像攻撃の間、ｘは所与のｙに対して決定され、Ｈ（ｘ）＝ｙである。ＭＤ５の場合、そのような攻撃は現在、理論的なものに過ぎず、すなわち、網羅的な探索よりも少ないＭＤ５圧縮が必要とされるが（２１２３．４対２１２８）、既知の原像攻撃は、利用可能なコンピュータ上で完了することが、依然として事実上不可能である。
【発明の概要】
【0008】
本開示の目的は、効率的かつリソースを節約する方法で、暗号化ハッシュ関数によって処理されたハッシュの値に対応する原像要素を決定するための方法を提供することである。
【0009】
問題を解決するために、請求項１に記載の、データ処理システムで実行される、暗号化ハッシュ関数の原像要素を決定するための方法が提供される。さらに、コンピュータプログラムおよびデータ処理システムが、それぞれ独立請求項１４および１５に従って提供される。さらなる実施形態は、従属請求項に開示されている。
【0010】
一態様によれば、データ処理システムで実行される、暗号化ハッシュ関数の原像要素を決定するための方法が提供される。本方法は、暗号化ハッシュ関数の出力値および暗号化ハッシュ関数のハッシュ関数演算を提供することを含み、ハッシュ関数演算の各々について、式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定することと、最適化問題を決定するステップとを含む。最適化問題は、出力値と、暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約（最適化関係）と、暗号化ハッシュ関数の内部状態変数および少なくとも１つの原像変数を含む最適化変数とを含む。少なくとも１つの制約は、少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む。本方法は、最適化問題を解き、少なくとも１つの原像変数の最適化した値から暗号化ハッシュ関数の原像要素を決定するステップをさらに含む。
【0011】
別の態様によれば、コンピュータプログラムおよび／またはコンピュータプログラム製品が提供され、コンピュータプログラムおよび／またはコンピュータプログラム製品がデータ処理システムで実行されると、データ処理システムに、暗号化ハッシュ関数の原像要素を決定するための方法のステップを実行させる命令を含む。
【0012】
さらなる態様によれば、以下の暗号化ハッシュ関数の出力値および暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ、ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ、最適化問題を決定するステップ、および最適化問題を解き、少なくとも１つの原像変数の最適化した値から暗号化ハッシュ関数の原像要素を決定するステップを実行することによって、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システムが提供される。最適化問題は、出力値と、暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、暗号化ハッシュ関数の内部状態変数および少なくとも１つの原像変数を含む最適化変数とを含む。少なくとも１つの制約は、少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む。
【0013】
少なくとも１つのハッシュ関数関係は、直前の反復に割り当てられた先行する内部状態変数を含むことができる。最適化問題は、複数の制約を含むことができる。暗号化ハッシュ関数は、複数の反復、特に４８、６４、８０、または１２８の反復を含むことができる。好ましくは、制約の各々を反復のうちの１つに割り当てることができる。さらに、反復の各々は、制約のうちの少なくとも１つを割り当てられてもよい。反復の各々は、制約のうちの少なくとも１つを割り当てることができ、その各々は、直前の反復に割り当てられた先行する内部状態変数のうちの少なくとも１つを含むことができる。制約は、最適化方程式、最適化不等式、および目的関数のうちの少なくとも１つを含むことができる。特に、式（１）または式（２）を最適化問題に対して用いるとき、明示的な目的関数（例えば、最小化されるべきである）が必要ない場合がある。したがって、最適化問題は、ダミー０定数の目的関数を含むことができる。複数の制約のいくつかは、ペナルティ項として目的関数要素に変換することもできる。
【0014】
少なくとも１つの原像変数の最適化した値は、最適化問題の最小値および／または最大値が決定されたときに仮定され得る。最適化問題は、複数の原像変数、例えば１６個の原像変数を含むことができる。原像要素は、原像変数の最適化した値を連結することによって決定され得る。最小値および／または最大値は、大域的および／または局在的であってもよい。
【0015】
暗号化ハッシュ関数の出力値は、好ましくは１２８または１６０ビットのサイズを有するハッシュの値（ダイジェスト）とすることができる。
【0016】
ハッシュ関数演算は、非線形ブール関数、左ビット回転、右ビット回転、およびモジュラ加算のうちの少なくとも１つ、特に、以下のうちの１つを含み得る。
【0017】
【数1】
【0018】
ハッシュ関数演算のうちの少なくとも１つ、好ましくは関数演算の各々は、暗号化ハッシュ関数の反復および／またはラウンドに割り当てられ得る。
【0019】
左ビット回転は、１つの桁または複数の桁によって左ビットを回転させることを含んでもよい。右ビット回転は、１つの桁または複数の桁によって右ビットを回転させることを含んでもよい。回転させる桁の数は、左ビットの回転および／または右ビットの回転に割り当てられた反復および／またはラウンドに依存し得る。
【0020】
方法は、ハッシュ関数演算のうちの少なくとも１つの要素的演算を決定するステップと、要素的演算の各々について、要素方程式および／または要素不等式を含む少なくとも１つの要素的関係を決定するステップと、少なくとも１つのハッシュ関数演算の要素的関係から少なくとも１つのハッシュ関数関係を決定するステップとを含み得る。好ましくは、要素的演算は、ＮＯＴ、ＡＮＤ、ＯＲ、およびＸＯＲのうちの少なくとも１つを含み得る。
【0021】
実施形態では、ハッシュ関数関係のすべては、要素的関係から決定されてもよい。代わりに、ハッシュ関数関係の少なくとも１つまたはすべては、ハッシュ関数演算から直接決定される。
【0022】
ハッシュ関数関係のうちの少なくとも１つおよび／または要素的関係のうちの少なくとも１つは、双線形方程式および／または線形方程式を含み、好ましくは連続変数、バイナリ変数、および整数の変数のうちの少なくとも１つを含み得る。
【0023】
ハッシュ関数関係のうちの少なくとも１つおよび／または要素的関係のうちの少なくとも１つは、
の形式を有し、バイナリ変数および／または整数の変数が
を含み、連続変数が、
を含み、ｑは、ハッシュ関数演算および／または要素的演算のうちの１つである。
【数2】
【数3】
【数4】
【0024】
連続および／またはバイナリ変数の少なくとも１つが、初期の最適化問題（補助的最適化問題）、好ましくは制約付き二次問題を解くことによって決定され得る。
【0025】
特に、変数
は、初期最適化問題を解くことによって決定され得る。初期最適化問題は、（с１－１）２の形式の目的関数を含むことができ、ここではｃ１は
の第１の成分である。この形態は、正規化を可能にする。初期最適化問題は、
のうちの少なくとも１つを含む補助的制約を含むことができる。特に、初期の最適化問題は次のようになり得る。
【数5】
【数6】
【数7】
【0026】
【数8】
【0027】
ここで、ｆは実行可能な構成のセットを示し、Ｎａは式（４）での補助変数の数を示す。
【0028】
好ましくは初期最適化問題によって決定される、ハッシュ関数関係の少なくとも１つおよび／または要素的関係の少なくとも１つは、連続的な係数、好ましくは整数の値の係数、およびバイナリ変数の線形方程式を含み得る。
【0029】
例えば、要素的関係の少なくとも１つは、ｘ＋ｙ－１＝０、ｘ＋ｙ－２ｚ－ａ＝０、ｘ＋ｙ－２ｚ＋ａ＝０、およびｘ＋ｙ－ｚ－２ａ＝０の少なくとも１つを含むことができ、ここで、ｘ、ｙ、ｚ、およびａは、バイナリ変数である。さらに、要素的関係の少なくとも１つは、ｘ＋３ｙ＋２ｚ－６Ｆ＋２ａ０－３ａ１＋２ａ２＝０、３ｘ＋２ｙ－ｚ－６Ｇ－３ａ０＋２ａ１＋２ａ２＝０、ｘ＋ｙ＋ｚ－Ｈ－２ａ０＝０、ｘ＋２ｙ－ｚ－２Ｉ＋ａ０－４ａ１＝０，および（ｘ＋ｙ＋ｚ－２Ｊ－ａ＝０）の少なくとも１つを含むことができ、ｘ、ｙ、ｚ、ＦからＪ、およびａ０からａ２は、バイナリ変数である。
【0030】
要素的関係のうちの少なくとも１つはまた、以下の要素不等式｛ｚ≦ｘ，ｚ≦ｙ，ｚ≧ｘ＋ｙ－１｝、｛ｘ≦ｚ，ｙ≦ｚ，ｚ≦ｘ＋ｙ，ｚ≦１｝；および｛ｚ≦ｘ＋ｙ，ｚ≧ｘ－ｙ，ｚ≧ｙ－ｘ，ｚ≦２－ｘ－ｙ｝の集合のうちの少なくとも１つを含むことができ、式中、ｘおよびｙは、バイナリ変数であり、ｚは連続変数である。ハッシュ関数関係の不等式は、要素不等式の集合のうちの少なくとも１つから決定され得る。
【0031】
最適化問題を解くときに、初期内部状態の値および／または、好ましくは最後の反復に割り当てられる最終的な内部状態の値、が固定され得る。最適化変数は、最後の反復に割り当てられた内部状態変数を含まなくてもよい。
【0032】
方法は、最適化問題を解く前に、最適化問題を少なくとも部分的に事前に解くステップをさらに含み得る。最適化問題を事前に解くことにより、制約および／または最適化変数の数を減らすことができる。最適化問題を事前に解くことは、最適化問題の値、好ましくは最適の値を決定することを含んでもよい。事前に解くことはまた、制約のうちの少なくとも１つの他の制約を代替する少なくとも１つの代替の制約を決定することを含むことができる。
【0033】
最適化問題は、整数混合線形プログラム（ＭＩＬＰ）、整数混合非線形プログラム（ＭＩＮＬＰ）、または二次の非制約バイナリ最適化（ＱＵＢＯ）問題であり得る。最適化問題はまた、制約付き整数プログラムであり得る。ＱＵＢＯ問題の目的関数は、ＭＩＬＰおよび／または、ＭＩＮＬＰに対して決定された制約から、好ましくは制約を二乗することによって決定することができる。最適化問題は、別個の探索空間を含むことができる。
【0034】
最適化問題は、データ処理システムの量子処理デバイス、好ましくは量子アニーリングデバイスにおいて（少なくとも部分的に）解くことができる。
【0035】
例えば、量子アニーリングデバイスは、Ｄ波アニーリングデバイスであってもよい。最適化問題は、汎用量子コンピュータ上で解くこともできる。この目的のために、量子近似最適化アルゴリズムを使用して最適化問題を解くことができる。
【0036】
あるいは、最適化問題は、古典的な処理デバイス、好ましくはデータ処理システムにおいてのみ解くことができる。古典的な処理デバイスは、プロセッサおよびメモリを備えることができる。要素的関係を決定すること、ハッシュ関数関係を決定すること、最適化問題を決定すること、および／または少なくとも１つの原像変数の最適化した値から暗号ハッシュ関数の原像要素を決定することは、古典的なデータ処理デバイスにおいて、特に古典的な処理デバイスのプロセッサによって実行され得る。
【0037】
データ処理システムは、量子処理デバイス、特に量子アニーリングデバイスを備えてもよい。あるいは、量子処理デバイスは、データ処理システムから分離されてもよい。
【0038】
少なくとも１つの制約、好ましくはすべての制約は、量子処理デバイス、好ましくは古典処理デバイス、特に古典処理デバイスのメモリから転送されてもよい。制約を転送することは、最適化中に固定値、例えば暗号化ハッシュ関数の出力値を転送することを含むことができる。
【0039】
最適化変数は量子状態の重ね合わせに割り当てられ、および／またはオプティマイザは、最適化問題の最小値、好ましくは大域的最小値であり得る。
【0040】
特に、最適化変数の可能な各々の値の割り当ては、好ましくは量子処理デバイスによって生成される量子状態のうちの１つに対応することができる。初期において、重畳の量子状態の各々は同じ重みを有することができる。重畳は、制約から決定された処方に従って量子処理デバイスによって時間的に発展させることができる。処方は、例えばハミルトニアンによって表されてもよい。少なくとも１つの原像変数の最適化した値（割り当て）は、最終時刻における重畳から決定されてもよい。最後に、最適化した値割の当てに対応する量子状態の最適化量子状態は、重畳の量子状態の最大重みを有することができる。最適化量子状態は、例えば、ハミルトニアンの基底状態に対応し得る。
【0041】
少なくとも１つの原像変数の最適化した値は、最適化量子状態を決定することによって決定され得る。最適化した値は、古典的なデータ処理デバイスに転送されてもよい。これにより、原像要素は、古典的なデータ処理デバイス、特に古典的な処理デバイスのメモリに設けられてもよい。
【0042】
暗号化ハッシュ関数は、好ましくは認証および／またはデータ破損検出のための情報のセキュリティをもたらすことができる。暗号化ハッシュ関数は、さらに、ＭＤ４、ＭＤ５、ＳＨＡ－１、およびＳＨＡ－２のうちの１つであってもよい。
【0043】
原像要素は、好ましくはデータの完全性および／またはプルーフオブワークのために、デジタル署名および／または検証されるメッセージおよび／またはデータファイルを含み得る。プルーフオブワークにより、ブロックチェーン内のトランザクションを確認することができ、および／またはブロックチェーンの新しいブロックを生成することができる。
【0044】
暗号化ハッシュ関数の原像要素を決定するための方法に関する前述の実施形態は、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システムに対応して提供することができる。
【図面の簡単な説明】
【0045】
以下では、例として、図面を参照して実施形態を説明する。
【図1】ＭＤ５ハッシュ関数の図形による表示を示す。
【図2】ＳＨＡ－１ハッシュ関数の図形による表示を示す。
【図3】暗号化ハッシュ関数の原像要素を決定するための方法の図形による表示を示す。
【図4】データ処理システムの図形による表示を示す。
【発明を実施するための形態】
【0046】
図１は、ＭＤ５ハッシュ関数の図形による表示を示す。ハッシュ関数の入力データ、例えばメッセージは、ハッシュ関数の異なる反復ｋに対応する固定されたブロック長（ＭＤ５の場合３２ビット）のメッセージブロック（原像データブロック）Ｍｋに分割される。ハッシュ関数は、反復ｋごとの内部状態を含み、各内部状態は、４つの３２ビットのブロックＡｋ，Ｂｋ，Ｃｋ，Ｄｋからなる。
【0047】
初期内部状態（Ａ０，Ｂ０，Ｃ０，Ｄ０）から開始して、ハッシュ関数の演算が第１の反復の中の初期内部状態（Ａ０，Ｂ０，Ｃ０，Ｄ０）に適用され、その結果、第１の内部状態（Ａ１，Ｂ１，Ｃ１，Ｄ１）が得られ、これにより、ひいては、ハッシュ関数の演算を適用する第２の反復の開始点が得られる。図１に示す図は、反復ｋのためのハッシュ関数演算の適用を示す。各反復ｋの中で、メッセージブロックＭｋが処理され、内部状態を修正するために使用される。最大反復回数（ＭＤ５の場合は６４）に達した後、最後の内部状態の３２ビットブロックが連結され、暗号化ハッシュ関数の出力値が生成される。
【0048】
ＭＤ５ハッシュ関数（ＭＤ４、ＳＨＡ－１、およびＳＨＡ－２などの広く使用されている暗号化ハッシュ関数の大半と同様に）は、以下のハッシュ関数演算を含む。
－ビット単位の論理演算に基づく非線形ブール関数Ｆｋ、
－１６、３２ビットの整数のモジュロ２１６または２３２の加算、
－ビット数分のビットシーケンスのシフト。
－ビット単位の論理演算に基づく非線形ブール関数Ｆｋ、
－１６、３２ビットの整数のモジュロ２１６または２３２の加算、
－ビット数分のビットシーケンスのシフト。
【0049】
ＭＤ５ハッシュ関数の６４回の反復は、１６回の演算の４回にグループ化される。各ラウンドについて、異なるブール関数Ｆｋが使用され、Ｋｋは３２ビットの定数からなり、反復ｋごとに異なる。記号
は、反復ごとにｓが変化するｓの桁による、左ビット回転を示す。記号
は、加算モジュロ２３２を示す。
【数9】
【数10】
【0050】
反復ｋに対して、内部状態（Ａ（ｋ－１），Ｂ（ｋ－１），Ｃ（ｋ－１），Ｄ（ｋ－１））から開始して、図１に従い、内部状態の値は以下のように処理される。
【0051】
【数11】
【0052】
この関数μは、以下のように定義される。
【0053】
【数12】
【0054】
非線形ブール関数Ｆｋは、反復ｋに応じて、以下のように定義される。
【0055】
【数13】
【0056】
第１の１６の反復ｋは第１のラウンドを構成し、その後の１６の反復は第２のラウンドを構成し、第３の１６の反復は第３のラウンドを構成し、最後の１６の反復は第４のラウンド兼最後のラウンドを構成する。記号
は、論理演算ＯＲ、ＡＮＤ、ＸＯＲ、およびＮＯＴをそれぞれ示す。変数Ｂ、Ｃ、およびＤは、３２ビットのワードである。
【数14】
【0057】
Ａｋ，Ｂｋ，Ｃｋ，Ｄｋ，Ｍμ（ｋ），Ｋｋすべてが３２ビットの符号なしの整数として扱われ得る。Ａ６４，Ｂ６４，Ｃ６４，Ｄ６４は、最終的なハッシュの値の３２ビットブロックである。ｋ∈０．．．１５であるＭｋは、求められる入力メッセージを構成し、最適化変数（原像変数）として用いられる。式（１）および（２）に示される変数ｙは、内部状態／データブロックＡ６４，Ｂ６４，Ｃ６４，Ｄ６４の和集合である。
【0058】
したがって、所与のハッシュの値ｙに対する原像要素ｘを求めることは、所与のＡ６４，Ｂ６４，Ｃ６４，Ｄ６４に対する原像変数Ｍｋを求めることに相応する。
【0059】
図２は、反復ｋのためのハッシュ関数演算の適用を示す、ＳＨＡ－１ハッシュ関数の対応する図形による表示である。各反復の内部状態は、５つの３２ビットデータブロックＡｋ，Ｂｋ，Ｃｋ，Ｄｋ，Ｅｋからなる。Ｍｋは反復ｋのメッセージブロックを表し、Ｋｋは反復ｋごとに異なる定数である。
【0060】
ＭＤ５およびＳＨＡ－１で使用される非線形ブール関数Ｆｋは、以下のように定義される。
【0061】
【数15】
【0062】
上記のブール関数のうちの２つのみがＭＤ５およびＳＨＡ－１の両方で使用されるが、すべてのブール関数は、バイナリ変数
に対する要素的なブール演算の合成である。
【数16】
【0063】
ビットレベルでは、ＮＯＴの演算は、０と１との間の切り替え、すなわち、！１＝０および！１＝０に相当する。他の３つの要素的演算は、以下のように定義される（なお、
は加算モジュロ２に対応する）。
【数17】
【0064】
【表1】
【0065】
左ビット回転演算および加算モジュロ演算は、以下の式で表すことができる。Ｎビット数ｘのｓ桁ごとの左シフト回転ｙは、以下のように定義される。
【0066】
【数18】
【0067】
式中、記号「／／」はフロアの分割を示し、記号「＜＜」および「＞＞」はそれぞれ左シフトおよび右シフトを示す。右シフトの回転は、ｙ＝ｘ＞＞＞ｓ＝（ｘ＞＞ｓ）｜（ｘ＜＜（Ｎ－ｓ））＝ｘ／／２ｓ＋ｘ・２Ｎ－ｓｍｏｄ２Ｎと定義される。加算モジュロ２Ｎは、加算に続いて２Ｎ除算後の剰余を計算することを意味する。
【0068】
ａ．原像要素を決定するための方法
式（２）Ｈ（｛ｘ，ｘｆｉｘｅｄ｝）≦ｙの左辺および右辺がバイナリ表記で表される場合、式（２）は、Ｈ（｛ｘ，ｘｆｉｘｅｄ｝）の先頭ビットの数ｎＺ（ｙの値によって事前定義される）が０に等しい場合に限り成立する。式（２）を満たす原像要素ｘを決定することは、ｎＺが大きいほど困難である。（ｂ）ｋで表すと、（バイナリ）有限シーケンスｂのｋ番目のビットとされ、式（２）は、以下の方程式系で定式化することができる。
式（２）Ｈ（｛ｘ，ｘｆｉｘｅｄ｝）≦ｙの左辺および右辺がバイナリ表記で表される場合、式（２）は、Ｈ（｛ｘ，ｘｆｉｘｅｄ｝）の先頭ビットの数ｎＺ（ｙの値によって事前定義される）が０に等しい場合に限り成立する。式（２）を満たす原像要素ｘを決定することは、ｎＺが大きいほど困難である。（ｂ）ｋで表すと、（バイナリ）有限シーケンスｂのｋ番目のビットとされ、式（２）は、以下の方程式系で定式化することができる。
【0069】
（Ｈ（｛ｘ，ｘｆｉｘｅｄ｝））ｋ＝０，ｋ＝１，…，ｎＺ （９）
【0070】
式（１）、Ｈ（ｘ）＝ｙ、および式（９）は、バイナリ変数を有する整数混合計画問題、特に制約として線形方程式および／または線形不等式を含む制約を有する整数混合線形計画問題（ＭＩＬＰ）としてさらに再定式化することができる。
【0071】
式（１）および（９）は、双一次関数を含み、バイナリ変数の実現可能な値に対する追加の制約なしの二次制約なしバイナリ最適化問題（ＱＵＢＯ）として定式化することもできる。ＭＩＬＰおよびＱＵＢＯの両方は、利用可能な古典的なソルバ（例えば、ＣＰＬＥＸ、Ｇｕｒｏｂｉ、ＸＰＲＥＳＳ、またはＳＣＩＰ）を使用して解くことができるが、量子処理デバイスで解くことも可能である。特に、Ｄ－Ｗａｖｅなどの量子アニーリングデバイスを使用してＱＵＢＯを解くことができる。ＱＵＢＯは、最適化変数のすべての可能な値の割り振りを含む離散探索空間を含むことができるので、可能な値の割り振りは並列に処理することができ（量子並列度）、原像要素を決定する際の実質的な高速化を達成することができる。
【0072】
式（１）および（９）などの方程式系を解く任意の顕著な加速は、特に、ブロックチェーンシステムなどのデータの完全性またはプルーフオブワークに依存するシステムのパフォーマンスを大幅に向上させる。現在、ノンス探索には１０分の制限時間が許容されている。特にこの状況において、量子アニーリングデバイスは、必要な計算時間を数秒に短縮するのに役立ち得る。
【0073】
図３は、データ処理システムで実行される、暗号化ハッシュ関数の原像要素を決定するための方法の図形による表示を示す。
【0074】
最初のステップ１０では、式（８）の暗号化ハッシュ関数（ＭＤ５またはＳＨＡ－１など）で定義される場合のハッシュ関数の演算Ｆ，…，Ｊが得られる。各ハッシュ関数演算Ｆ，…，Ｊについて、１つの対応するハッシュ関数関係または複数の対応するハッシュ関数関係が決定される（ステップ１１）。各ハッシュ関数関係は方程式とすることができる。あるいは、複数の対応するハッシュ関数は、不等式の集合であり得る。方程式は、好ましくは低次元の補助的な（初期の）最適化問題を解くことによって決定することができる。
【0075】
ハッシュ関数関係は、ハッシュ関数演算から直接、または任意選択の中間ステップ１１ａを介して決定される。ステップ１１ａにおいて、ハッシュ関数演算Ｆ，…，ＪのＮＯＴ、ＡＮＤ、ＯＲ、および／またはＸＯＲを含む要素的演算が決定され、各要素的演算について、対応する要素方程式および／または要素不等式の集合が決定される。
【0076】
ハッシュ関数関係を決定した後、ＭＩＬＰ、ＱＵＢＯなどの最適化問題が決定される（ステップ１２）。最適化問題は、ハッシュ関数関係から確立されたハッシュ関数の反復ごとの最適化方程式または最適化不等式（制約）の集合を含む。最適化問題は、ハッシュ関数の内部状態（ＭＤ５の場合Ａｉ，Ｂｉ，Ｃｉ，Ｄｉ）および（ＳＨＡ－１の場合Ａｉ，Ｂｉ，Ｃｉ，Ｄｉ，Ｅｉ）））および原像変数Ｍｉを、最適化変数としてさらに含む。 初期内部状態（Ａ０，Ｂ０，Ｃ０，…）および最終的内部状態（結果として得られるハッシュの値に対応する）は既知であり、最適化中固定されたままである。特定の反復に割り当てられた制約は、先行する反復に割り当てられた内部状態変数を含む。
【0077】
任意選択のステップ１２ａでは、制約および／または最適化変数の数を減らすことができる。これは、制約および／または最適化変数を事前に解くことによって達成することができる。
【0078】
最適化問題を決定した後、最適化問題が解かれ、最適化問題の最適化変数の集合（オプティマイザ）からハッシュ関数の原像要素が決定される（ステップ１３）。
【0079】
図４は、データ処理システム２０の図形による表示を示す。データ処理システム２０は、古典的処理デバイス２１を備える。さらに、データ処理システム２０は、量子処理デバイス２２、例えば量子アニーリングデバイスを備えてもよい。古典処理デバイス２１と量子処理デバイス２２との間でデータの授受が行われてもよい。特に、Ｄ－Ｗａｖｅ量子アニーリングデバイスを使用する場合、Ｄ－Ｗａｖｅ Ｐｙｔｈｏｎ ＡＰＩをデータ交換に使用することができる。ステップ１０から１２は、古典的処理デバイス２１内で実行されることが好ましい。また、ステップ１３は、古典的処理デバイス２１内で実行されてもよい。しかし、ステップ１３は、最適化問題が量子処理デバイス２２において解かれるときに著しく加速される。
【0080】
ｂ．要素的演算の要素的関係の決定
ステップ１１ａに従って要素的関係を決定することは、各要素的演算！ｘ＝ｙ，ｘ∧ｙ＝ｚ，ｘ∨ｙ＝ｚ，および
について（要素的）方程式または不等式の集合を確立することを含む。
ステップ１１ａに従って要素的関係を決定することは、各要素的演算！ｘ＝ｙ，ｘ∧ｙ＝ｚ，ｘ∨ｙ＝ｚ，および
【数19】
【0081】
ＭＩＬＰ制約に対する基本的なブール関数での方程式の削減を考慮する。
ＮＯＴ演算は、バイナリ変数ｘ，ｙについて、減算の演算を含む式に対応し、以下の等価性をもたらす。
ＮＯＴ演算は、バイナリ変数ｘ，ｙについて、減算の演算を含む式に対応し、以下の等価性をもたらす。
【0082】
！ｘ＝ｙ⇔ｙ＝１－ｘ （１０）
【0083】
より一般的には、（ブール関数である）他の要素的演算のうちの１つに対応する線形方程式系を決定するために、それぞれの初期の最適化問題が解かれる。以下では、
は、要素的演算ｑ、入力変数の集合
および出力
のためのジョイントベクトル
として定義される。さらに、ｆは、実現可能な構成の集合を示す。決定される式は、以下の形式を有する。
【数20】
【数21】
【数22】
【数23】
【0084】
【数24】
【0085】
式中、
はバイナリ係数の補助ベクトルであり、ｂは連続係数であり、
は連続的な係数のベクトルであり、
はバイナリ変数のベクトルである。ベクトルの転置は（・）Ｔで表される。特に、式（１１）は
において線形である。
【数25】
【数26】
【数27】
【数28】
【0086】
線形系は、以下を満たさなければならない。
【0087】
【数29】
【0088】
初期の最適化問題によって決定されるべき求められる係数は、連続変数
である。初期の最適化問題は、ＭＩＬＰとして定式化することができ、以下のように式（１２）から求められる。まず、式（１２）の付随
の数Ｎａが選択される。元の問題における変数の数はＮｘで示される。ＭＩＬＰは、補助制約の集合と目的の関数とからなる。実現可能な構成からの各ベクトルは、連続変数
およびＮａ、新しいバイナリ変数
の補助制約のうちの１つをもたらす。
【数30】
【数31】
【数32】
【数33】
【0089】
【数34】
【0090】
実行不可能な構成からの各ベクトル
に対して、２Ｎａの新しい補助制約が追加される。
【数35】
【0091】
【数36】
【0092】
補助制約の数は指数関数的に増加するが、最も一般的なハッシュ関数は、少数の入力変数および出力変数のみを有する関数を有する。これは、ＭＤハッシュ関数およびＳＨＡハッシュ関数を含んでいた。総和は考慮しない。そのための対応する線形方程式を本発明者らが発明したからである。
【0093】
結果として、｜ｆ｜＋２Ｎａ｜ｆ＊｜の補助制約（｜ｆ｜および｜ｆ＊｜はそれぞれ実現可能な構成および実現不可能な構成の数である）およびＮｘ＋Ｎａ＋１＋｜ｆ｜・Ｎａの変数のＭＩＬＰが確立される。そのような均一のＭＩＬＰは多くの解を有する（すべての係数に同じ数を乗算すると解がまた得られる）。したがって、
の第１の係数ｃ１は１に設定され、追加の補助制約または対応するペナルティ項ｃ１＝１をもたらす。
【数37】
【0094】
次いで、初期の最適化問題は次のようになる。
【0095】
【数38】
【0096】
実数値変数を含む
およびバイナリ変数を含む
を伴う。以下では、例として、要素的演算ｚ＝ｘ∧ｙの要素方程式の決定について説明する。演算の実現可能な構成および実現不可能な構成は以下の通りである。
【数39】
【数40】
【0097】
【表2】
【0098】
式（１３）はｃｘｘ＋ｃｙｙ＋ｃＺｚ＋ｃａａ＝ｂに簡略化され、係数ｃｘ，ｃｙ，ｃＺ，ｃａ，ｂは次のように決定される。
【0099】
ｚ＝ｘ∧ｙ⇔（∃ａ∈｛０，１｝：ｃｘｘ＋ｃｙｙ＋ｃｚｚ＋ｃａａ＝ｂ） （１６）
【0100】
次いで、初期の最適化問題は次のようになる。
【0101】
【数41】
【0102】
上記の初期の最適化問題は、最先端のソルバ（ＣＰＬＥＸなど）に直接移されてもよく、あるいは古典的なＭＩＮＬＰ（不等式の制約なし）またはＭＩＬＰに変換されてもよい。
【0103】
最適化問題は、要素的演算ｚ＝ｘ∧ｙに対して、補助変数ａを有する以下の要素方程式をもたらす。
【0104】
ｘ＋ｙ－２ｚ－ａ＝０ （１８）
【0105】
式（１８）は、式（１８）が成立するようにバイナリａが存在する場合、およびその場合にのみ、バイナリ変数ｘ，ｙ，ｚのトリプルは、ｚ＝ｘ∧ｙを満たすという意味でｚ＝ｘ∧ｙに相当する。これは、以下の表（ｘ，ｙ，ｚの実行可能なトリプルに対する太字の点のゼロ）により分かるように保持されている。
【0106】
【表3】
【0107】
式でｚ＝ｘ∧ｙを表す代わりに、要素的演算は不等式の集合で表すこともできる。
【0108】
ｚ≦ｘ，ｚ≦ｙ，ｚ≧ｘ＋ｙ－１ （１９）
【0109】
重要なことに、ｘ，ｙがバイナリである場合、およびｚが式（１９）を満たす場合は、ｚは別個の値０および１のみをとることができ、ｚがバイナリであることを明示的に必要としない。これにより、原像のＭＩＬＰ表現の複雑さ、および／またはマイニングの問題を低減することができる。
【0110】
これに対応して、さらなる要素的演算ＯＲは、
ｘ∨ｙ＝ｚ （２０）
であり、以下の要素方程式をもたらす。
ｘ∨ｙ＝ｚ （２０）
であり、以下の要素方程式をもたらす。
【0111】
ｘ＋ｙ－２ｚ＋ａ＝０ （２１）
【0112】
これは、以下の表を介して確認することができる。
【0113】
【表4】
【0114】
（要素的）不等式の集合に関して、要素的演算ＯＲは、以下のように表される。
【0115】
ｘ≦ｚ，ｙ≦ｚ，ｚ≦ｘ＋ｙ，ｚ≦１ （２２）
【0116】
ｘ，ｙがやはりバイナリであり、ｚが式（２２）を満たしている場合、ｚは、ｚがバイナリであることを明示的に要求することなく、別個の値０および１のみをとることができる。
【0117】
要素的関係ＸＯＲが、次式の場合
対応する要素方程式は、以下となり、
ｘ＋ｙ－ｚ－２ａ＝０ （２４）
【数42】
ｘ＋ｙ－ｚ－２ａ＝０ （２４）
【0118】
これは、以下の表によって確認することができる。
【0119】
【表5】
【0120】
ＸＯＲ演算は、不等式の集合によって表すこともできる。
【0121】
ｚ≦ｘ＋ｙ，
ｚ≧ｘ－ｙ，
ｚ≧ｙ－ｘ，
ｚ≦２－ｘ－ｙ （２５）
ｚ≧ｘ－ｙ，
ｚ≧ｙ－ｘ，
ｚ≦２－ｘ－ｙ （２５）
【0122】
上述したように、連続変数ｚがバイナリｘおよびｙを伴う以下の式（２５）を満たす場合、依然、値０および１をとることしかできない。
【0123】
ｃ．ハッシュ関数関係の決定
ステップ１１で決定されるハッシュ関数関係は、要素的関係と同様に、方程式または不等式であり得る。方程式の場合、式は、式（１５）のような形式で初期の最適化問題を解くことによって決定することができる。あるいは、各ハッシュ関数演算を構成する要素的演算に対応する不等式の集合から、不等式の集合を決定することができる。
ステップ１１で決定されるハッシュ関数関係は、要素的関係と同様に、方程式または不等式であり得る。方程式の場合、式は、式（１５）のような形式で初期の最適化問題を解くことによって決定することができる。あるいは、各ハッシュ関数演算を構成する要素的演算に対応する不等式の集合から、不等式の集合を決定することができる。
【0124】
ハッシュ関数演算Ｆ（式（８．１）参照）の場合、
Ｆ（ｘ，ｙ，ｚ）＝（ｘ∧ｙ）∨（！ｘ∧ｚ） （２６）
Ｆ（ｘ，ｙ，ｚ）＝（ｘ∧ｙ）∨（！ｘ∧ｚ） （２６）
【0125】
ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。
【0126】
ｘ＋３ｙ＋２ｚ－６Ｆ’＋２ａ０－３ａ１＋２ａ２＝０ （２７）
【0127】
バイナリ変数Ｆ’およびバイナリ補助変数、ａ０、ａ１、およびａ２を含む。要素不等式からハッシュ関数演算のための不等式の集合を決定するために、式（２６）は次のように再定式化される。
【0128】
Ｆ（ｕＦ，ｖＦ）＝ｕＦ∨ｖＦ （２８）
【0129】
連続補助変数ｕＦ＝（ｘ∧ｙ）およびｖＦ＝（！ｘ∧ｚ）を伴う、ただし、実際にはバイナリ値のみをとる。ハッシュ関数演算Ｆのための不等式の集合は、次のように決定される。
【0130】
ｕＦ≦ｘ，ｕＦ≦ｙ，ｕＦ≧ｘ＋ｙ－１，
ｖＦ≦１－ｘ，ｖＦ≦ｚ，ｖＦ≧ｚ－ｘ，ｖＦ≧０，
ｖＦ≦Ｆ’，ｕＦ≦Ｆ’，Ｆ’≦ｕＦ＋ｖＦ，Ｆ’≦１ （２９）
ｖＦ≦１－ｘ，ｖＦ≦ｚ，ｖＦ≧ｚ－ｘ，ｖＦ≧０，
ｖＦ≦Ｆ’，ｕＦ≦Ｆ’，Ｆ’≦ｕＦ＋ｖＦ，Ｆ’≦１ （２９）
【0131】
バイナリ変数Ｆ’を伴う。式（２７）および式（２９）は、最適化問題における制約、好ましくはＭＩＬＰを決定するためにそれぞれ使用することができる。
【0132】
ハッシュ関数演算Ｇの場合、
Ｇ（ｘ，ｙ，ｚ）＝（ｘ∧ｚ）∨（ｙ∧！ｚ） （３０）
Ｇ（ｘ，ｙ，ｚ）＝（ｘ∧ｚ）∨（ｙ∧！ｚ） （３０）
【0133】
ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。
【0134】
３ｘ＋２ｙ－ｚ－６Ｇ’－３ａ０＋２ａ１＋２ａ２＝０ （３１）
【0135】
バイナリ変数Ｇ’’およびバイナリ補助変数ａ０、ａ１、およびａ２を含む。要素不等式からハッシュ関数演算のための不等式の集合を決定するために、式（３０）は次のように再定式化される。
【0136】
Ｇ（ｕＧ，ｖＧ）＝ｕＧ∨ｖＧ （３２）
【0137】
連続した補助変数ｕＧ＝（ｘ∧ｚ）およびｖＧ＝（ｙ∧！ｚ）を伴い、バイナリ値をとる。ハッシュ関数演算Ｇのための不等式の集合は、次のように決定される。
【0138】
ｕＧ≦ｘ，ｕＧ≦ｚ，ｕＧ≧ｘ＋ｚ－１，
ｖＧ≦１－ｚ，ｖＧ≦ｙ，ｖＧ≧ｙ－ｚ，ｖＧ≧０，
ｖＧ≦Ｇ’，ｕＧ≦Ｇ’，Ｇ’≦ｕＧ＋ｖＧ，Ｇ’≦１ （３３）
ｖＧ≦１－ｚ，ｖＧ≦ｙ，ｖＧ≧ｙ－ｚ，ｖＧ≧０，
ｖＧ≦Ｇ’，ｕＧ≦Ｇ’，Ｇ’≦ｕＧ＋ｖＧ，Ｇ’≦１ （３３）
【0139】
バイナリ変数Ｇ’を伴う。
【0140】
ハッシュ関数演算Ｈ（式（８．３）参照）の場合、
【数43】
【0141】
ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。
【0142】
ｘ＋ｙ＋ｚ－Ｈ’－２ａ＝０ （３５）
【0143】
バイナリ変数Ｈ’’およびバイナリ補助変数ａを含む。要素不等式からハッシュ関数演算のための不等式の集合を決定するために、式（３４）は次のように再定式化される。
【0144】
【数44】
【0145】
連続した補助変数
を伴い、バイナリ値をとる。ハッシュ関数演算Ｈのための不等式の集合は、次のように決定される。
【数45】
【0146】
ｕＨ≦ｘ＋ｙ，Ｈ’≦ｕＨ＋ｚ，
ｕＨ≧ｘ－ｙ，Ｈ’≧ｕＨ－ｚ，
ｕＨ≧ｙ－ｘ，Ｈ’≧ｚ－ｕＨ，
ｕＨ≦２－ｘ－ｙ，Ｈ’≦２－ｕＨ－ｚ （３７）
ｕＨ≧ｘ－ｙ，Ｈ’≧ｕＨ－ｚ，
ｕＨ≧ｙ－ｘ，Ｈ’≧ｚ－ｕＨ，
ｕＨ≦２－ｘ－ｙ，Ｈ’≦２－ｕＨ－ｚ （３７）
【0147】
バイナリ変数Ｈ’を伴う。
【0148】
ハッシュ関数演算Ｉの場合、
ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。
【数46】
【0149】
ｘ＋２ｙ－ｚ－２Ｉ’＋ａ０－４ａ１＝０ （３９）
【0150】
バイナリ変数Ｉ’’およびバイナリ補助変数ａ０、およびａ１を含む。要素不等式からハッシュ関数演算Ｉのための不等式の集合を決定するために、式（３８）は次のように再定式化される。
【0151】
【数47】
【0152】
連続した補助変数ｕｉ＝ｘ∨！ｚを伴って、バイナリ値をとる。ハッシュ関数演算Ｉのための不等式の集合は、次のように決定される。
【0153】
ｘ≦ｕＩ，１－ｚ≦ｕＩ，ｕＩ≦ｘ－ｚ＋１，ｕＩ≦１．
Ｉ’≦ｙ＋ｕＩ，Ｉ’≧ｙ－ｕＩ，Ｉ’≧ｕＩ－ｙ，Ｉ’≦２－ｙ－ｕＩ， （４１）
Ｉ’≦ｙ＋ｕＩ，Ｉ’≧ｙ－ｕＩ，Ｉ’≧ｕＩ－ｙ，Ｉ’≦２－ｙ－ｕＩ， （４１）
【0154】
バイナリ変数Ｉ’を伴う。
【0155】
ハッシュ関数演算Ｊの場合、
Ｊ（ｘ，ｙ，ｚ）＝（ｘ∧ｙ）∨（ｘ∧ｚ）∨（ｙ∧ｚ）， （４２）
Ｊ（ｘ，ｙ，ｚ）＝（ｘ∧ｙ）∨（ｘ∧ｚ）∨（ｙ∧ｚ）， （４２）
【0156】
ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。
【0157】
ｘ＋ｙ＋ｚ－２Ｊ’－ａ＝０， （４３）
【0158】
バイナリ変数Ｊ’’およびバイナリ補助変数ａを含む。要素不等式からハッシュ関数演算Ｊのための不等式の集合を決定するために、式（４２）は次のように再定式化される。
【0159】
Ｊ（ｕＪ，ｖＪ）＝ｕＪ∨ｖＪ （４４）
【0160】
連続した補助変数ｐＪ＝（ｘ∧ｙ），ｑＪ＝（ｘ∧ｚ），ｕＪ＝（ｐＪ∨ｑＪ），およびｖＪ＝（ｙ∧ｚ）を伴い、バイナリ値をとる。ハッシュ関数演算Ｊのための不等式の集合は、次のように決定される。
【0161】
ｐＪ≦ｘ，ｐＪ≦ｙ，ｐＪ≧ｘ＋ｙ－１，
ｑＪ≦ｘ，ｑＪ≦ｚ，ｑＪ≧ｘ＋ｚ－１，
ｖＪ≦ｙ，ｖＪ≦ｚ，ｖＪ≧ｙ＋ｚ－１，
ｐＪ≦ｕＪ，ｑＪ≦ｕＪ，ｕＪ≦ｐＪ＋ｑＪ，ｕＪ≦１，
ｕＪ≦Ｊ’，ｖＪ≦Ｊ’，Ｊ’≦ｕＪ＋ｖＪ，Ｊ’≦１ （４５）
ｑＪ≦ｘ，ｑＪ≦ｚ，ｑＪ≧ｘ＋ｚ－１，
ｖＪ≦ｙ，ｖＪ≦ｚ，ｖＪ≧ｙ＋ｚ－１，
ｐＪ≦ｕＪ，ｑＪ≦ｕＪ，ｕＪ≦ｐＪ＋ｑＪ，ｕＪ≦１，
ｕＪ≦Ｊ’，ｖＪ≦Ｊ’，Ｊ’≦ｕＪ＋ｖＪ，Ｊ’≦１ （４５）
【0162】
バイナリ変数Ｊ’を伴う。式（４３）および式（４５）は、最適化問題における制約、好ましくはＭＩＬＰを決定するためにそれぞれ使用することができる。
【0163】
ハッシュ関数演算が線形方程式系
に作用するシフト演算で、式中
が変数のベクトルで、
はパラメータの固定ベクトル（最適化中の定数）である場合、対応する変数のリネーミングのみが行われる。
【数48】
【数49】
【数50】
【0164】
【数51】
【数52】
【数53】
【数54】
【数55】
【0165】
ハッシュ関数演算が加算モジュロ演算である場合、ａｉ∈Ｚに作用する、すなわち、
被加数ｂ∈Ｚに関し、式（４６）の各ビットの桁が考慮されるべきである。ａｉｊ，ｂｊがａｉとｂの第ｊビットである式
それぞれを展開すると、式（４６）は、以下に相当する。
【数56】
【数57】
【0166】
【数58】
【0167】
式中Ｃｉは、ａｉおよびｂの第ｉビットのキャリービット数である。
【0168】
ハッシュ関数演算Ｆ，Ｇ，Ｈ，Ｉ，およびＪのためのＭＩＬＰ制約のための決定されたハッシュ関数式から開始して、対応するＱＵＢＯペナルティ項を決定することができる、すなわち、
ＱＦ（Ｆ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝－２ＢＣ＋２ＢＤ＋４ＢＦ＋４ＢＡ０＋４ＢＡ１－４ＣＦ
－４ＣＡ０＋４ＤＡ１＋４ＦＡ０＋４ＦＡ１－４Ｂ＋４Ｃ－２Ｄ－２Ｆ－４Ａ１＋４
ＱＧ（Ｇ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝２ＢＤ－４ＢＧ＋４ＢＡ０－２ＣＤ－４ＣＧ
＋４ＣＡ１＋４ＤＡ０－４ＤＡ１－４ＧＡ０－４ＧＡ１＋２Ｃ＋６Ｇ＋４Ａ１
ＱＨ＝（Ｈ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝４ＢＤ－４ＢＡ０－４ＢＡ１－４ＣＨ－４ＣＡ０＋４ＣＡ１
－４ＤＡ０－４ＤＡ１＋４ＨＡ０－４ＨＡ１＋２Ｂ＋２Ｃ＋２Ｄ＋２Ｈ＋４Ａ０＋４Ａ１
ＱＩ＝（Ｉ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝－２ＢＤ＋４ＢＡ０＋４ＢＡ１＋４ＣＩ＋４ＣＡ０
－４ＣＡ１－４ＤＡ０－４ＤＡ１＋４ＩＡ０－４ＩＡ１－２Ｃ＋２Ｄ－２Ｉ＋８Ａ１＋２
ＱＪ（Ｊ，Ｂ，Ｃ，Ｄ）＝２ＢＣ＋２ＢＤ－４ＢＪ＋２ＣＤ－４ＣＪ－４ＤＪ＋６Ｊ （４８）
ＱＦ（Ｆ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝－２ＢＣ＋２ＢＤ＋４ＢＦ＋４ＢＡ０＋４ＢＡ１－４ＣＦ
－４ＣＡ０＋４ＤＡ１＋４ＦＡ０＋４ＦＡ１－４Ｂ＋４Ｃ－２Ｄ－２Ｆ－４Ａ１＋４
ＱＧ（Ｇ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝２ＢＤ－４ＢＧ＋４ＢＡ０－２ＣＤ－４ＣＧ
＋４ＣＡ１＋４ＤＡ０－４ＤＡ１－４ＧＡ０－４ＧＡ１＋２Ｃ＋６Ｇ＋４Ａ１
ＱＨ＝（Ｈ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝４ＢＤ－４ＢＡ０－４ＢＡ１－４ＣＨ－４ＣＡ０＋４ＣＡ１
－４ＤＡ０－４ＤＡ１＋４ＨＡ０－４ＨＡ１＋２Ｂ＋２Ｃ＋２Ｄ＋２Ｈ＋４Ａ０＋４Ａ１
ＱＩ＝（Ｉ，Ｂ，Ｃ，Ｄ，Ａ０，Ａ１）＝－２ＢＤ＋４ＢＡ０＋４ＢＡ１＋４ＣＩ＋４ＣＡ０
－４ＣＡ１－４ＤＡ０－４ＤＡ１＋４ＩＡ０－４ＩＡ１－２Ｃ＋２Ｄ－２Ｉ＋８Ａ１＋２
ＱＪ（Ｊ，Ｂ，Ｃ，Ｄ）＝２ＢＣ＋２ＢＤ－４ＢＪ＋２ＣＤ－４ＣＪ－４ＤＪ＋６Ｊ （４８）
【0169】
式（４８）のＱＵＢＯペナルティは、対応する決定されたハッシュ関数方程式をＭＩＬＰ形式で二乗することによって直接得られるものよりも効率的な最適化を必ずしももたらさない。上記のＱＵＢＯペナルティは、例えば、より多くのバイナリ補助変数を含むことができる。
【0170】
一般に、離散的な変数が多いほど、使用される潜在可能性がある分岐の限定されたアルゴリズム探索木のサイズが大きくなるため、付加的なバイナリ変数は、回避するべきである。一方、最先端のＭＩＬＰソルバは、パフォーマンスを著しく損なうことなく、数千の連続変数を許容することができる。
【0171】
さらに、１つのハッシュ関数演算に対して１つの方程式の代わりに不等式の集合を使用する場合、実行可能な不等式の集合を作成する異なる代替的な方法がある。
【0172】
ｄ．最適化問題の決定
ハッシュ関数関係を決定した後、ステップ１２に従って最適化問題を決定する。この目的のために、暗号化ハッシュ関数の各反復内でのハッシュ関数関係は、図１または２に示すように、ハッシュの値を計算するときに、それらの（時系列の）順序に対応して結合される。
ハッシュ関数関係を決定した後、ステップ１２に従って最適化問題を決定する。この目的のために、暗号化ハッシュ関数の各反復内でのハッシュ関数関係は、図１または２に示すように、ハッシュの値を計算するときに、それらの（時系列の）順序に対応して結合される。
【0173】
ＭＤ５の場合、および、初期内部状態のデータブロック（内部状態変数）Ｂ０，Ｃ０，およびＤ０から始まって、ハッシュ関数関係として方程式を使用するとき、最適化問題の第１の制約は、
【数59】
【0174】
Ｂ０，Ｃ０，Ｄ０，Ｆ１および補助変数ベクトル
を、それぞれ式（２７）における変数ｘ，ｙ，ｚ，Ｆ’，および（ａ０，ａ１，ａ２）について（第１ラウンドの）ハッシュ関数演算子Ｆの式に挿入することによって、決定される。続いて、図１に従って、原像変数Ｍμ（１）および定数Ｋ１を用いたモジュラ加算Ｆ１＝Ｆ（Ｂ０，Ｃ０，Ｄ０）が実行される。式（４７）の対応するハッシュ関数関係にＦ１、Ｍμ（１）、およびＫ１を挿入し、方程式の左辺にあるすべての項を配置し、制約
Σ（Ｆ１，Ａ０，Ｍμ（１），Ｋ１，ＦＭ１，ξ１，１）＝０ （５０）
は、補助変数ξ１，１を伴って決定される。これに続いて、得られた項ＦＭ１がシフトされて、Ｂ０に追加され、次の制約が得られる。
【数60】
Σ（Ｆ１，Ａ０，Ｍμ（１），Ｋ１，ＦＭ１，ξ１，１）＝０ （５０）
は、補助変数ξ１，１を伴って決定される。これに続いて、得られた項ＦＭ１がシフトされて、Ｂ０に追加され、次の制約が得られる。
【0175】
【数61】
【0176】
これは、補助変数ξ１，２を伴う。結果として得られるモジュラ加算の項は、次の反復に割り当てられる内部状態変数Ｂ１に対応する。内部状態変数Ｂ０，Ｃ０，およびＤ０を、次の反復に割り当てられるそれぞれの内部状態変数Ｃ１，Ｄ１，およびＡ１に割り当てることを表すために、さらなる制約が決定される。
【0177】
要約すると、最初の反復に割り当てられた以下の制約が決定される。
【0178】
【数62】
【0179】
後続の反復に割り当てられる制約は同様に決定され、以下の制約の集合（ここでは最適化方程式）が得られる。
【0180】
【数63】
【0181】
式（５３）は、式（５３）のすべての制約を満たす実現可能な解を決定する制約充足問題（ＣＳＰ）をもたらす。特に、Ａ６４、Ｂ６４、Ｃ６４、Ｄ６４は、ハッシュの値ｙの一部であり、ｋ＝１、．．．、１６の場合のＭｋは、ハッシュ関数の引数の一部（原像要素）である。
【0182】
一般に、変数Ａ０，Ｂ０，Ｃ０，Ｄ０，Ａ６４，Ｂ６４，Ｃ６４，Ｄ６４，およびＫｋｆｏｒｋ＝１，…，６４は既知であり、最適化の最中固定される。残りの変数は、最適化変数を構成する。
【0183】
最適化方程式の場合、すべてのＭｋは事前に未知であり、Ａ６４、Ｂ６４、Ｃ６４、Ｄ６４は固定である。
【0184】
最適化不等式（式（９）を参照）の場合、Ｍｋの一部（例えば、ｋ＝３、．．．、１６）は固定され、残りのもの（例えば、Ｍ１、Ｍ２）のみが未知の変数である。さらに、Ａ６４、Ｂ６４、Ｃ６４、Ｄ６４の各々を有限シーケンスとして扱う場合、例えば、Ａ６４は０ビットシーケンスに固定され、残りの変数は任意の値をとることができる。
【0185】
次いで、最適化問題、すなわち制約（式（５３））のＭＩＬＰが解かれ、最適化変数の最適値が得られる。メッセージブロックＭｋの最適値は、暗号化ハッシュ関数ＭＤ５の原像要素の１つを構成する。ＳＨＡ－１および他の暗号化ハッシュ関数の場合、制約は同様に決定することができる。
【0186】
任意選択の事前に解くステップ１２ａでは、制約および／または最適化変数の数を減らすことができる。制約を解析することにより、全体として最適化問題を解く前に、一部の最適化変数の値を決定することができる。例えば、以下を含む制約で開始すると、
【数64】
【0187】
関係ｘ＋ｙ＝１－ｚ≦１を決定することができ、このことから、ｘ＋ｙ＝１およびｚ＝０の関係を決定することができる。続いて、より少ない最適化変数／制約を伴う修正された制約の集合が決定される。
【0188】
【数65】
【0189】
事前に解くことはまた、ＳＣＩＰの中のＰａＰＩＬＯといった事前に解く際のライブラリーを使用することによって、行うことができる。
【0190】
最適化問題をＭＩＬＰとして決定して解く代わりに、最適化問題をＱＵＢＯ問題として決定して解くこともできる。特に、ＭＩＬＰ（式（５３）および（５４））をＱＵＢＯに変換することができる。これに対して、制約（式（５３））がそれぞれ二乗され、合計され、その結果、ＱＵＢＯ目的関数ｆＱＵＢＯが最小化される。
【0191】
【数66】
【0192】
最適化問題は、利用可能なソルバを使用して解くこともできる。ＭＩＬＰおよびＭＩＮＬＰは、例えばＣＰＬＥＸ、Ｇｕｒｏｂｉ、Ｆｉｃｏ ＸＰＲＥＳＳ、ＰａｒａＳＣＩＰ、ＦｉｂｅｒＳＣＩＰ、および／またはオープンソースＳＣＩＰを使用して古典的に解くことができる。ＱＵＢＯ問題は、一般的なアニーリングソルバ、例えば、デジタルアニールおよび／またはＳｉｍｕｌａｔｅｄ Ｂｉｆｕｒｃａｔｉｏｎ Ｍａｃｈｉｎｅを使用して、古典的に解決することができる。
【0193】
量子処理デバイスを用いてＱＵＢＯ問題を解く場合、量子アニーリングデバイス（例えば、Ｄ－Ｗａｖｅアニールデバイス）を用いることができる。この目的のために、ＱＵＢＯ目的関数ｆＱＵＢＯが量子アニーリングデバイスに伝達される。次に、量子アニーリングデバイスでＱＵＢＯが解かれ、最適化変数、特に原像変数Ｍｋの最適値の最適値割り当てが得られる。これにより、暗号化ハッシュ関数の原像要素を決定することができる。
【0194】
本明細書、図および／または特許請求の範囲に開示された特徴は、単独でまたはそれらの様々な組み合わせで解釈される、様々な実施形態の実現のための材料であり得る。
【図1】
【図2】
【図3】
【図4】
【外国語明細書】