知財求人 - 知財ポータルサイト「IP Force」
特開2024-174738認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024174738
(43)【公開日】2024-12-17
(54)【発明の名称】認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241210BHJP
【ＦＩ】
G09C1/00 610Z
【審査請求】未請求
【請求項の数】21
【出願形態】ＯＬ
(21)【出願番号】P 2023092732
(22)【出願日】2023-06-05
(71)【出願人】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100103894
【弁理士】
【氏名又は名称】家入 健
(72)【発明者】
【氏名】向井 明子
(72)【発明者】
【氏名】峯松 一彦
(57)【要約】
【課題】入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能な認証暗号化装置を提供する。
【解決手段】平文分割部３０２は、平文を所定の割合で第１の平文と第２の平文とに分割する。第１暗号化部３１０は、第１の値に基づいて得られるマスク値と、複数の平文ブロックそれぞれとを用いて、暗号化関数により、第１の暗号文を取得する。第２暗号化部３２０は、第１の平文の暗号化において暗号化関数から出力された暗号化結果のうちの第１の平文の暗号化に用いられる値以外の値と、第２の平文とを用いて、第２の暗号文を取得する。認証用タグ生成部３６０は、第１のタグを生成する。認証用タグ生成部３６０は、第２のタグを生成する。認証用タグ生成部３６０は、認証用タグＴを生成する。
【選択図】図２３
【解決手段】平文分割部３０２は、平文を所定の割合で第１の平文と第２の平文とに分割する。第１暗号化部３１０は、第１の値に基づいて得られるマスク値と、複数の平文ブロックそれぞれとを用いて、暗号化関数により、第１の暗号文を取得する。第２暗号化部３２０は、第１の平文の暗号化において暗号化関数から出力された暗号化結果のうちの第１の平文の暗号化に用いられる値以外の値と、第２の平文とを用いて、第２の暗号文を取得する。認証用タグ生成部３６０は、第１のタグを生成する。認証用タグ生成部３６０は、第２のタグを生成する。認証用タグ生成部３６０は、認証用タグＴを生成する。
【選択図】図２３
【特許請求の範囲】
【請求項1】
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する認証暗号化装置。
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する認証暗号化装置。
【請求項2】
前記平文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記平文を前記第１の平文と前記第２の平文とに分割する、
請求項１に記載の認証暗号化装置。
請求項１に記載の認証暗号化装置。
【請求項3】
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する請求項１に記載の認証暗号化装置。
をさらに有する請求項１に記載の認証暗号化装置。
【請求項4】
前記第１の暗号化手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記平文ブロックとの排他的論理和を用いて、前記第１の暗号文を取得する、
請求項１に記載の認証暗号化装置。
請求項１に記載の認証暗号化装置。
【請求項5】
前記第２の暗号化手段は、前記第１の平文の暗号化処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の平文との排他的論理和を用いて、前記第２の暗号文を取得する、
請求項４に記載の認証暗号化装置。
請求項４に記載の認証暗号化装置。
【請求項6】
前記認証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
請求項５に記載の認証暗号化装置。
請求項５に記載の認証暗号化装置。
【請求項7】
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する請求項１に記載の認証暗号化装置。
をさらに有する請求項１に記載の認証暗号化装置。
【請求項8】
前記認証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
請求項７に記載の認証暗号化装置。
請求項７に記載の認証暗号化装置。
【請求項9】
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する認証復号装置。
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する認証復号装置。
【請求項10】
前記暗号文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記暗号文を前記第１の暗号文と前記第２の暗号文とに分割する、
請求項９に記載の認証復号装置。
請求項９に記載の認証復号装置。
【請求項11】
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する請求項９に記載の認証復号装置。
をさらに有する請求項９に記載の認証復号装置。
【請求項12】
前記第１の復号手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記暗号文ブロックとの排他的論理和を用いて、前記第１の平文を取得する、
請求項９に記載の認証復号装置。
請求項９に記載の認証復号装置。
【請求項13】
前記第２の復号手段は、前記第１の暗号文の復号処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の暗号文との排他的論理和を用いて、前記第２の平文を取得する、
請求項１２に記載の認証復号装置。
請求項１２に記載の認証復号装置。
【請求項14】
前記検証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
請求項１３に記載の認証復号装置。
請求項１３に記載の認証復号装置。
【請求項15】
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する請求項９に記載の認証復号装置。
をさらに有する請求項９に記載の認証復号装置。
【請求項16】
前記検証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
請求項１５に記載の認証復号装置。
請求項１５に記載の認証復号装置。
【請求項17】
認証暗号化装置と、
前記認証暗号化装置との間で通信を行う認証復号装置と、
を有し、
前記認証暗号化装置は、
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有し、
前記認証復号装置は、
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
前記暗号化関数を用いて前記ナンスを暗号化して得られる前記第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する、
認証暗号システム。
前記認証暗号化装置との間で通信を行う認証復号装置と、
を有し、
前記認証暗号化装置は、
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有し、
前記認証復号装置は、
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
前記暗号化関数を用いて前記ナンスを暗号化して得られる前記第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する、
認証暗号システム。
【請求項18】
平文を所定の割合で第１の平文と第２の平文とに分割し、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得し、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する、
認証暗号化方法。
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得し、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する、
認証暗号化方法。
【請求項19】
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割し、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得し、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成し、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う、
認証復号方法。
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得し、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成し、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う、
認証復号方法。
【請求項20】
平文を所定の割合で第１の平文と第２の平文とに分割するステップと、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得するステップと、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成するステップと、
をコンピュータに実行させるプログラム。
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得するステップと、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成するステップと、
をコンピュータに実行させるプログラム。
【請求項21】
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割するステップと、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得するステップと、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成するステップと、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、
をコンピュータに実行させるプログラム。
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得するステップと、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成するステップと、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラムに関する。
【背景技術】
【0002】
事前に共有された秘密鍵を用いて、平文メッセージに対して暗号化と改ざん検知用の認証タグ計算とを同時に適用する認証暗号（Authenticated Encryption；ＡＥ）という技術が知られている。通信路に認証暗号ＡＥを適用することにより、盗聴に対する内容の秘匿と、不正な改ざんに対する検知とが可能となり、結果として通信内容に対する強力な保護が実現される。認証暗号に関する技術としては、例えば、特許文献１及び非特許文献１～非特許文献６に開示された技術が知られている。
【0003】
非特許文献１は、「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」という認証暗号化方式を開示する。「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」は、「ＣｈａＣｈａ２０」という暗号化方式と、「Ｐｏｌｙ１３０５」という改ざん検知方式とを組み合わせた技術である。「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」は、入力長よりも出力長の方が長い暗号プリミティブ（暗号部品）を用いて、暗号化処理を行う。「ＣｈａＣｈａ２０」は、例えば非特許文献２に開示されている。「Ｐｏｌｙ１３０５」は、例えば非特許文献３に開示されている。また、非特許文献４は、「ＣｈａＣｈａ２０」に関連する「ＳａｌＳａ２０」という暗号化方式を開示する。また、非特許文献５は、「ＳａｌＳａ２０」の改良版である「ＸＳａｌＳａ２０」という暗号化方式を開示する。また、非特許文献６は、「ＣｈａＣｈａ２０」の改良版である「ＸＣｈａＣｈａ２０」という暗号化方式を開示する。また、特許文献１は、ＯＴＲ（Offset Two-Round）方式という認証暗号化方式を開示する。ＯＴＲは、実質的に平文の暗号化のみの計算コストで認証暗号を実現する認証暗号化方式である。
【先行技術文献】
【特許文献】
【0004】
【特許文献1】特開２０１６－０７５７６５号公報
【非特許文献】
【0005】
【非特許文献1】Y. Nir, and A. Langley、"ChaCha20 and Poly1305 for IETF Protocols"、June 2018、https://www.rfc-editor.org/rfc/rfc8439.html
【非特許文献2】Daniel J. Bernstein、"ChaCha, a variant of Salsa20"、2008.01.20、https://cr.yp.to/chacha/chacha-20080120.pdf
【非特許文献3】Daniel J. Bernstein、"The Poly1305-AES Message-Authentication Code"、2005.03.29、https://link.springer.com/chapter/10.1007/11502760_3
【非特許文献4】Daniel J. Bernstein、"The Salsa20 family of stream ciphers"、2007.12.25、http://cr.yp.to/snuffle/salsafamily-20071225.pdf
【非特許文献5】Daniel J. Bernstein、"Extending the Salsa20 nonce"、2008.11.28、https://cr.yp.to/snuffle/xsalsa-20081128.pdf
【非特許文献6】S. Arciszewski、"XChaCha: eXtended-nonce ChaCha and AEAD_XChaCha20_Poly1305"、January 10, 2020、https://datatracker.ietf.org/doc/html/draft-irtf-cfrg-xchacha-03
【発明の概要】
【発明が解決しようとする課題】
【0006】
非特許文献１にかかる技術は、平文を暗号化したのち、暗号文を用いて改ざん検知のためのタグを生成する。したがって、平文の暗号化及びタグの生成のそれぞれについて、実質的に同等の計算コストが発生する。したがって、非特許文献１にかかる技術では、実質的に平文の暗号化のみの計算コストで認証暗号を実現する方式と比較して、効率的に認証暗号化処理を行うことができないおそれがある。
【0007】
本開示の目的は、このような課題を解決するためになされたものであり、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能な、認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラムを提供することにある。
【課題を解決するための手段】
【0008】
本開示にかかる認証暗号化装置は、平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する。
を有する。
【0009】
また、本開示にかかる認証復号装置は、暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、を有する。
【0010】
また、本開示にかかる認証暗号システムは、認証暗号化装置と、前記認証暗号化装置との間で通信を行う認証復号装置と、を有し、前記認証暗号化装置は、平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、を有し、前記認証復号装置は、暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、前記暗号化関数を用いて前記ナンスを暗号化して得られる前記第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、を有する。
【0011】
また、本開示にかかる認証暗号化方法は、平文を所定の割合で第１の平文と第２の平文とに分割し、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得し、前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得し、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する。
【0012】
また、本開示にかかる認証復号方法は、暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割し、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得し、前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得し、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成し、前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う。
【0013】
また、本開示にかかるプログラムは、平文を所定の割合で第１の平文と第２の平文とに分割するステップと、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得するステップと、前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得するステップと、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成するステップと、をコンピュータに実行させる。
【0014】
また、本開示にかかるプログラムは、暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割するステップと、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得するステップと、前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得するステップと、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成するステップと、前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、をコンピュータに実行させる。
【発明の効果】
【0015】
本開示によれば、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能な、認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラムを提供することが可能な、認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラムを提供できる。
【図面の簡単な説明】
【0016】
【図1】第１の比較例にかかる認証暗号化装置の構成を示す図である。
【図2】第２の比較例にかかる認証暗号化装置の構成を示す図である。
【図3】実施の形態１にかかる認証暗号システムの構成を示す図である。
【図4】実施の形態１にかかる認証暗号化装置の構成を示す図である。
【図5】実施の形態１にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図6】実施の形態１にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図7】実施の形態１にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図8】実施の形態１にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図9】実施の形態１にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図10】実施の形態１にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図11】実施の形態１にかかる認証復号装置の構成を示す図である。
【図12】実施の形態１にかかる認証復号装置によって実行される認証復号処理における演算の概略を示す図である。
【図13】実施の形態１にかかる認証復号装置によって実行される認証復号処理における演算の概略を示す図である。
【図14】実施の形態１にかかる認証復号装置によって実行される認証復号処理における演算の概略を示す図である。
【図15】実施の形態１にかかる認証復号装置によって実行される認証復号処理における演算の概略を示す図である。
【図16】実施の形態１にかかる認証復号装置によって実行される認証復号処理における演算の概略を示す図である。
【図17】実施の形態１にかかる認証暗号化装置で実行される認証暗号化方法を示すフローチャートである。
【図18】実施の形態１にかかる認証復号装置で実行される認証復号方法を示すフローチャートである。
【図19】第２の変形例を説明するための図である。
【図20】実施の形態２にかかる認証暗号化装置の構成を示す図である。
【図21】実施の形態２にかかる認証暗号化装置によって実行される認証暗号化処理における演算の概略を示す図である。
【図22】実施の形態２にかかる認証復号装置の構成を示す図である。
【図23】実施の形態３にかかる認証暗号化装置の構成を示す図である。
【図24】実施の形態３にかかる認証復号装置の構成を示す図である。
【図25】各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。
【発明を実施するための形態】
【0017】
（本実施の形態の概要）
本実施の形態の説明に先立って、本実施の形態の概要について説明する。なお、以下、本実施の形態を説明するが、以下の実施の形態は請求の範囲にかかる発明を限定するものではない。また、実施の形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。また、以下の説明において、使用されるインデックス（英文字）は、本明細書全体で共通のものとは限らない。例えば、インデックスｉは、ある文脈と別の文脈とにおいて、異なるものを意味することがある。また、以下、図面を用いて本実施の形態を説明するが、各実施の形態の説明に用いた各図面は、その実施の形態のみに適用されるのではないことに留意されたい。つまり、各図面は、それぞれ、全ての実施の形態について適用され得る。
本実施の形態の説明に先立って、本実施の形態の概要について説明する。なお、以下、本実施の形態を説明するが、以下の実施の形態は請求の範囲にかかる発明を限定するものではない。また、実施の形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。また、以下の説明において、使用されるインデックス（英文字）は、本明細書全体で共通のものとは限らない。例えば、インデックスｉは、ある文脈と別の文脈とにおいて、異なるものを意味することがある。また、以下、図面を用いて本実施の形態を説明するが、各実施の形態の説明に用いた各図面は、その実施の形態のみに適用されるのではないことに留意されたい。つまり、各図面は、それぞれ、全ての実施の形態について適用され得る。
【0018】
まず、認証暗号（ＡＥ）の基本的な入出力について説明する。なお、以下の説明では、秘密鍵Ｋを共有する２者としてＡｌｉｃｅとＢｏｂとの間の通信を考え、ＡｌｉｃｅからＢｏｂへ認証暗号による暗号化を行ったメッセージを通信するものとする。
【0019】
認証暗号の暗号化関数をＥｎｃとし、復号関数をＤｅｃとする。また、暗号化したい平文をＭとし、さらにナンス（Ｎｏｎｃｅ（ノンス））と呼ばれる変数Ｎ（初期ベクトル）を導入する。また、関連データ（Ａｓｓｏｃｉａｔｅｄ Ｄａｔａ；ＡＤ）をＡとする。ここで、関連データＡ（ヘッダ）は、暗号化は行われないが改ざん検知は行われる値である。関連データＡは、なくてもよい。
【0020】
まず、Ａｌｉｃｅ側の暗号化処理について説明する。Ａｌｉｃｅは、ナンスＮを生成後、（Ｃ，Ｔ）＝Ｅｎｃ＿Ｋ（Ｎ，Ａ，Ｍ）で表される処理を実行する。ここで、Ｅｎｃ＿Ｋは、秘密鍵である鍵Ｋをパラメータとした暗号化関数であり、Ｃは暗号文である。また、Ｔは、タグ（認証タグ）と呼ばれる、固定長の改ざん検知用の変数である。Ａｌｉｃｅは、ナンスＮ、関連データＡ、暗号文Ｃ及びタグＴの組（Ｎ，Ａ，Ｃ，Ｔ）を、Ｂｏｂに送信する。
【0021】
次に、Ｂｏｂ側の復号処理について説明する。Ｂｏｂが受信した情報を（Ｎ’，Ａ’，Ｃ’，Ｔ’）とする。この場合、Ｂｏｂは、復号処理としてＤｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）を実行する。なお、Ｄｅｃ＿Ｋは、鍵Ｋをパラメータとした復号関数である。通信の途中で第三者Ｅｖｅによる改ざんがあり、（Ｎ’，Ａ’，Ｃ’，Ｔ’）≠（Ｎ，Ａ，Ｃ，Ｔ）である場合、Ｄｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）について、改ざんがあったことを示すエラーメッセージ（エラーシンボル⊥）が出力される。つまり、この場合、改ざんが検出される。一方、通信の途中で改ざんがなく、（Ｎ’，Ａ’，Ｃ’，Ｔ’）＝（Ｎ，Ａ，Ｃ，Ｔ）である場合、Ｄｅｃ＿Ｋ（Ｎ’，Ａ’，Ｃ’，Ｔ’）について、Ａｌｉｃｅが暗号化した平文Ｍが正しく復号される。
【0022】
また、上記の処理においては、通常、暗号化においてナンスＮが過去の値と偶然一致してしまわないようにすることが重要である。このために、暗号化側では、カウンタなどの何らかの状態変数を用いて、ナンスの一致を防ぐ。すなわち、典型的には、状態変数として直前に使ったＮを記憶しておき、毎回Ｎをインクリメントすることで、ナンスＮが過去の値と重複しないことが、実現される。
【0023】
図１は、第１の比較例にかかる認証暗号化装置７０の構成を示す図である。図１は、非特許文献１にかかるＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の認証暗号化方式を用いて実現される認証暗号化装置７０の構成を示している。また、図１は、第１の比較例にかかる認証暗号化装置７０の演算の概略を示す図である。なお、以降の説明において、「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」を、単に「ＣＰ」と表記することがある。第１の比較例にかかる認証暗号化装置７０は、暗号化部７２と、鍵生成部７４と、タグ生成部７６とを有する。
【0024】
暗号化部７２は、ランダム関数ＣＣ＿Ｋを用いて、上述したＣｈａＣｈａ２０の暗号化方式により暗号化を行う。ここで、ランダム関数ＣＣ＿Ｋは、入力長が１２８ビットであり、出力長が５１２ビットである暗号化関数（暗号プリミティブ）である。したがって、ランダム関数ＣＣ＿Ｋは、入力長が出力長よりも長い暗号プリミティブである。また、ランダム関数ＣＣ＿Ｋには、２５６ビットの鍵Ｋが入力される。また、ランダム関数ＣＣ＿Ｋは、入力値に対して出力値が見かけ上ランダムである関数である。また、ランダム関数ＣＣ＿Ｋの出力値から入力値を求めることは、極めて困難である。また、入力される鍵が異なるランダム関数ＣＣ＿Ｋは、それぞれ独立な関数とみなし得る。
【0025】
暗号化部７２は、ランダム関数ＣＣ＿Ｋを用いたカウンタモードにより、平文Ｍの暗号化に必要な鍵ストリームＺを生成する。そして、暗号化部７２は、鍵ストリームＺを用いて平文Ｍを暗号化して、暗号文Ｃを取得する。
【0026】
ここで、平文Ｍの長さが５１２×ｍビットであるとする。つまり、ｍは、平文Ｍを５１２ビットの平文ブロックに分割したときのブロック数に対応する。この場合、暗号化部７２は、ｍ個のランダム関数ＣＣ＿Ｋに、それぞれ、３２ビットのカウンタ値「１」，「２」，・・・，「ｍ」と、９６ビットのナンスＮとを入力する。そして、暗号化部７２は、各ランダム関数ＣＣ＿Ｋから出力された値を連結して得られた、５１２×ｍビットの鍵ストリームＺを取得する。そして、暗号化部７２は、平文Ｍと鍵ストリームＺとの排他的論理和（ＸＯＲ）により、暗号文Ｃを取得する。
【0027】
鍵生成部７４は、タグ生成部７６で使用される鍵Ｒ，Ｓを生成する。具体的には、鍵生成部７４は、ランダム関数ＣＣ＿Ｋに、３２ビットのカウンタ値「０」と、ナンスＮとを入力する。そして、鍵生成部７４は、ランダム関数ＣＣ＿Ｋの出力値の上位２５６ビットを１２８ビットずつに分割することで、それぞれ１２８ビットの鍵Ｒ，Ｓを生成する。
【0028】
タグ生成部７６は、上述したＰｏｌｙ１３０５の改ざん検知方式により、認証用のタグＴを生成する。具体的には、タグ生成部７６は、暗号文Ｃと、関連データＡと、鍵Ｒ，Ｓとを、Ｐｏｌｙ１３０５によるＭＡＣ（Message Authentication Code；メッセージ認証コード）関数に入力する。これにより、タグ生成部７６は、ＭＡＣ関数から出力された１２８ビットのタグＴを取得する。なお、関連データＡがない場合、関連データＡはＭＡＣ関数に入力されなくてもよい。
【0029】
さらに具体的には、関連データＡがない場合、タグ生成部７６は、鍵Ｒで定義される多項式ハッシュ関数の出力Ｈ＿Ｒ（Ｃ）と、鍵Ｓとの、ｍｏｄ（２＾１２８）における和を計算することによって、タグＴを取得する。つまり、タグ生成部７６は、鍵Ｒで定義される多項式ハッシュ関数の出力Ｈ＿Ｒ（Ｃ）と鍵Ｓとを用いて、ｍｏｄ（２＾１２８）で定義される演算を行うことによって、タグＴを取得する。つまり、以下の式（１）が成り立つ。
・・・（１）
【数1】
【0030】
また、多項式ハッシュ関数の出力Ｈ＿Ｒ（Ｃ）は、以下の式（２）で表される。
・・・（２）
【数2】
【0031】
図２は、第２の比較例にかかる認証暗号化装置８０の構成を示す図である。図２は、特許文献１にかかるＯＴＲ方式の認証暗号化方式を用いて実現される認証暗号化装置８０の構成を示している。また、図２は、第２の比較例にかかる認証暗号化装置８０の演算の概略を示す図である。
【0032】
ここで、ＯＴＲ方式は、ブロック暗号を暗号部品（暗号プリミティブ）として利用する認証暗号化方式である。また、ＯＴＲ方式は、暗号化のレートが「１」である「レート１方式」の認証暗号化方式である。つまり、ＯＴＲ方式は、１つの平文ブロックについてブロック暗号を１回のみ使用するような、認証暗号化方式である。また、ＯＴＲ方式は、２段Ｆｅｉｓｔｅｌ構造（フェイステル構造）によって暗号化を行う。したがって、暗号化処理と復号処理とで、同じ暗号部品（暗号化関数）が使用される。つまり、復号処理において、暗号化処理で使用される暗号化関数の逆関数である復号関数が、不要となる。以上のような構成により、ＯＴＲ方式は、暗号化のみを行う利用モードと同等の処理量で認証暗号を実現することができる。
【0033】
第２の比較例にかかる認証暗号化装置８０は、暗号化部８２と、タグ生成部８６とを有する。暗号化部８２及びタグ生成部８６は、暗号部品（暗号化関数）として、入力長及び出力長がともにｎビットのブロック暗号関数Ｅ＿Ｋを用いる。
【0034】
暗号化部８２は、上述したように、２段Ｆｅｉｓｔｅｌ構造によって平文の暗号化を行う。具体的には、暗号化部８２は、ブロック暗号関数Ｅ＿Ｋを用いてナンスＮを暗号化して、値Ｌを取得する。暗号化部８２は、平文の暗号化を行う際に、２段Ｆｅｉｓｔｅｌ構造におけるブロック暗号関数Ｅ＿Ｋの入力に、値Ｌから導出されるマスク値の排他的論理和を用いている。なお、各ブロック暗号関数Ｅ＿Ｋに対応するマスク値は、互いに異なることが求められる。
【0035】
具体的には、暗号化部８２は、平文ブロックＭ［１］，・・・，Ｍ［ｍ］における奇数番目の平文ブロックＭ［２ｊ－１］とその次の偶数番目の平文ブロックＭ［２ｊ］とのペアそれぞれに対して、２段Ｆｅｉｓｔｅｌ構造によって暗号化を行う。なお、ｊは１以上ｌ以下の整数である。また、ｍが偶数の場合はｌ＝ｍ／２であり、ｍが奇数の場合はｌ＝（ｍ＋１）／２である。
【0036】
暗号化部８２は、平文ブロックＭ［１］とマスク値Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（Ｌ，Ｍ［１］）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（Ｌ，Ｍ［１］）と平文ブロックＭ［２］との排他的論理和を、平文ブロックＭ［１］に対応する暗号文ブロックＣ［１］として取得する。また、暗号化部８２は、暗号文ブロックＣ［１］とマスク値３Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（３Ｌ，Ｃ［１］）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（３Ｌ，Ｃ［１］）と平文ブロックＭ［１］との排他的論理和を、平文ブロックＭ［２］に対応する暗号文ブロックＣ［２］として取得する。
【0037】
また、暗号化部８２は、平文ブロックＭ［３］とマスク値２Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（２Ｌ，Ｍ［３］）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（２Ｌ，Ｍ［３］）と平文ブロックＭ［４］との排他的論理和を、平文ブロックＭ［３］に対応する暗号文ブロックＣ［３］として取得する。また、暗号化部８２は、暗号文ブロックＣ［３］とマスク値２・３Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（２・３Ｌ，Ｃ［３］）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（２・３Ｌ，Ｃ［３］）と平文ブロックＭ［３］との排他的論理和を、平文ブロックＭ［４］に対応する暗号文ブロックＣ［４］として取得する。
【0038】
以下同様にして、暗号化部８２は、平文ブロックＭ［２ｊ－１］とマスク値２＾（ｊ－１）・Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（２＾（ｊ－１）・Ｌ，Ｍ［２ｊ－１］）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（２＾（ｊ－１）・Ｌ，Ｍ［２ｊ－１］）と平文ブロックＭ［２ｊ］との排他的論理和を、平文ブロックＭ［２ｊ－１］に対応する暗号文ブロックＣ［２ｊ－１］として取得する。また、暗号化部８２は、暗号文ブロックＣ［２ｊ－１］とマスク値２＾（ｊ－１）・３Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（２＾（ｊ－１）・３Ｌ，Ｃ［２ｊ－１］）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（２＾（ｊ－１）・３Ｌ，Ｃ［２ｊ－１］）と平文ブロックＭ［２ｊ－１］との排他的論理和を、平文ブロックＭ［２ｊ］に対応する暗号文ブロックＣ［２ｊ］として取得する。
【0039】
なお、ｍが奇数の場合と偶数の場合とで、最終平文ブロックに対する処理が互いに異なる。ｍが偶数の場合、暗号化部８２は、平文ブロックＭ［ｍ－１］とマスク値２＾（ｌ－１）・Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｚを取得する。なお、Ｚ＝Ｅ＿Ｋ（２＾（ｌ－１）・Ｌ，Ｍ［ｍ－１］）である。ここで、最終平文ブロックＭ［ｍ］のビット長ｘは、ｎビットに満たない場合がある。そこで、暗号化部８２は、暗号化結果Ｚを平文ブロックＭ［ｍ］のビット長ｘ（１≦ｘ≦ｎ）になるように切り詰めたｍｓｂ｛｜Ｍ［ｍ］｜｝（Ｚ）を取得する。なお、ｍｓｂ｛｜Ｍ［ｍ］｜｝（Ｚ）は、暗号化結果Ｚの上位ｘビットのビット列である。また、ｘ＝｜Ｍ［ｍ］｜である。つまり、｜Ｍ［ｉ］｜は、ビット列Ｍ［ｉ］のビット長を示す。
【0040】
そして、暗号化部８２は、ｍｓｂ｛｜Ｍ［ｍ］｜｝（Ｚ）と平文ブロックＭ［ｍ］との排他的論理和を、平文ブロックＭ［ｍ］に対応する暗号文ブロックＣ［ｍ］として取得する。なお、暗号文ブロックＣ［ｍ］のビット数は、平文ブロックＭ［ｍ］のビット数と同じである。また、暗号化部８２は、暗号文ブロックＣ［ｍ］に対してｏｎｅ－ｚｅｒｏパディング処理等のパディング処理を行って、暗号文ブロックＣ［ｍ］に対応するｎビットのビット列ｐａｄ（Ｃ［ｍ］）を取得する。また、暗号化部８２は、ビット列ｐａｄ（Ｃ［ｍ］）とマスク値２＾（ｌ－１）・３Ｌとの排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（２＾（ｌ－１）・３Ｌ，ｐａｄ（Ｃ［ｍ］））を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（２＾（ｌ－１）・３Ｌ，ｐａｄ（Ｃ［ｍ］））と平文ブロックＭ［ｍ－１］との排他的論理和を、平文ブロックＭ［ｍ－１］に対応する暗号文ブロックＣ［ｍ－１］として取得する。
【0041】
ｍが奇数の場合、暗号化部８２は、マスク値２＾（ｌ－１）・Ｌをブロック暗号関数Ｅ＿Ｋに入力して、暗号化結果Ｅ＿Ｋ（２＾（ｌ－１）・Ｌ）を取得する。そして、暗号化部８２は、暗号化結果Ｅ＿Ｋ（２＾（ｌ－１）・Ｌ）を平文ブロックＭ［ｍ］のビット数ｘになるように切り詰めたｍｓｂ｛｜Ｍ［ｍ］｜｝（Ｅ＿Ｋ（２＾（ｌ－１）・Ｌ））を取得する。そして、暗号化部８２は、ｍｓｂ｛｜Ｍ［ｍ］｜｝（Ｅ＿Ｋ（２＾（ｌ－１）・Ｌ））と平文ブロックＭ［ｍ］との排他的論理和を、平文ブロックＭ［ｍ］に対応する暗号文ブロックＣ［ｍ］として取得する。なお、暗号文ブロックＣ［ｍ］のビット数は、平文ブロックＭ［ｍ］のビット数と同じである。
【0042】
タグ生成部８６は、偶数番目の平文ブロックの排他的論理和により、チェックサムΣを取得する。ｍが偶数である場合、チェックサムΣは、以下の式３で表される。なお、円の中に「＋」が描かれた記号は、排他的論理和（ＸＯＲ）を示す。
・・・（３）
【数3】
【0043】
ｍが奇数である場合、チェックサムΣは、以下の式４で表される。
・・・（４）
【数4】
【0044】
タグ生成部８６は、得られたチェックサムΣと適切なマスク値との排他的論理和をブロック暗号関数Ｅ＿Ｋに入力して得られた暗号化結果を、認証用のタグＴとして取得する。なお、｜Ｍ［ｍ］｜≠ｎである場合、つまり最終平文ブロックＭ［ｍ］のビット数がｎでない場合、「適切なマスク値」は、３２Ｌ＊である。また、｜Ｍ［ｍ］｜＝ｎである場合、つまり最終平文ブロックＭ［ｍ］のビット数がｎである場合、「適切なマスク値」は、７Ｌ＊である。なお、ｍが偶数である場合、Ｌ＊＝２＾（ｌ－１）・３Ｌである。また、ｍが奇数である場合、Ｌ＊＝２＾（ｌ－１）・Ｌである。
【0045】
ここで、計算コストという観点から、第１の比較例にかかる問題点について説明する。第２の比較例にかかるＯＴＲ方式は、暗号化のレートが「１」である「レート１方式」の認証暗号化方式である。これに対し、第１の比較例にかかるＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式では、平文を暗号化したのち、暗号文を用いて改ざん検知のためのタグを生成する。したがって、第１の比較例にかかるＣｈａＣｈａ－Ｐｏｌｙ１３０５の方式では、レート１方式と比較して、平文長に対する計算コストが増大する。つまり、第１の比較例にかかるＣｈａＣｈａ－Ｐｏｌｙ１３０５の方式では、レート１方式と比較して、効率的に認証暗号化処理を行うことができないおそれがある。したがって、第１の比較例にかかるＣｈａＣｈａ－Ｐｏｌｙ１３０５の方式で使用される暗号プリミティブを用いても、計算コストがレート１方式の計算コストにできるだけ近くなるようにすることが望まれる。さらに、第１の比較例にかかるＣｈａＣｈａ－Ｐｏｌｙ１３０５の方式で使用される暗号プリミティブは、復号関数がないランダム関数ＣＣ＿Ｋである。したがって、復号関数がない暗号プリミティブを用いても計算コストがレート１方式の計算コストにできるだけ近くなるようにすることが望まれる。
【0046】
これに対し、以下に説明するように、本実施の形態では、第２の比較例にかかるＯＴＲ方式で使用される暗号プリミティブが、第１の比較例にかかるＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式で使用されるような暗号プリミティブに置き換えられている。言い換えると、本実施の形態では、第２の比較例にかかるＯＴＲ方式で使用されるブロック暗号関数Ｅ＿Ｋが、第１の比較例にかかるＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式で使用されるランダム関数ＣＣ＿Ｋのような暗号プリミティブに置き換えられている。ここで、ランダム関数ＣＣ＿Ｋでは、入力長が１２８ビットであるのに対し、出力長が５１２ビットである。したがって、単純にＯＴＲ方式で使用されるブロック暗号関数Ｅ＿Ｋをランダム関数ＣＣ＿Ｋに置き換えるのみだと、出力長と入力長との差分の３８４ビットのビット列が余ることとなる。そこで、本実施の形態にかかる装置では、この３８４ビットの余剰ビット列も用いて、認証暗号化処理を行う。
【0047】
すなわち、本実施の形態にかかる装置は、平文を第１の平文と第２の平文とに分割する。本実施の形態にかかる装置は、第１の平文に対して、ＯＴＲ方式で使用されるブロック暗号関数Ｅ＿Ｋをランダム関数ＣＣ＿Ｋに置き換えたような構成を用いて、第１の暗号文及び第１のタグを生成する。つまり、本実施の形態にかかる装置は、第１の平文に対して、上述したＯＴＲ方式に対応する処理を行う。ただし、本実施の形態にかかる装置は、第１の平文の暗号化の際に、ランダム関数ＣＣ＿Ｋのような、入力長よりも出力長の方が長い暗号プリミティブを用いる。なお、本実施の形態にかかる装置は、第１の平文の暗号化の際に、暗号プリミティブとしてランダム関数ＣＣ＿Ｋを用いなくてもよい。つまり、本実施の形態にかかる装置は、入力長よりも出力長の方が長い暗号プリミティブであれば、ランダム関数ＣＣ＿Ｋ以外の暗号プリミティブを用いてもよい。
【0048】
さらに、本実施の形態にかかる装置は、第２の平文と、上述した３８４ビットの余剰ビット列とを用いて、第２の暗号文及び第２のタグを生成する。すなわち、本実施の形態にかかる装置は、余剰ビット列の連結を鍵ストリームとして、第２の平文とこの鍵ストリームとの排他的論理和により、第２の暗号文を生成する。なお、本実施の形態にかかる装置は、第２の暗号文をＰｏｌｙ１３０５によるＭＡＣ関数に入力することで、第２のタグを生成する。つまり、本実施の形態にかかる装置は、第２の平文に対して、上述したＣｈａＣｈａ２０－Ｐｏｌｙ１３０５に対応する処理を行う。
【0049】
以上のような構成により、本実施の形態にかかる装置は、第１の比較例で使用されるような、入力長が出力長よりも長い暗号プリミティブを用いても、第１の比較例よりも計算コストが抑制された認証暗号を実現することができる。つまり、本実施の形態にかかる装置は、入力長が出力長よりも長い暗号プリミティブを用いても、効率的に認証暗号処理を行うことが可能となる。すなわち、本実施の形態にかかる装置は、第１の比較例と比較して、必要なランダム関数ＣＣ＿Ｋの呼び出し回数をほとんど変化させず、Ｐｏｌｙ１３０５によるＭＡＣ関数に入力されるデータサイズを大きく削減することができる。
【0050】
なお、本実施の形態にかかる装置は、第２の平文と余剰ビット列とを用いて第２のタグを生成する際に、安全性の観点から、Ｐｏｌｙ１３０５によるＭＡＣ関数を用いる。すなわち、認証暗号における安全な改ざん検知のためには、暗号文を１ビットでも改ざんした場合にタグを偽造することが困難となる必要がある。ここで、例えば、「第２の平文と余剰ビット列の連結から得られた鍵ストリームとの排他的論理和により得られた第２の暗号文の改ざん検知」のために、ＯＴＲ方式と同様の手法を採用したと仮定する。つまり、平文ブロックの和（ＸＯＲ）によりチェックサムを計算してこのチェックサムを暗号化してタグを生成するような方法を採用すると仮定する。この場合、以下のように、改ざんを容易に行うことが可能となってしまう。すなわち、改ざん者は、偽造された暗号文と正当な暗号文との差分を適切に調整することで、容易に、チェックサムの値を正当なチェックサムと同じ値にすることができる。改ざん者は、このようにして暗号文を改ざんすることにより、タグの偽造が可能になる。これに対し、本実施の形態のように、第２の暗号文をＭＡＣ関数に入力することによってタグを生成することにより、より確実に安全性を確保することが可能となる。
【0051】
（実施の形態１）
以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。なお、上述したように、実施の形態１にかかる認証暗号化装置は、第２の比較例で使用された暗号プリミティブが、第１の比較例で使用される暗号プリミティブに置き換えられた構成に対応する。なお、以下の説明において、実施の形態１では、暗号プリミティブとして、第１の比較例で使用されるランダム関数ＣＣ＿Ｋが用いられるとしたが、このような構成に限られない。暗号プリミティブとして、入力長よりも出力長の方が長い任意の暗号プリミティブが用いられ得る。
以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。なお、上述したように、実施の形態１にかかる認証暗号化装置は、第２の比較例で使用された暗号プリミティブが、第１の比較例で使用される暗号プリミティブに置き換えられた構成に対応する。なお、以下の説明において、実施の形態１では、暗号プリミティブとして、第１の比較例で使用されるランダム関数ＣＣ＿Ｋが用いられるとしたが、このような構成に限られない。暗号プリミティブとして、入力長よりも出力長の方が長い任意の暗号プリミティブが用いられ得る。
【0052】
図３は、実施の形態１にかかる認証暗号システム１の構成を示す図である。認証暗号システム１は、認証暗号化装置１０と、認証復号装置２０とを有する。認証暗号化装置１０及び認証復号装置２０は、物理的に一体であってもよいし、別個であってもよい。認証暗号化装置１０及び認証復号装置２０が物理的に互いに別個である場合、認証暗号化装置１０及び認証復号装置２０は、有線又は無線を介して通信可能に接続されている。また、後述する認証暗号化装置１０の構成要素が、互いに別の装置で実現されてもよい。同様に、後述する認証復号装置２０それぞれの構成要素が、互いに別の装置で実現されてもよい。また、上述したＡｌｉｃｅとＢｏｂとの間の通信の例において、認証暗号化装置１０はＡｌｉｃｅに対応し、認証復号装置２０はＢｏｂに対応する。つまり、認証暗号化装置１０及び認証復号装置２０との間で通信が行われる。
【0053】
＜認証暗号化装置＞
図４は、実施の形態１にかかる認証暗号化装置１０の構成を示す図である。また、図５～図１０は、実施の形態１にかかる認証暗号化装置１０によって実行される認証暗号化処理における演算の概略を示す図である。図４に示すように、実施の形態１にかかる認証暗号化装置１０は、入力部１００と、平文分割部１０２と、ナンス処理部１０４とを有する。さらに、実施の形態１にかかる認証暗号化装置１０は、第１暗号化部１１０と、第２暗号化部１２０と、チェックサム計算部１３０と、第１タグ生成部１４０と、第２タグ生成部１５０と、タグ統合部１６０と、出力部１７０とを有する。また、第１タグ生成部１４０、第２タグ生成部１５０及びタグ統合部１６０により、認証用タグ生成部１６２が構成される。つまり、認証暗号化装置１０は、認証用タグ生成部１６２を有する。
図４は、実施の形態１にかかる認証暗号化装置１０の構成を示す図である。また、図５～図１０は、実施の形態１にかかる認証暗号化装置１０によって実行される認証暗号化処理における演算の概略を示す図である。図４に示すように、実施の形態１にかかる認証暗号化装置１０は、入力部１００と、平文分割部１０２と、ナンス処理部１０４とを有する。さらに、実施の形態１にかかる認証暗号化装置１０は、第１暗号化部１１０と、第２暗号化部１２０と、チェックサム計算部１３０と、第１タグ生成部１４０と、第２タグ生成部１５０と、タグ統合部１６０と、出力部１７０とを有する。また、第１タグ生成部１４０、第２タグ生成部１５０及びタグ統合部１６０により、認証用タグ生成部１６２が構成される。つまり、認証暗号化装置１０は、認証用タグ生成部１６２を有する。
【0054】
認証暗号化装置１０は、例えばコンピュータ等の情報処理装置によって実現可能である。つまり、認証暗号化装置１０は、ＣＰＵ（Central Processing Unit）などの演算装置と、メモリ又はディスクなどの記憶装置とを有している。認証暗号化装置１０は、例えば、記憶装置に格納されたプログラムを演算装置が実行することで、上記の各構成要素を実現する。このことは、後述する他の実施の形態においても同様である。
【0055】
入力部１００は、入力手段としての機能を有する。平文分割部１０２は、平文分割手段としての機能を有する。ナンス処理部１０４は、ナンス処理手段としての機能を有する。第１暗号化部１１０は、第１の暗号化手段としての機能を有する。第２暗号化部１２０は、第２の暗号化手段としての機能を有する。チェックサム計算部１３０は、チェックサム計算手段としての機能を有する。第１タグ生成部１４０は、第１のタグ生成手段としての機能を有する。第２タグ生成部１５０は、第２のタグ生成手段としての機能を有する。タグ統合部１６０は、タグ統合手段（第１のタグ統合手段）としての機能を有する。認証用タグ生成部１６２は、認証用タグ生成手段としての機能を有する。出力部１７０は、出力手段としての機能を有する。
【0056】
入力部１００は、ナンスＮ、暗号化の対象となる平文Ｍ、及び関連データＡの入力を受け付ける。入力部１００は、例えば、キーボードなどの入力装置により実現されてもよい。入力部１００は、例えば、ネットワークを介して接続された外部装置などから、ナンスＮ、平文Ｍ及び関連データＡの入力を受け付けてもよい。なお、関連データＡが存在しない場合もあり、この場合は、関連データＡは入力されない。
【0057】
なお、入力部１００が、ナンスＮを生成してもよい。この場合、過去の値と重複がないようにナンスＮを生成する。つまり、入力部１００は、過去に生成された値とは異なるナンスＮを生成する。具体的には、例えば、入力部１００は、最初に任意の固定値を生成する。また、入力部１００は、直前に生成したナンスの値を記憶している。そして、入力部１００は、２回目以降にナンスＮを生成する際に、記憶された直前の値に１を加えた値を出力する。このように、入力部１００は、１つ前に既に出力した値に１を加えた値を出力することで、過去に生成した値とは異なるナンスＮを生成してもよい。なお、入力部１００は、過去に生成した値とは異なる値を生成可能ならば、上述した例とは異なる方法でナンスを生成してもよい。あるいは、ナンス生成部のような他の構成要素が、ナンスＮを生成してもよい。
【0058】
入力部１００は、平文Ｍを、平文分割部１０２に出力する。また、入力部１００は、ナンスＮを、ナンス処理部１０４に出力する。また、入力部１００は、関連データＡを、第２タグ生成部１５０に出力する。
【0059】
平文分割部１０２は、平文Ｍを、所定の割合で、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。具体的には、平文分割部１０２は、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝１２８：３８４となるように、平文Ｍを、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。つまり、平文分割部１０２は、入力長ｎ１と、出力長ｎ２から入力長ｎ１を減算した長さｎ３との比に基づいて、平文Ｍを、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。言い換えると、平文分割部１０２は、比ｎ１：ｎ３に基づいて、平文Ｍを、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。なお、ｎ１は、暗号プリミティブであるランダム関数ＣＣ＿Ｋの入力長であり、ｎ１＝１２８ビットである。また、ｎ２は、暗号プリミティブであるランダム関数ＣＣ＿Ｋの出力長であり、ｎ２＝５１２ビットである。したがって、ｎ３＝５１２－１２８＝３８４ビットである。
【0060】
さらに具体的には、平文分割部１０２は、平文Ｍを、暗号プリミティブの出力長に対応する長さに分割する。つまり、平文分割部１０２は、平文Ｍを、それぞれｎ２＝５１２ビットの平文部分Ｍ［１］，・・・，Ｍ［ｍ］に分割する。なお、ｍは、平文部分の数である。なお、平文Ｍのビット長が５１２の倍数でない場合、｜Ｍ［ｍ］｜＜５１２となる。
【0061】
平文分割部１０２は、ｉ＝１，・・・，ｍのそれぞれについて、５１２ビットの平文部分Ｍ［ｉ］を、１２８ビットの平文ブロックＭ＿Ｏ［ｉ］と３８４ビットの平文ブロックＭ＿Ｃ［ｉ］とに分割する。つまり、平文分割部１０２は、平文部分Ｍ［ｉ］を、ｎ１ビットの平文ブロックＭ＿Ｏ［ｉ］とｎ３ビットの平文ブロックＭ＿Ｃ［ｉ］とに分割する。これにより、平文分割部１０２は、Ｍ＿Ｏ＝Ｍ＿Ｏ［１］｜｜Ｍ＿Ｏ［２］｜｜・・・｜｜Ｍ＿Ｏ［ｍ］である第１の平文Ｍ＿Ｏを取得する。また、平文分割部１０２は、Ｍ＿Ｃ＝Ｍ＿Ｃ［１］｜｜Ｍ＿Ｃ［２］｜｜・・・｜｜Ｍ＿Ｃ［ｍ］である第２の平文Ｍ＿Ｃを取得する。なお、「｜｜」はビット列の連結を示す。｜Ｍ［ｍ］｜＝５１２の場合、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝１２８：３８４となる。なお、後述するように、第１の平文Ｍ＿Ｏは、暗号プリミティブをランダム関数ＣＣ＿Ｋとして、ＯＴＲ方式により、処理される。また、第２の平文Ｍ＿Ｃは、ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式で処理される。平文分割部１０２は、第１の平文Ｍ＿Ｏを第１暗号化部１１０に出力する。また、平文分割部１０２は、第２の平文Ｍ＿Ｃを第２暗号化部１２０に出力する。
【0062】
なお、１２８＜｜Ｍ［ｍ］｜＜５１２の場合、平文分割部１０２は、平文部分Ｍ［ｍ］を、１２８ビットのＭ＿Ｏ［ｍ］と３８４ビット未満のＭ＿Ｃ［ｍ］とに分割してもよい。そして、｜Ｍ［ｍ］｜≦１２８の場合、平文分割部１０２は、平文部分Ｍ［ｍ］を、１２８ビット未満のＭ＿Ｏ［ｍ］と０ビットのＭ＿Ｃ［ｍ］とに分割してもよい。つまり、｜Ｍ［ｍ］｜≦１２８の場合、平文分割部１０２は、平文部分Ｍ［ｍ］をそのままＭ＿Ｏ［ｍ］としてもよい。
【0063】
ナンス処理部１０４は、ランダム関数ＣＣ＿Ｋを用いてナンスＮを処理する。具体的には、図５に示すように、ナンス処理部１０４は、１２８ビットのナンスＮをランダム関数ＣＣ＿Ｋに入力して、出力された５１２ビットのビット列（乱数）を取得する。また、ナンス処理部１０４は、５１２ビットのビット列を、それぞれ１２８ビット（＝ｎ１）のビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４に分割する。そして、ナンス処理部１０４は、ビット列Ｌ＿１，Ｌ＿２を第１暗号化部１１０に出力する。また、ナンス処理部１０４は、ビット列Ｌ＿３，Ｌ＿４を第２タグ生成部１５０に出力する。なお、ビット列Ｌ＿１，Ｌ＿２（第１の値）は、第１の平文Ｍ＿Ｏの暗号化処理の際に用いられるマスク値を取得するために使用される。また、ビット列Ｌ＿３，Ｌ＿４（第２の値）は、第２の平文Ｍ＿Ｃに対応する第２のタグＴ＿Ｃを生成する際に用いられる鍵として使用される。つまり、ビット列Ｌ＿３，Ｌ＿４は、上述した鍵Ｒ，Ｓに対応する。
【0064】
第１暗号化部１１０は、ランダム関数ＣＣ＿Ｋを用いて、ＯＴＲ方式により、第１の平文Ｍ＿Ｏを暗号化する。このとき、第１暗号化部１１０は、ビット列Ｌ＿１，Ｌ＿２に基づいて得られるマスク値を用いて、第１の平文Ｍ＿Ｏが分割された平文ブロックＭ＿Ｏ［１］，・・・，Ｍ＿Ｏ［ｍ］を暗号化する。つまり、第１暗号化部１１０は、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化して得られる値Ｌ＿１，Ｌ＿２に基づいて得られるマスク値と、複数の平文ブロックＭ＿Ｏ［ｉ］それぞれとを用いて、ランダム関数ＣＣ＿Ｋにより第１の暗号文Ｃ＿Ｏを取得する。また、第１暗号化部１１０は、ランダム関数ＣＣ＿Ｋ（暗号化関数）から出力された暗号化結果のうちの入力長に対応するビット数の第１の乱数と平文ブロックとの排他的論理和を用いて、第１の暗号文Ｃ＿Ｏを取得する。ここで、第１の暗号文Ｃ＿Ｏは、第１の平文Ｍ＿Ｏが暗号化された値に対応する。また、上述したように、複数の平文ブロックＭ＿Ｏ［ｉ］は、第１の平文Ｍ＿Ｏがランダム関数ＣＣ＿Ｋの入力長に対応する長さに分割されて得られる。
【0065】
具体的には、図６に示すように、第１暗号化部１１０は、平文ブロックＭ＿Ｏ［２ｊ－１］と平文ブロックＭ＿Ｏ［２ｊ］とのペアそれぞれに対して、２段Ｆｅｉｓｔｅｌ構造によって暗号化を行う。ここで、平文ブロックＭ＿Ｏ［２ｊ－１］は、平文ブロックＭ＿Ｏ［１］，・・・，Ｍ＿Ｏ［ｍ］における奇数番目の平文ブロックである。また、平文ブロックＭ＿Ｏ［２ｊ］は、平文ブロックＭ＿Ｏ［２ｊ－１］の次の偶数番目の平文ブロックである。なお、ｊは１以上ｌ以下の整数である。また、ｍが偶数の場合はｌ＝ｍ／２であり、ｍが奇数の場合はｌ＝（ｍ＋１）／２である。後述するように、第１暗号化部１１０は、ランダム関数ＣＣ＿Ｋ（暗号化関数）から出力された暗号化結果のうちの入力長ｎ１に対応するビット数の第１の乱数と平文ブロックＭ＿Ｏ［ｉ］との排他的論理和を用いて、第１の暗号文Ｃ＿Ｏを取得する。なお、第１の乱数は、後述する乱数ｚ＿ｉに対応する。
【0066】
第１暗号化部１１０は、１２８ビットの平文ブロックＭ＿Ｏ［１］と１２８ビットのマスク値Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１暗号化部１１０は、５１２ビット（＝ｎ２）の暗号化結果ＣＣ＿Ｋ（Ｌ＿１，Ｍ＿Ｏ［１］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（Ｌ＿１，Ｍ＿Ｏ［１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿１と３８４ビット（＝ｎ３）の乱数Ｓ＿１とに分割する。例えば、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（Ｌ＿１，Ｍ＿Ｏ［１］）の上位１２８ビットを乱数ｚ＿１とし、下位３８４ビットを乱数Ｓ＿１としてもよい。このことは、ｉ＝１以外の平文ブロックＭ＿Ｏ［ｉ］についても同様である。ここで、乱数Ｓ＿１は、上述した余剰ビット列に対応する。
【0067】
そして、第１暗号化部１１０は、乱数ｚ＿１と平文ブロックＭ＿Ｏ［２］との排他的論理和を、平文ブロックＭ＿Ｏ［１］に対応する暗号文ブロックＣ＿Ｏ［１］として取得する。また、第１暗号化部１１０は、暗号文ブロックＣ＿Ｏ［１］とマスク値Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（Ｌ＿２，Ｃ＿Ｏ［１］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（Ｌ＿２，Ｃ＿Ｏ［１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿２と３８４ビット（＝ｎ３）の乱数Ｓ＿２とに分割する。そして、第１暗号化部１１０は、乱数ｚ＿２と平文ブロックＭ＿Ｏ［１］との排他的論理和を、平文ブロックＭ＿Ｏ［２］に対応する暗号文ブロックＣ＿Ｏ［２］として取得する。ここで、乱数Ｓ＿２は、上述した余剰ビット列に対応する。
【0068】
また、第１暗号化部１１０は、１２８ビットの平文ブロックＭ＿Ｏ［３］と１２８ビットのマスク値２・Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１暗号化部１１０は、５１２ビットの暗号化結果ＣＣ＿Ｋ（２・Ｌ＿１，Ｍ＿Ｏ［３］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２・Ｌ＿１，Ｍ＿Ｏ［３］）を、１２８ビット（＝ｎ１）の乱数ｚ＿３と３８４ビット（＝ｎ３）の乱数Ｓ＿３とに分割する。ここで、乱数Ｓ＿３は、上述した余剰ビット列に対応する。
【0069】
そして、第１暗号化部１１０は、乱数ｚ＿３と平文ブロックＭ＿Ｏ［４］との排他的論理和を、平文ブロックＭ＿Ｏ［３］に対応する暗号文ブロックＣ＿Ｏ［３］として取得する。また、第１暗号化部１１０は、暗号文ブロックＣ＿Ｏ［３］とマスク値２・Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２・Ｌ＿２，Ｃ＿Ｏ［３］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２・Ｌ＿２，Ｃ＿Ｏ［３］）を、１２８ビット（＝ｎ１）の乱数ｚ＿４と３８４ビット（＝ｎ３）の乱数Ｓ＿４とに分割する。そして、第１暗号化部１１０は、乱数ｚ＿４と平文ブロックＭ＿Ｏ［３］との排他的論理和を、平文ブロックＭ＿Ｏ［４］に対応する暗号文ブロックＣ＿Ｏ［４］として取得する。ここで、乱数Ｓ＿４は、上述した余剰ビット列に対応する。
【0070】
以下同様にして、第１暗号化部１１０は、１２８ビットの平文ブロックＭ＿Ｏ［２ｊ－１］と１２８ビットのマスク値２＾（ｊ－１）・Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１暗号化部１１０は、５１２ビットの暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿１，Ｍ＿Ｏ［２ｊ－１］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿１，Ｍ＿Ｏ［２ｊ－１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿（２ｊ－１）と３８４ビット（＝ｎ３）の乱数Ｓ＿（２ｊ－１）とに分割する。ここで、乱数Ｓ＿（２ｊ－１）は、上述した余剰ビット列に対応する。
【0071】
そして、第１暗号化部１１０は、乱数ｚ＿（２ｊ－１）と平文ブロックＭ＿Ｏ［２ｊ］との排他的論理和を、平文ブロックＭ＿Ｏ［２ｊ－１］に対応する暗号文ブロックＣ＿Ｏ［２ｊ－１］として取得する。また、第１暗号化部１１０は、暗号文ブロックＣ＿Ｏ［２ｊ－１］とマスク値２＾（ｊ－１）・Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿２，Ｃ＿Ｏ［２ｊ－１］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿２，Ｃ＿Ｏ［２ｊ－１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿（２ｊ）と３８４ビット（＝ｎ３）の乱数Ｓ＿（２ｊ）とに分割する。そして、第１暗号化部１１０は、乱数ｚ＿（２ｊ）と平文ブロックＭ＿Ｏ［２ｊ－１］との排他的論理和を、平文ブロックＭ＿Ｏ［２ｊ］に対応する暗号文ブロックＣ＿Ｏ［２ｊ］として取得する。ここで、乱数Ｓ＿（２ｊ）は、上述した余剰ビット列に対応する。
【0072】
なお、ｍが奇数の場合と偶数の場合とで、最終平文ブロックに対する処理が互いに異なる。ｍが偶数の場合、第１暗号化部１１０は、図７で示すような処理を行う。第１暗号化部１１０は、１２８ビット（＝ｎ１）の平文ブロックＭ＿Ｏ［ｍ－１］と１２８ビット（＝ｎ１）のマスク値２＾（ｌ－１）・Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１暗号化部１１０は、５１２ビット（＝ｎ２）の暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１，Ｍ＿Ｏ［ｍ－１］）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１，Ｍ＿Ｏ［ｍ－１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿（ｍ－１）と３８４ビット（＝ｎ３）の乱数Ｓ＿（ｍ－１）とに分割する。ここで、Ｚ＝ｚ＿（ｍ－１）とする。ここで、乱数Ｓ＿（ｍ－１）は、上述した余剰ビット列に対応する。
【0073】
そして、第１暗号化部１１０は、乱数Ｚを平文ブロックＭ＿Ｏ［ｍ］のビット長ｘ（１≦ｘ≦ｎ１（＝１２８））になるように切り詰めたｍｓｂ｛｜Ｍ＿Ｏ［ｍ］｜｝（Ｚ）を取得する。そして、第１暗号化部１１０は、ｍｓｂ｛｜Ｍ＿Ｏ［ｍ］｜｝（Ｚ）と平文ブロックＭ＿Ｏ［ｍ］との排他的論理和を、平文ブロックＭ＿Ｏ［ｍ］に対応する暗号文ブロックＣ＿Ｏ［ｍ］として取得する。なお、暗号文ブロックＣ＿Ｏ［ｍ］のビット数は、平文ブロックＭ＿Ｏ［ｍ］のビット数と同じである。
【0074】
また、第１暗号化部１１０は、暗号文ブロックＣ＿Ｏ［ｍ］に対してｏｎｅ－ｚｅｒｏパディング処理等のパディング処理を行って、暗号文ブロックＣ＿Ｏ［ｍ］に対応する１２８ビット（＝ｎ１）のビット列ｐａｄ（Ｃ＿Ｏ［ｍ］）を取得する。また、第１暗号化部１１０は、ビット列ｐａｄ（Ｃ＿Ｏ［ｍ］）とマスク値２＾（ｌ－１）・Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿２，ｐａｄ（Ｃ＿Ｏ［ｍ］））を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿２，ｐａｄ（Ｃ＿Ｏ［ｍ］））を、１２８ビット（＝ｎ１）の乱数ｚ＿ｍと３８４ビット（＝ｎ３）の乱数Ｓ＿ｍとに分割する。そして、第１暗号化部１１０は、乱数ｚ＿ｍと平文ブロックＭ＿Ｏ［ｍ－１］との排他的論理和を、平文ブロックＭ＿Ｏ［ｍ－１］に対応する暗号文ブロックＣ＿Ｏ［ｍ－１］として取得する。ここで、乱数Ｓ＿ｍは、上述した余剰ビット列に対応する。
【0075】
ｍが奇数の場合、第１暗号化部１１０は、図８で示すような処理を行う。第１暗号化部１１０は、マスク値２＾（ｌ－１）・Ｌ＿１をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１）を取得する。そして、第１暗号化部１１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１）を、１２８ビット（＝ｎ１）の乱数ｚ＿ｍと３８４ビット（＝ｎ３）の乱数Ｓ＿ｍとに分割する。そして、第１暗号化部１１０は、乱数ｚ＿ｍを平文ブロックＭ＿Ｏ［ｍ］のビット長ｘ（１≦ｘ≦ｎ１（＝１２８））になるように切り詰めたｍｓｂ｛｜Ｍ＿Ｏ［ｍ］｜｝（ｚ＿ｍ）を取得する。そして、第１暗号化部１１０は、ｍｓｂ｛｜Ｍ＿Ｏ［ｍ］｜｝（ｚ＿ｍ）と平文ブロックＭ＿Ｏ［ｍ］との排他的論理和を、平文ブロックＭ＿Ｏ［ｍ］に対応する暗号文ブロックＣ＿Ｏ［ｍ］として取得する。なお、暗号文ブロックＣ＿Ｏ［ｍ］のビット数は、平文ブロックＭ＿Ｏ［ｍ］のビット数と同じである。
【0076】
第１暗号化部１１０は、暗号文ブロックＣ＿Ｏ［１］，・・・，Ｃ＿Ｏ［ｍ］を、第１の暗号文Ｃ＿Ｏとして、出力部１７０に出力する。このとき、第１暗号化部１１０は、暗号文ブロックＣ＿Ｏ［１］，・・・，Ｃ＿Ｏ［ｍ］が連結されたＣ＿Ｏ（＝Ｃ＿Ｏ［１］｜｜・・・｜｜Ｃ＿Ｏ［ｍ］）を、出力部１７０に出力してもよい。
【0077】
また、第１暗号化部１１０は、余剰ビット列に対応する乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍを連結して、３８４×ｍビットの乱数Ｓを取得する。つまり、Ｓ＝Ｓ＿１｜｜Ｓ＿２｜｜・・・｜｜Ｓ＿ｍである。なお、厳密には、｜Ｓ｜＝３８４×ｍとなるのは、｜Ｍ｜＝５１２×ｍである場合であることに留意されたい。そして、第１暗号化部１１０は、乱数Ｓを第２暗号化部１２０に出力する。なお、第１暗号化部１１０は、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍを連結しないで第２暗号化部１２０に出力してもよい。この場合、第２暗号化部１２０が、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍを連結して、３８４×ｍビット（＝ｎ３×ｍ）の乱数Ｓを取得してもよい。
【0078】
ここで、第１の平文Ｍ＿Ｏの暗号化において暗号化関数であるランダム関数ＣＣ＿Ｋから出力された暗号化結果のうち、値ｚ＿１，・・・，ｚ＿ｍは、第１の平文Ｍ＿Ｏの暗号化で用いられる。これに対し、ランダム関数ＣＣ＿Ｋから出力された暗号化結果のうち、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍ（乱数Ｓ）は、第１の平文Ｍ＿Ｏの暗号化で用いられる値以外の値である。
【0079】
チェックサム計算部１３０は、複数の平文ブロックＭ＿Ｏ［ｉ］の一部の排他的論理和に基づいてチェックサムΣを計算する。具体的には、チェックサム計算部１３０は、偶数番目の平文ブロックＭ＿Ｏ［２］，Ｍ＿Ｏ［４］，・・・の排他的論理和により、チェックサムΣを計算する。さらに具体的には、ｍが偶数である場合、チェックサム計算部１３０は、以下の式５で表されるようにして、１２８ビット（＝ｎ１）のチェックサムΣを計算する。
・・・（５）
【数5】
【0080】
一方、ｍが奇数である場合、チェックサム計算部１３０は、以下の式６で表されるようにして、１２８ビット（＝ｎ１）のチェックサムΣを計算する。
・・・（６）
【数6】
【0081】
ここで、チェックサム計算部１３０がＣ＿Ｏ［ｍ］に対してｏｎｅ－ｚｅｒｏパディング処理を行う場合、式５の「ｐａｄ（Ｃ＿Ｏ［ｍ］）」は、ｏｚｐ（Ｃ＿Ｏ［ｍ］）と表され得る。同様に、チェックサム計算部１３０がＭ＿Ｏ［ｍ］に対してｏｎｅ－ｚｅｒｏパディング処理を行う場合、式６の「ｐａｄ（Ｍ＿Ｏ［ｍ］）」は、ｏｚｐ（Ｍ＿Ｏ［ｍ］）と表され得る。これらのことは、他のｐａｄ（）についても同様である。チェックサム計算部１３０は、得られたチェックサムΣを、第１タグ生成部１４０に出力する。
【0082】
認証用タグ生成部１６２の第１タグ生成部１４０は、認証用のタグを生成するための第１のタグＴ＿Ｏを生成する。第１タグ生成部１４０は、チェックサムΣを用いて、ＯＴＲ方式により、第１のタグＴ＿Ｏを生成する。具体的には、図９に示すように、第１タグ生成部１４０は、チェックサムΣと適切なマスク値Ｌ＾＊とを用いて、暗号化関数であるランダム関数ＣＣ＿Ｋにより、第１のタグＴ＿Ｏ（第１の部分タグ）を生成する。ここで、マスク値Ｌ＾＊は、後述するように、ビット列Ｌ＿１，Ｌ＿２に基づいて得られる。つまり、第１タグ生成部１４０は、複数の平文ブロックの一部の排他的論理和に基づいて得られる値（チェックサムΣ）と、ビット列Ｌ＿１，Ｌ＿２（第１の値）に基づいて得られるマスク値Ｌ＾＊とを用いて、暗号化関数により、第１のタグＴ＿Ｏを生成する。
【0083】
さらに具体的には、第１タグ生成部１４０は、１２８ビット（＝ｎ１）のチェックサムΣと１２８ビット（＝ｎ１）のマスク値Ｌ＾＊との排他的論理和を用いて、ランダム関数ＣＣ＿Ｋにより、１２８ビット（＝ｎ１）の第１のタグＴ＿Ｏを生成する。第１タグ生成部１４０は、チェックサムΣとマスク値Ｌ＾＊との排他的論理和をランダム関数ＣＣ＿Ｋに入力して得られた暗号化結果を、第１のタグＴ＿Ｏとして取得する。第１タグ生成部１４０は、生成された第１のタグＴ＿Ｏを、タグ統合部１６０に出力する。
【0084】
ここで、ｍが偶数であり且つ｜Ｍ［ｍ］｜＝ｎ１（＝１２８ビット）である場合、Ｌ＾＊＝３・２＾（ｌ－１）・Ｌ＿２であってもよい。また、ｍが偶数であり且つ｜Ｍ［ｍ］｜≠ｎ１である場合、Ｌ＾＊＝３＾２・２＾（ｌ－１）・Ｌ＿２であってもよい。また、ｍが奇数であり且つ｜Ｍ［ｍ］｜＝ｎ１である場合、Ｌ＾＊＝３・２＾（ｌ－１）・Ｌ＿１であってもよい。また、ｍが奇数であり且つ｜Ｍ［ｍ］｜≠ｎ１である場合、Ｌ＾＊＝３＾２・２＾（ｌ－１）・Ｌ＿１であってもよい。なお、上記の例では、３倍算を用いてマスク値Ｌ＾＊が求められるが、マスク値Ｌ＾＊の求め方は、これに限定されない。例えば、７倍算を用いてマスク値Ｌ＾＊が求められてもよい。
【0085】
第２暗号化部１２０は、ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式（ＣＰ方式）により、第２の平文Ｍ＿Ｃの暗号化を行う。具体的には、図１０に示すように、第２暗号化部１２０は、乱数Ｓを鍵ストリームとして用いて平文Ｍ＿Ｃを暗号化する。これにより、第２暗号化部１２０は、第２の平文Ｍ＿Ｃが暗号化された第２の暗号文Ｃ＿Ｃを取得する。つまり、第２暗号化部１２０は、乱数Ｓ（第２の乱数）と第２の平文Ｍ＿Ｃとを用いて、第２の平文Ｍ＿Ｃが暗号化された第２の暗号文Ｃ＿Ｃを取得する。なお、上述したように、乱数Ｓ（Ｓ＿１、Ｓ＿２、・・・）は、第１の平文Ｍ＿Ｏの暗号化においてランダム関数ＣＣ＿Ｋ（暗号化関数）から出力された暗号化結果のうちの第１の平文Ｍ＿Ｏの暗号化に用いられる値（乱数ｚ；第１の乱数）以外の値である。
【0086】
さらに具体的には、第２暗号化部１２０は、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍ（第２の乱数）が連結されて得られた値（乱数Ｓ）と第２の平文Ｍ＿Ｃとの排他的論理和を用いて、第２の暗号文Ｃ＿Ｃを取得する。すなわち、第２暗号化部１２０は、乱数Ｓ（＝Ｓ＿１｜｜Ｓ＿２｜｜・・・｜｜Ｓ＿ｍ）を第２の平文Ｍ＿Ｃのビット数になるように切り詰めたｍｓｂ｛｜Ｍ＿Ｃ｜｝（Ｓ）を取得する。そして、第２暗号化部１２０は、ｍｓｂ｛｜Ｍ＿Ｃ｜｝（Ｓ）と第２の平文Ｍ＿Ｃとの排他的論理和を、第２の平文Ｍ＿Ｃに対応する第２の暗号文Ｃ＿Ｃとして取得する。第２暗号化部１２０は、第２の暗号文Ｃ＿Ｃを、第２タグ生成部１５０と出力部１７０とに出力する。
【0087】
認証用タグ生成部１６２の第２タグ生成部１５０は、認証用のタグを生成するための第２のタグＴ＿Ｃを生成する。第２タグ生成部１５０は、第２の暗号文Ｃ＿Ｃを用いて、ＣＰ方式により、第２のタグＴ＿Ｃを生成する。具体的には、図１０に示すように、第２タグ生成部１５０は、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化して得られるビット列Ｌ＿３，Ｌ＿４（第２の値）と、第２の暗号文Ｃ＿Ｃとを用いて、第２のタグＴ＿Ｃを生成する。さらに具体的には、第２タグ生成部１５０は、ビット列Ｌ＿３，Ｌ＿４（第２の値）と、第２の暗号文Ｃ＿Ｃとを用いて、メッセージ認証コードによる関数（ＭＡＣ関数）により、第２のタグＴ＿Ｃを生成する。このとき、上述したように、第２タグ生成部１５０は、１２８ビット（＝ｎ１）のビット列Ｌ＿３，Ｌ＿４を、それぞれ、鍵Ｒ，Ｓに対応する鍵として用いる。
【0088】
第２タグ生成部１５０は、第２の暗号文Ｃ＿Ｃと、関連データＡと、鍵Ｌ＿３，Ｌ＿４とを、ＣＰ方式で用いられるＰｏｌｙ１３０５によるＭＡＣ関数に入力する。これにより、第２タグ生成部１５０は、ＭＡＣ関数から出力された１２８ビットのビット列を、第２のタグＴ＿Ｃとして取得する。なお、関連データＡがない場合、関連データＡは、ＭＡＣ関数に入力されない。第２タグ生成部１５０は、第２のタグＴ＿Ｃをタグ統合部１６０に出力する。なお、第１の比較例では、タグ生成部７６は、多項式ハッシュ関数の出力Ｈ＿Ｒと鍵Ｓとのｍｏｄ（２＾１２８）における和を計算することでタグＴを生成しているが、このような構成に限られない。第２タグ生成部１５０は、鍵Ｌ＿３で定義される多項式ハッシュ関数の出力Ｈ＿Ｌ３と鍵Ｌ＿４との任意の群における和を計算することで、タグを生成してもよい。このことは、後述する認証復号装置２０及び他の実施の形態でも同様である。
【0089】
認証用タグ生成部１６２は、認証用タグＴを生成する。タグ統合部１６０は、第１のタグＴ＿Ｏと第２のタグＴ＿Ｃとを統合して、１つの認証用のタグＴを生成する。具体的には、図９に示すように、タグ統合部１６０は、第１のタグＴ＿Ｏと第２のタグＴ＿Ｃとの排他的論理和を、認証用タグＴとして取得する。つまり、認証用タグ生成部１６２は、第１のタグＴ＿Ｏを生成し、第２のタグＴ＿Ｃを生成して、認証用タグＴを生成する。認証用タグ生成部１６２（タグ統合部１６０）は、認証用タグＴを、出力部１７０に出力する。
【0090】
出力部１７０は、暗号文Ｃ及び認証用タグＴを出力するための制御を行う。ここで、出力部１７０は、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとを用いて、以下のようにして、平文Ｍに対応する暗号文Ｃを生成してもよい。すなわち、出力部１７０は、第２の暗号文Ｃ＿Ｃを３８４ビット（＝ｎ３）の暗号文ブロックＣ＿Ｃ［１］，・・・，Ｃ＿Ｃ［ｍ］に分割する。なお、暗号文ブロックＣ＿Ｃ［ｍ］のビット数は、平文ブロックＭ＿Ｃ［ｍ］のビット数と同じである。また、出力部１７０は、ｉ＝１，・・・，ｍのそれぞれについて、１２８ビット（＝ｎ１）の暗号文ブロックＣ＿Ｏ［ｉ］と３８４ビット（＝ｎ３）の暗号文ブロックＣ＿Ｃ［ｉ］とを連結して、５１２ビット（＝ｎ２）の暗号文部分Ｃ［ｉ］を取得する。つまり、Ｃ［ｉ］＝Ｃ＿Ｏ［ｉ］｜｜Ｃ＿Ｃ［ｉ］である。なお、Ｃ［ｍ］のビット数は、Ｍ［ｍ］のビット数と同じである。そして、出力部１７０は、暗号文部分Ｃ［１］，・・・，Ｃ［ｍ］を連結して、暗号文Ｃを取得する。つまり、Ｃ＝Ｃ［１］｜｜・・・｜｜Ｃ［ｍ］である。
【0091】
出力部１７０は、例えば、ディスプレイなどの出力装置に暗号文Ｃと認証用タグＴとを表示させるための制御を行ってもよい。また、出力部１７０は、例えば、ネットワークを介して接続された外部装置などに対して、暗号文Ｃ及び認証用タグＴを出力するように制御を行ってもよい。また、出力部１７０は、ナンスＮ及び関連データＡを出力するように制御を行ってもよい。例えば、出力部１７０は、（Ｎ，Ａ，Ｃ，Ｔ）を、認証復号装置２０に送信する。
【0092】
＜認証復号装置＞
図１１は、実施の形態１にかかる認証復号装置２０の構成を示す図である。また、図１２～図１６は、実施の形態１にかかる認証復号装置２０によって実行される認証復号処理における演算の概略を示す図である。図１１に示すように、実施の形態１にかかる認証復号装置２０は、入力部２００と、暗号文分割部２０２と、ナンス処理部２０４とを有する。さらに、実施の形態１にかかる認証復号装置２０は、第１復号部２１０と、第２復号部２２０と、チェックサム計算部２３０と、第１タグ生成部２４０と、第２タグ生成部２５０と、タグ統合部２６０と、検証部２７０と、出力部２８０とを有する。また、第１タグ生成部２４０、第２タグ生成部２５０及びタグ統合部２６０により、検証用タグ生成部２６２が構成される。つまり、認証復号装置２０は、検証用タグ生成部２６２を有する。
図１１は、実施の形態１にかかる認証復号装置２０の構成を示す図である。また、図１２～図１６は、実施の形態１にかかる認証復号装置２０によって実行される認証復号処理における演算の概略を示す図である。図１１に示すように、実施の形態１にかかる認証復号装置２０は、入力部２００と、暗号文分割部２０２と、ナンス処理部２０４とを有する。さらに、実施の形態１にかかる認証復号装置２０は、第１復号部２１０と、第２復号部２２０と、チェックサム計算部２３０と、第１タグ生成部２４０と、第２タグ生成部２５０と、タグ統合部２６０と、検証部２７０と、出力部２８０とを有する。また、第１タグ生成部２４０、第２タグ生成部２５０及びタグ統合部２６０により、検証用タグ生成部２６２が構成される。つまり、認証復号装置２０は、検証用タグ生成部２６２を有する。
【0093】
認証復号装置２０は、例えばコンピュータ等の情報処理装置によって実現可能である。つまり、認証復号装置２０は、ＣＰＵなどの演算装置と、メモリ又はディスクなどの記憶装置とを有している。認証復号装置２０は、例えば、記憶装置に格納されたプログラムを演算装置が実行することで、上記の各構成要素を実現する。このことは、後述する他の実施の形態においても同様である。
【0094】
入力部２００は、入力手段としての機能を有する。暗号文分割部２０２は、暗号文分割手段としての機能を有する。ナンス処理部２０４は、ナンス処理手段としての機能を有する。第１復号部２１０は、第１の復号手段としての機能を有する。第２復号部２２０は、第２の復号手段としての機能を有する。チェックサム計算部２３０は、チェックサム計算手段としての機能を有する。第１タグ生成部２４０は、第１のタグ生成手段（第３のタグ生成手段）としての機能を有する。第２タグ生成部２５０は、第２のタグ生成手段（第４のタグ生成手段）としての機能を有する。タグ統合部２６０は、タグ統合手段（第２のタグ統合手段）としての機能を有する。検証用タグ生成部２６２は、検証用タグ生成手段としての機能を有する。検証部２７０は、検証手段としての機能を有する。出力部２８０は、出力手段としての機能を有する。
【0095】
入力部２００は、認証暗号化装置１０から送信された、ナンスＮ、関連データＡ、復号の対象となる暗号文Ｃ、及び認証用タグＴの入力を受け付ける。入力部２００は、例えば、キーボードなどの入力装置により実現されてもよい。入力部２００は、例えば、ネットワークを介して接続された外部装置などから、ナンスＮ、関連データＡ、暗号文Ｃ及び認証用タグＴの入力を受け付けてもよい。なお、関連データＡが存在しない場合もあり、この場合は、関連データＡは入力されない。
【0096】
入力部２００は、暗号文Ｃを、暗号文分割部２０２に出力する。入力部２００は、ナンスＮを、ナンス処理部２０４に出力する。また、入力部２００は、関連データＡを、第２タグ生成部２５０に出力する。また、入力部２００は、認証用タグＴを、検証部２７０に出力する。
【0097】
暗号文分割部２０２は、平文分割部１０２が平文Ｍを分割する方法と実質的に同様の方法で、暗号文Ｃを分割する。暗号文分割部２０２は、暗号文Ｃを、所定の割合で、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとに分割する。具体的には、暗号文分割部２０２は、｜Ｃ＿Ｏ｜：｜Ｃ＿Ｃ｜＝１２８：３８４となるように、暗号文Ｃを、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとに分割する。つまり、暗号文分割部２０２は、入力長ｎ１と、出力長ｎ２から入力長ｎ１を減算した長さｎ３との比に基づいて、暗号文Ｃを、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとに分割する。言い換えると、暗号文分割部２０２は、比ｎ１：ｎ３に基づいて、暗号文Ｃを、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとに分割する。
【0098】
さらに具体的には、暗号文分割部２０２は、暗号文Ｃを、暗号プリミティブの出力長に対応する長さに分割する。つまり、暗号文分割部２０２は、暗号文Ｃを、それぞれｎ２＝５１２ビットの暗号文部分Ｃ［１］，・・・，Ｃ［ｍ］に分割する。なお、ｍは、暗号文部分の数である。なお、暗号文Ｃのビット長が５１２の倍数でない場合、｜Ｃ［ｍ］｜＜５１２となる。
【0099】
暗号文分割部２０２は、ｉ＝１，・・・，ｍのそれぞれについて、暗号文部分Ｃ［ｉ］を、１２８ビットの暗号文ブロックＣ＿Ｏ［ｉ］と３８４ビットの暗号文ブロックＣ＿Ｃ［ｉ］とに分割する。つまり、暗号文分割部２０２は、暗号文部分Ｃ［ｉ］を、ｎ１ビットの暗号文ブロックＣ＿Ｏ［ｉ］とｎ３ビットの暗号文ブロックＣ＿Ｃ［ｉ］とに分割する。これにより、暗号文分割部２０２は、Ｃ＿Ｏ＝Ｃ＿Ｏ［１］｜｜Ｃ＿Ｏ［２］｜｜・・・｜｜Ｃ＿Ｏ［ｍ］である第１の暗号文Ｃ＿Ｏを取得する。また、暗号文分割部２０２は、Ｃ＿Ｃ＝Ｃ＿Ｃ［１］｜｜Ｃ＿Ｃ［２］｜｜・・・｜｜Ｃ＿Ｃ［ｍ］である第２の暗号文Ｃ＿Ｃを取得する。｜Ｃ［ｍ］｜＝５１２の場合、｜Ｃ＿Ｏ｜：｜Ｃ＿Ｃ｜＝１２８：３８４となる。なお、後述するように、第１の暗号文Ｃ＿Ｏは、暗号プリミティブをランダム関数ＣＣ＿Ｋとして、ＯＴＲ方式により、処理される。また、第２の暗号文Ｃ＿Ｃは、ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式で処理される。暗号文分割部２０２は、第１の暗号文Ｃ＿Ｏを第１復号部２１０に出力する。暗号文分割部２０２は、第２の暗号文Ｃ＿Ｃを第２復号部２２０及び第２タグ生成部２５０に出力する。
【0100】
なお、１２８＜｜Ｃ［ｍ］｜＜５１２の場合、暗号文分割部２０２は、暗号文部分Ｃ［ｍ］を、１２８ビットのＣ＿Ｏ［ｍ］と３８４ビット未満のＣ＿Ｃ［ｍ］とに分割してもよい。そして、｜Ｃ［ｍ］｜≦１２８の場合、暗号文分割部２０２は、暗号文部分Ｃ［ｍ］を、１２８ビット未満のＣ＿Ｏ［ｍ］と０ビットのＣ＿Ｃ［ｍ］とに分割してもよい。つまり、｜Ｃ［ｍ］｜≦１２８の場合、暗号文分割部２０２は、暗号文部分Ｃ［ｍ］をそのままＣ＿Ｏ［ｍ］としてもよい。
【0101】
ナンス処理部２０４は、図５に示したような、ナンス処理部１０４がナンスを処理する方法と実質的に同様の方法で、ランダム関数ＣＣ＿Ｋを用いてナンスＮを処理する。具体的には、ナンス処理部２０４は、１２８ビットのナンスＮをランダム関数ＣＣ＿Ｋに入力して、出力された５１２ビットのビット列（乱数）を取得する。また、ナンス処理部２０４は、５１２ビットのビット列を、それぞれ１２８ビット（＝ｎ１）のビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４に分割する。そして、ナンス処理部２０４は、ビット列Ｌ＿１，Ｌ＿２を第１復号部２１０に出力する。また、ナンス処理部２０４は、ビット列Ｌ＿３，Ｌ＿４を第２タグ生成部２５０に出力する。なお、ビット列Ｌ＿１，Ｌ＿２（第１の値）は、第１の暗号文Ｃ＿Ｏの復号処理の際に用いられるマスク値を取得するために用いられる。また、ビット列Ｌ＿３，Ｌ＿４（第２の値）は、第２の暗号文Ｃ＿Ｃが復号された第２の平文Ｍ＿Ｃに対応するタグＴ＿Ｃを生成する際に用いられる鍵として用いられる。つまり、ビット列Ｌ＿３，Ｌ＿４は、上述した鍵Ｒ，Ｓに対応する。
【0102】
第１復号部２１０は、第１暗号化部１１０が第１の平文Ｍ＿Ｏを処理する方法に対応する方法で、ランダム関数ＣＣ＿Ｋを用いて第１の暗号文Ｃ＿Ｏを処理する。第１復号部２１０は、ランダム関数ＣＣ＿Ｋを用いて、ＯＴＲ方式により、第１の暗号文Ｃ＿Ｏを復号する。このとき、第１復号部２１０は、ビット列Ｌ＿１，Ｌ＿２に基づいて得られるマスク値を用いて、第１の暗号文Ｃ＿Ｏが分割された暗号文ブロックＣ＿Ｏ［１］，・・・，Ｃ＿Ｏ［ｍ］を復号する。つまり、第１復号部２１０は、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化して得られる値Ｌ＿１，Ｌ＿２に基づいて得られるマスク値と、複数の暗号文ブロックＣ＿Ｏ［ｉ］それぞれとを用いて、ランダム関数ＣＣ＿Ｋにより、第１の平文Ｍ＿Ｏを取得する。また、第１復号部２１０は、ランダム関数ＣＣ＿Ｋ（暗号化関数）から出力された暗号化結果のうちの入力長に対応するビット数の第１の乱数と暗号文ブロックとの排他的論理和を用いて、第１の平文Ｍ＿Ｏを取得する。ここで、第１の平文Ｍ＿Ｏは、第１の暗号文Ｃ＿Ｏが復号された値に対応する。また、上述したように、複数の暗号文ブロックＣ＿Ｏ［ｉ］は、第１の暗号文Ｃ＿Ｏがランダム関数ＣＣ＿Ｋの入力長に対応する長さに分割されて得られる。
【0103】
具体的には、図１２に示すように、第１復号部２１０は、暗号文ブロックＣ＿Ｏ［２ｊ－１］と暗号文ブロックＣ＿Ｏ［２ｊ］とのペアそれぞれに対して、２段Ｆｅｉｓｔｅｌ構造によって復号を行う。ここで、暗号文ブロックＣ＿Ｏ［２ｊ－１］は、暗号文ブロックＣ＿Ｏ［１］，・・・，Ｃ＿Ｏ［ｍ］における奇数番目の暗号文ブロックである。また、暗号文ブロックＣ＿Ｏ［２ｊ］は、暗号文ブロックＣ＿Ｏ［２ｊ－１］の次の偶数番目の暗号文ブロックである。なお、ｊは１以上ｌ以下の整数である。また、ｍが偶数の場合はｌ＝ｍ／２であり、ｍが奇数の場合はｌ＝（ｍ＋１）／２である。後述するように、第１復号部２１０は、ランダム関数ＣＣ＿Ｋ（暗号化関数）から出力された暗号化結果のうちの入力長ｎ１に対応するビット数の第１の乱数と暗号文ブロックＣ＿Ｏ［ｉ］との排他的論理和を用いて、第１の平文Ｍ＿Ｏを取得する。なお、第１の乱数は、後述する乱数ｚ＿ｉに対応する。
【0104】
第１復号部２１０は、１２８ビットの暗号文ブロックＣ＿Ｏ［１］と１２８ビットのマスク値Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１復号部２１０は、５１２ビット（＝ｎ２）の暗号化結果ＣＣ＿Ｋ（Ｌ＿２，Ｃ＿Ｏ［１］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（Ｌ＿２，Ｃ＿Ｏ［１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿２と３８４ビット（＝ｎ３）の乱数Ｓ＿２とに分割する。例えば、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（Ｌ＿２，Ｃ＿Ｏ［１］）の上位１２８ビットを乱数ｚ＿２とし、下位３８４ビットを乱数Ｓ＿２としてもよい。ここで、乱数Ｓ＿２は、上述した余剰ビット列に対応する。
【0105】
そして、第１復号部２１０は、乱数ｚ＿２と暗号文ブロックＣ＿Ｏ［２］との排他的論理和を、暗号文ブロックＣ＿Ｏ［１］に対応する平文ブロックＭ＿Ｏ［１］として取得する。また、第１復号部２１０は、平文ブロックＭ＿Ｏ［１］とマスク値Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（Ｌ＿１，Ｍ＿Ｏ［１］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（Ｌ＿１，Ｍ＿Ｏ［１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿１と３８４ビット（＝ｎ３）の乱数Ｓ＿１とに分割する。そして、第１復号部２１０は、乱数ｚ＿１と暗号文ブロックＣ＿Ｏ［１］との排他的論理和を、暗号文ブロックＣ＿Ｏ［２］に対応する平文ブロックＭ＿Ｏ［２］として取得する。ここで、乱数Ｓ＿１は、上述した余剰ビット列に対応する。
【0106】
また、第１復号部２１０は、１２８ビットの暗号文ブロックＣ＿Ｏ［３］と１２８ビットのマスク値２・Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１復号部２１０は、５１２ビットの暗号化結果ＣＣ＿Ｋ（２・Ｌ＿２，Ｃ＿Ｏ［３］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２・Ｌ＿２，Ｃ＿Ｏ［３］）を、１２８ビット（＝ｎ１）の乱数ｚ＿４と３８４ビット（＝ｎ３）の乱数Ｓ＿４とに分割する。ここで、乱数Ｓ＿４は、上述した余剰ビット列に対応する。
【0107】
そして、第１復号部２１０は、乱数ｚ＿４と暗号文ブロックＣ＿Ｏ［４］との排他的論理和を、暗号文ブロックＣ＿Ｏ［３］に対応する平文ブロックＭ＿Ｏ［３］として取得する。また、第１復号部２１０は、平文ブロックＭ＿Ｏ［３］とマスク値２・Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２・Ｌ＿１，Ｍ＿Ｏ［３］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２・Ｌ＿１，Ｍ＿Ｏ［３］）を、１２８ビット（＝ｎ１）の乱数ｚ＿３と３８４ビット（＝ｎ３）の乱数Ｓ＿３とに分割する。そして、第１復号部２１０は、乱数ｚ＿３と暗号文ブロックＣ＿Ｏ［３］との排他的論理和を、暗号文ブロックＣ＿Ｏ［４］に対応する平文ブロックＭ＿Ｏ［４］として取得する。ここで、乱数Ｓ＿３は、上述した余剰ビット列に対応する。
【0108】
以下同様にして、第１復号部２１０は、１２８ビットの暗号文ブロックＣ＿Ｏ［２ｊ－１］と１２８ビットのマスク値２＾（ｊ－１）・Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１復号部２１０は、５１２ビットの暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿２，Ｃ＿Ｏ［２ｊ－１］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿２，Ｃ＿Ｏ［２ｊ－１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿（２ｊ）と３８４ビット（＝ｎ３）の乱数Ｓ＿（２ｊ）とに分割する。ここで、乱数Ｓ＿（２ｊ）は、上述した余剰ビット列に対応する。
【0109】
そして、第１復号部２１０は、乱数ｚ＿（２ｊ）と暗号文ブロックＣ＿Ｏ［２ｊ］との排他的論理和を、暗号文ブロックＣ＿Ｏ［２ｊ－１］に対応する平文ブロックＭ＿Ｏ［２ｊ－１］として取得する。また、第１復号部２１０は、平文ブロックＭ＿Ｏ［２ｊ－１］とマスク値２＾（ｊ－１）・Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿１，Ｍ＿Ｏ［２ｊ－１］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｊ－１）・Ｌ＿１，Ｍ＿Ｏ［２ｊ－１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿（２ｊ－１）と３８４ビット（＝ｎ３）の乱数Ｓ＿（２ｊ－１）とに分割する。そして、第１復号部２１０は、乱数ｚ＿（２ｊ－１）と暗号文ブロックＣ＿Ｏ［２ｊ－１］との排他的論理和を、暗号文ブロックＣ＿Ｏ［２ｊ］に対応する平文ブロックＭ＿Ｏ［２ｊ］として取得する。ここで、乱数Ｓ＿（２ｊ－１）は、上述した余剰ビット列に対応する。
【0110】
なお、ｍが奇数の場合と偶数の場合とで、最終暗号文ブロックに対する処理が互いに異なる。ｍが偶数の場合、第１復号部２１０は、図１３で示すような処理を行う。第１復号部２１０は、暗号文ブロックＣ＿Ｏ［ｍ］に対してｏｎｅ－ｚｅｒｏパディング処理等のパディング処理を行って、暗号文ブロックＣ＿Ｏ［ｍ］に対応する１２８ビット（＝ｎ１）のビット列ｐａｄ（Ｃ＿Ｏ［ｍ］）を取得する。また、第１復号部２１０は、ビット列ｐａｄ（Ｃ＿Ｏ［ｍ］）とマスク値２＾（ｌ－１）・Ｌ＿２との排他的論理和をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿２，ｐａｄ（Ｃ＿Ｏ［ｍ］））を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿２，ｐａｄ（Ｃ＿Ｏ［ｍ］））を、１２８ビット（＝ｎ１）の乱数ｚ＿ｍと３８４ビット（＝ｎ３）の乱数Ｓ＿ｍとに分割する。そして、第１復号部２１０は、乱数ｚ＿ｍと暗号文ブロックＣ＿Ｏ［ｍ－１］との排他的論理和を、暗号文ブロックＣ＿Ｏ［ｍ－１］に対応する平文ブロックＭ＿Ｏ［ｍ－１］として取得する。ここで、乱数Ｓ＿ｍは、上述した余剰ビット列に対応する。
【0111】
また、第１復号部２１０は、１２８ビット（＝ｎ１）の平文ブロックＭ＿Ｏ［ｍ－１］と１２８ビット（＝ｎ１）のマスク値２＾（ｌ－１）・Ｌ＿１との排他的論理和をランダム関数ＣＣ＿Ｋに入力する。これにより、第１復号部２１０は、５１２ビット（＝ｎ２）の暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１，Ｍ＿Ｏ［ｍ－１］）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１，Ｍ＿Ｏ［ｍ－１］）を、１２８ビット（＝ｎ１）の乱数ｚ＿（ｍ－１）と３８４ビット（＝ｎ３）の乱数Ｓ＿（ｍ－１）とに分割する。ここで、Ｚ＝ｚ＿（ｍ－１）とする。また、乱数Ｓ＿（ｍ－１）は、上述した余剰ビット列に対応する。
【0112】
そして、第１復号部２１０は、乱数Ｚを暗号文ブロックＣ＿Ｏ［ｍ］のビット長ｘ（１≦ｘ≦ｎ１（＝１２８））になるように切り詰めたｍｓｂ｛｜Ｃ＿Ｏ［ｍ］｜｝（Ｚ）を取得する。そして、第１復号部２１０は、ｍｓｂ｛｜Ｃ＿Ｏ［ｍ］｜｝（Ｚ）と暗号文ブロックＣ＿Ｏ［ｍ］との排他的論理和を、暗号文ブロックＣ＿Ｏ［ｍ］に対応する平文ブロックＭ＿Ｏ［ｍ］として取得する。
【0113】
ｍが奇数の場合、第１復号部２１０は、図１４で示すような処理を行う。第１復号部２１０は、マスク値２＾（ｌ－１）・Ｌ＿１をランダム関数ＣＣ＿Ｋに入力して、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１）を取得する。そして、第１復号部２１０は、暗号化結果ＣＣ＿Ｋ（２＾（ｌ－１）・Ｌ＿１）を、１２８ビット（＝ｎ１）の乱数ｚ＿ｍと３８４ビット（＝ｎ３）の乱数Ｓ＿ｍとに分割する。そして、第１復号部２１０は、乱数ｚ＿ｍを暗号文ブロックＣ＿Ｏ［ｍ］のビット長ｘ（１≦ｘ≦ｎ１（＝１２８））になるように切り詰めたｍｓｂ｛｜Ｃ＿Ｏ［ｍ］｜｝（ｚ＿ｍ）を取得する。そして、第１暗号化部１１０は、ｍｓｂ｛｜Ｃ＿Ｏ［ｍ］｜｝（ｚ＿ｍ）と暗号文ブロックＣ＿Ｏ［ｍ］との排他的論理和を、暗号文ブロックＣ＿Ｏ［ｍ］に対応する平文ブロックＭ＿Ｏ［ｍ］として取得する。
【0114】
第１復号部２１０は、平文ブロックＭ＿Ｏ［１］，・・・，Ｍ＿Ｏ［ｍ］を、第１の平文Ｍ＿Ｏとして、チェックサム計算部２３０及び出力部２８０に出力する。このとき、第１復号部２１０は、平文ブロックＭ＿Ｏ［１］，・・・，Ｍ＿Ｏ［ｍ］が連結されたＭ＿Ｏ（＝Ｍ＿Ｏ［１］｜｜・・・｜｜Ｍ＿Ｏ［ｍ］）を、チェックサム計算部２３０及び出力部２８０に出力してもよい。
【0115】
また、第１復号部２１０は、余剰ビット列に対応する乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍを連結して、３８４×ｍビットの乱数Ｓを取得する。つまり、Ｓ＝Ｓ＿１｜｜Ｓ＿２｜｜・・・｜｜Ｓ＿ｍである。なお、厳密には、｜Ｓ｜＝３８４×ｍとなるのは、｜Ｃ｜＝５１２×ｍである場合であることに留意されたい。そして、第１復号部２１０は、乱数Ｓを第２復号部２２０に出力する。なお、第１復号部２１０は、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍを連結しないで第２復号部２２０に出力してもよい。この場合、第２復号部２２０が、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍを連結して、３８４×ｍビット（＝ｎ３×ｍ）の乱数Ｓを取得してもよい。
【0116】
ここで、第１の暗号文Ｃ＿Ｏの復号において暗号化関数であるランダム関数ＣＣ＿Ｋから出力された暗号化結果のうち、値ｚ＿１，・・・，ｚ＿ｍは、第１の暗号文Ｃ＿Ｏの復号で用いられる。これに対し、ランダム関数ＣＣ＿Ｋから出力された暗号化結果のうち、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍ（乱数Ｓ）は、第１の暗号文Ｃ＿Ｏの復号で用いられる値以外の値である。
【0117】
チェックサム計算部２３０は、上述したチェックサム計算部１３０と実質的に同様にして、チェックサムを計算する。つまり、チェックサム計算部２３０は、複数の平文ブロックＭ＿Ｏ［ｉ］の一部の排他的論理和に基づいてチェックサムΣを計算する。具体的には、チェックサム計算部２３０は、偶数番目の平文ブロックＭ＿Ｏ［２］，Ｍ＿Ｏ［４］，・・・の排他的論理和により、チェックサムΣを計算する。さらに具体的には、ｍが偶数である場合、チェックサム計算部２３０は、上記の式５で表されるようにして、１２８ビット（＝ｎ１）のチェックサムΣを計算する。一方、ｍが奇数である場合、チェックサム計算部２３０は、上記の式６で表されるようにして、１２８ビット（＝ｎ１）のチェックサムΣを計算する。チェックサム計算部２３０は、得られたチェックサムΣを、第１タグ生成部２４０に出力する。
【0118】
検証用タグ生成部２６２の第１タグ生成部２４０は、上述した第１タグ生成部１４０と実質的に同様にして、検証用のタグＴ＊を生成するための第１のタグＴ＊＿Ｏを生成する。第１タグ生成部２４０は、チェックサムΣを用いて、ＯＴＲ方式により、第１のタグＴ＊＿Ｏを生成する。具体的には、図１５に示すように、第１タグ生成部２４０は、チェックサムΣと適切なマスク値Ｌ＾＊とを用いて、暗号化関数であるランダム関数ＣＣ＿Ｋにより、第１のタグＴ＊＿Ｏ（第１の部分タグ）を生成する。ここで、マスク値Ｌ＾＊は、上述したように、ビット列Ｌ＿１，Ｌ＿２に基づいて得られる。つまり、第１タグ生成部２４０は、複数の平文ブロックの一部の排他的論理和に基づいて得られる値（チェックサムΣ）と、ビット列Ｌ＿１，Ｌ＿２（第１の値）に基づいて得られるマスク値Ｌ＾＊とを用いて、暗号化関数により、第１のタグＴ＊＿Ｏを生成する。
【0119】
さらに具体的には、第１タグ生成部２４０は、１２８ビット（＝ｎ１）のチェックサムΣと１２８ビット（＝ｎ１）のマスク値Ｌ＾＊との排他的論理和を用いて、ランダム関数ＣＣ＿Ｋにより、１２８ビット（＝ｎ１）の第１のタグＴ＊＿Ｏを生成する。第１タグ生成部２４０は、チェックサムΣとマスク値Ｌ＾＊との排他的論理和をランダム関数ＣＣ＿Ｋに入力して得られた暗号化結果を、第１のタグＴ＊＿Ｏとして取得する。第１タグ生成部２４０は、生成された第１のタグＴ＊＿Ｏを、タグ統合部２６０に出力する。
【0120】
第２復号部２２０は、第２暗号化部１２０が第２の平文Ｍ＿Ｃを処理する方法に対応する方法で、第２の暗号文Ｃ＿Ｃを処理する。第２復号部２２０は、ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５の方式（ＣＰ方式）により、第２の暗号文Ｃ＿Ｃの復号を行う。具体的には、図１６に示すように、第２復号部２２０は、乱数Ｓを鍵ストリームとして用いて暗号文Ｃ＿Ｃを復号する。これにより、第２復号部２２０は、第２の暗号文Ｃ＿Ｃが復号された第２の平文Ｍ＿Ｃを取得する。つまり、第２復号部２２０は、乱数Ｓ（第２の乱数）と第２の暗号文Ｃ＿Ｃとを用いて、第２の暗号文Ｃ＿Ｃが復号された第２の平文Ｍ＿Ｃを取得する。なお、上述したように、乱数Ｓ（Ｓ＿１、Ｓ＿２、・・・）は、第１の暗号文Ｃ＿Ｏの復号においてランダム関数ＣＣ＿Ｋ（暗号化関数）から出力された暗号化結果のうちの第１の暗号文Ｃ＿Ｏの復号に用いられる値（乱数ｚ；第１の乱数）以外の値である。
【0121】
さらに具体的には、第２復号部２２０は、乱数Ｓ＿１，Ｓ＿２，・・・，Ｓ＿ｍ（第２の乱数）が連結されて得られた値と第２の暗号文Ｃ＿Ｃとの排他的論理和を用いて、第２の平文Ｍ＿Ｃを取得する。第２復号部２２０は、乱数Ｓ（＝Ｓ＿１｜｜Ｓ＿２｜｜・・・｜｜Ｓ＿ｍ）を第２の暗号文Ｃ＿Ｃのビット数になるように切り詰めたｍｓｂ｛｜Ｃ＿Ｃ｜｝（Ｓ）を取得する。そして、第２復号部２２０は、ｍｓｂ｛｜Ｃ＿Ｃ｜｝（Ｓ）と第２の暗号文Ｃ＿Ｃとの排他的論理和を、第２の暗号文Ｃ＿Ｃに対応する第２の平文Ｍ＿Ｃとして取得する。第２復号部２２０は、第２の平文Ｍ＿Ｃを、出力部２８０に出力する。
【0122】
検証用タグ生成部２６２の第２タグ生成部２５０は、上述した第２タグ生成部１５０と実質的に同様にして、検証用のタグＴ＊を生成するための第２のタグＴ＊＿Ｃを生成する。第２タグ生成部２５０は、第２の暗号文Ｃ＿Ｃを用いて、ＣＰ方式により、第２のタグＴ＊＿Ｃを生成する。具体的には、図１６に示すように、第２タグ生成部２５０は、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化して得られるビット列Ｌ＿３，Ｌ＿４（第２の値）と、第２の暗号文Ｃ＿Ｃとを用いて、第２のタグＴ＊＿Ｃを生成する。さらに具体的には、第２タグ生成部２５０は、ビット列Ｌ＿３，Ｌ＿４（第２の値）と、第２の暗号文Ｃ＿Ｃとを用いて、メッセージ認証コードによる関数（ＭＡＣ関数）により、第２のタグＴ＊＿Ｃを生成する。このとき、上述したように、第２タグ生成部２５０は、１２８ビット（＝ｎ１）のビット列Ｌ＿３，Ｌ＿４を、鍵Ｒ，Ｓに対応する鍵として用いる。
【0123】
第２タグ生成部２５０は、第２の暗号文Ｃ＿Ｃと、関連データＡと、鍵Ｌ＿３，Ｌ＿４とを、ＣＰ方式で用いられるＰｏｌｙ１３０５によるＭＡＣ関数に入力する。これにより、第２タグ生成部２５０は、ＭＡＣ関数から出力された１２８ビットのビット列を、第２のタグＴ＊＿Ｃとして取得する。なお、関連データＡがない場合、関連データＡは、ＭＡＣ関数に入力されない。第２タグ生成部２５０は、第２のタグＴ＊＿Ｃをタグ統合部２６０に出力する。
【0124】
検証用タグ生成部２６２は、検証用タグＴ＊を生成する。タグ統合部２６０は、第１のタグＴ＊＿Ｏと第２のタグＴ＊＿Ｃとを統合して、１つの検証用のタグＴ＊を生成する。具体的には、図１５に示すように、タグ統合部２６０は、第１のタグＴ＊＿Ｏと第２のタグＴ＊＿Ｃとの排他的論理和を、検証用タグＴ＊として取得する。つまり、検証用タグ生成部２６２は、第１のタグＴ＊＿Ｏを生成し、第２のタグＴ＊＿Ｃを生成して、検証用タグＴ＊を生成する。検証用タグ生成部２６２（タグ統合部２６０）は、検証用タグＴ＊を、検証部２７０に出力する。
【0125】
検証部２７０は、タグ統合部２６０によって生成された検証用タグＴ＊と、認証暗号化装置１０によって生成された認証用タグＴとを比較して、改ざんの有無を検証する。そして、検証部２７０は、検証結果に基づいて、情報を出力するための制御を行う。すなわち、検証部２７０は、検証用タグＴ＊と入力された認証用タグＴとを比較することによって、改ざんの有無を検証する。そして、検証部２７０は、検証結果を出力するための制御を行う。
【0126】
具体的には、検証部２７０は、認証用タグＴと検証用タグＴ＊とを比較する。そして、検証部２７０は、検証用タグＴ＊が認証用タグＴと一致する場合に、認証が成功したと判定する。そして、検証部２７０は、認証が成功した場合に、第１復号部２１０によって生成された第１の平文Ｍ＿Ｏと第１復号部２１０によって生成された第２の平文Ｍ＿Ｃとから得られる平文Ｍを出力するための制御を行う。一方、検証部２７０は、検証用タグＴ＊が認証用タグＴと一致しない場合に、認証が失敗したと判定する。検証部２７０は、認証が失敗した場合に、認証が失敗したことを示すエラーメッセージ⊥を出力するための制御を行う。
【0127】
出力部２８０は、認証が成功したときに平文Ｍを出力する。ここで、出力部２８０は、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとを用いて、以下のようにして、暗号文Ｃに対応する平文Ｍを生成してもよい。すなわち、出力部２８０は、第２の平文Ｍ＿Ｃを３８４ビット（＝ｎ３）の平文ブロックＭ＿Ｃ［１］，・・・，Ｍ＿Ｃ［ｍ］に分割する。なお、平文ブロックＭ＿Ｃ［ｍ］のビット数は、暗号文ブロックＣ＿Ｃ［ｍ］のビット数と同じである。また、出力部２８０は、ｉ＝１，・・・，ｍのそれぞれについて、１２８ビット（＝ｎ１）の平文ブロックＭ＿Ｏ［ｉ］と３８４ビット（＝ｎ３）の平文ブロックＭ＿Ｃ［ｉ］とを連結して、５１２ビット（＝ｎ２）の平文部分Ｍ［ｉ］を取得する。つまり、Ｍ［ｉ］＝Ｍ＿Ｏ［ｉ］｜｜Ｍ＿Ｃ［ｉ］である。なお、Ｍ［ｍ］のビット数は、Ｃ［ｍ］のビット数と同じである。そして、出力部２８０は、平文部分Ｍ［１］，・・・，Ｍ［ｍ］を連結して、平文Ｍを取得する。つまり、Ｍ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ］である。
【0128】
一方、出力部２８０は、認証が失敗したときにエラーメッセージ⊥を出力する。なお、出力部２８０は、例えば、ディスプレイなどの出力装置に情報を表示させるための制御を行ってもよい。また、出力部２８０は、例えば、ネットワークを介して接続された外部装置などに対して、情報を出力するように制御を行ってもよい。
【0129】
＜認証暗号化方法及び認証復号方法＞
次に、図１７及び図１８を用いて、実施の形態１にかかる認証暗号システム１にかかる動作について説明する。図１７は、実施の形態１にかかる認証暗号化装置１０で実行される認証暗号化方法を示すフローチャートである。
次に、図１７及び図１８を用いて、実施の形態１にかかる認証暗号システム１にかかる動作について説明する。図１７は、実施の形態１にかかる認証暗号化装置１０で実行される認証暗号化方法を示すフローチャートである。
【0130】
入力部１００は、上述したように、ナンスＮ、平文Ｍ及び関連データＡを入力する（ステップＳ１００）。平文分割部１０２は、上述したように、平文Ｍを、所定の割合で、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する（ステップＳ１０２）。ナンス処理部１０４は、上述したように、ランダム関数ＣＣ＿Ｋを用いてナンスＮを処理して、ビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４を取得する（ステップＳ１０４）。
【0131】
第１暗号化部１１０は、上述したように、ランダム関数ＣＣ＿Ｋを用いて、ＯＴＲ方式により、第１の平文Ｍ＿Ｏに対応する第１の暗号文Ｃ＿Ｏを取得する（ステップＳ１１０）。また、第２暗号化部１２０は、上述したように、ＣＰ方式により、第２の平文Ｍ＿Ｃに対応する第２の暗号文Ｃ＿Ｃを取得する（ステップＳ１１２）。
【0132】
チェックサム計算部１３０は、上述したように、第１の平文Ｍ＿Ｏに対応するチェックサムΣを計算する（ステップＳ１２０）。認証用タグ生成部１６２の第１タグ生成部１４０は、上述したように、チェックサムΣを用いて、ＯＴＲ方式により、第１のタグＴ＿Ｏを生成する（ステップＳ１２２）。また、認証用タグ生成部１６２の第２タグ生成部１５０は、上述したように、第２の暗号文Ｃ＿Ｃを用いて、ＣＰ方式により、第２のタグＴ＿Ｃを生成する（ステップＳ１２４）。認証用タグ生成部１６２は、認証用タグＴを生成する（ステップＳ１２６）。具体的には、タグ統合部１６０は、上述したように、第１のタグＴ＿Ｏと第２のタグＴ＿Ｃとを統合して、認証用タグＴを生成する。出力部１７０は、ナンスＮ、関連データＡ、暗号文Ｃ及び認証用タグＴを出力するための制御を行う（ステップＳ１３０）。
【0133】
図１８は、実施の形態１にかかる認証復号装置２０で実行される認証復号方法を示すフローチャートである。入力部２００は、上述したように、ナンスＮ、関連データＡ、暗号文Ｃ、及び認証用タグＴを入力する（ステップＳ２００）。暗号文分割部２０２は、上述したように、暗号文Ｃを、所定の割合で、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとに分割する（ステップＳ２０２）。ナンス処理部２０４は、上述したように、ランダム関数ＣＣ＿Ｋを用いてナンスＮを処理して、ビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４を取得する（ステップＳ２０４）。
【0134】
第１復号部２１０は、上述したように、ランダム関数ＣＣ＿Ｋを用いて、ＯＴＲ方式により、第１の暗号文Ｃ＿Ｏに対応する第１の平文Ｍ＿Ｏを取得する（ステップＳ２１０）。また、第２復号部２２０は、上述したように、ＣＰ方式により、第２の暗号文Ｃ＿Ｃに対応する第２の平文Ｍ＿Ｃを取得する（ステップＳ２１２）。
【0135】
チェックサム計算部２３０は、上述したように、第１の平文Ｍ＿Ｏに対応するチェックサムΣを計算する（ステップＳ２２０）。検証用タグ生成部２６２の第１タグ生成部２４０は、上述したように、チェックサムΣを用いて、ＯＴＲ方式により、第１のタグＴ＊＿Ｏを生成する（ステップＳ２２２）。また、検証用タグ生成部２６２の第２タグ生成部２５０は、上述したように、第２の暗号文Ｃ＿Ｃを用いて、ＣＰ方式により、第２のタグＴ＊＿Ｃを生成する（ステップＳ２２４）。検証用タグ生成部２６２は、検証用タグＴ＊を生成する（ステップＳ２２６）。具体的には、タグ統合部２６０は、上述したように、第１のタグＴ＊＿Ｏと第２のタグＴ＊＿Ｃとを統合して、検証用タグＴ＊を生成する。
【0136】
検証部２７０は、検証用タグＴ＊が認証用タグＴと一致するか否かを判定する（ステップＳ２３０）。検証用タグＴ＊が認証用タグＴと一致する場合（Ｓ２３０のＹＥＳ）、出力部２８０は、認証が成功したとして、平文Ｍを出力する（ステップＳ２３２）。検証用タグＴ＊が認証用タグＴと一致しない場合（Ｓ２３０のＮＯ）、出力部２８０は、認証が失敗したとして、エラーメッセージ⊥を出力する（ステップＳ２３４）。
【0137】
＜効果＞
実施の形態１にかかる認証暗号システム１の効果を説明する。以下、認証暗号化装置１０における効果を説明するが、認証復号装置２０においても、同様の効果を奏し得る。このことは、他の実施の形態においても同様である。
実施の形態１にかかる認証暗号システム１の効果を説明する。以下、認証暗号化装置１０における効果を説明するが、認証復号装置２０においても、同様の効果を奏し得る。このことは、他の実施の形態においても同様である。
【0138】
上述したように、実施の形態１にかかる認証暗号化装置１０は、平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。そして、認証暗号化装置１０は、第１の平文Ｍ＿Ｏに対して、入力長よりも出力長の方が長い暗号プリミティブであるランダム関数ＣＣ＿Ｋを用いて、ＯＴＲ方式に対応する処理により、第１の暗号文Ｃ＿Ｏを取得する。また、認証暗号化装置１０は、第１の比較例にかかるＣＰ方式に対応する処理のように、第２の平文Ｍ＿Ｃと鍵ストリームとの排他的論理和により、第２の平文Ｍ＿Ｃに対応する第２の暗号文Ｃ＿Ｃを取得する。これにより、実施の形態１にかかる認証暗号化装置１０は、第１の比較例で使用されるランダム関数ＣＣ＿Ｋを用いて、第１の比較例にかかるＣＰ方式と比較して、計算コストを削減することが可能となる。すなわち、実施の形態１にかかる認証暗号化装置１０は、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能となる。
【0139】
さらに、実施の形態１にかかる認証暗号化装置１０は、第２の平文Ｍ＿Ｃを処理する際に使用される鍵ストリームとして、乱数Ｓを用いる。ここで、上述したように、乱数Ｓは、余剰ビット列に対応する。このように、認証暗号化装置１０は、余剰ビット列である乱数Ｓを鍵ストリームとしてＣＰ方式に対応する処理で第２の平文Ｍ＿Ｃの暗号化を行うことで、ランダム関数ＣＣ＿Ｋの呼び出し回数を低減することが可能となる。すなわち、第１の比較例では、鍵ストリームを生成するために、ランダム関数ＣＣ＿Ｋを用いたカウンタモードを実行する必要がある。すなわち、第１の比較例では、鍵ストリームを生成するために、平文Ｍのブロック数ｍ（＝｜Ｍ｜／５１２）に対応する回数だけ、ランダム関数ＣＣ＿Ｋを呼び出す必要がある。これに対し、実施の形態１にかかる認証暗号化装置１０では、余剰ビット列を鍵ストリームとして使用するため、鍵ストリームを生成するためにだけ、ランダム関数ＣＣ＿Ｋを呼び出すことは不要である。
【0140】
また、実施の形態１にかかる認証暗号化装置１０では、平文の暗号化の処理におけるランダム関数ＣＣ＿Ｋの呼び出し回数は、ｍ回である。これに対し、単に、第２の比較例にかかるＯＴＲ方式で使用される暗号プリミティブをブロック暗号関数Ｅ＿Ｋからランダム関数ＣＣ＿Ｋに置き換えたのみである、第３の比較例を考える。つまり、第３の比較例では、平文Ｍの全てが、ＯＴＲ方式で暗号化されるとする。そして、第３の比較例では、上述した余剰ビット列（乱数Ｓ）は、使用されないとする。ここで、１つの２段Ｆｅｉｓｔｅｌ構造で処理される平文ブロックのビット数は１２８×２ビットであり、１つの２段Ｆｅｉｓｔｅｌ構造におけるランダム関数ＣＣ＿Ｋの呼び出し回数は、２回である。したがって、第３の比較例では、平文Ｍの暗号化におけるランダム関数ＣＣ＿Ｋの呼び出し回数は、４ｍ回となる。ただし、ｍ＝｜Ｍ｜／５１２とする。したがって、実施の形態１にかかる認証暗号化装置１０における平文の暗号化の処理におけるランダム関数ＣＣ＿Ｋの呼び出し回数は、第３の比較例における平文の暗号化の処理におけるランダム関数ＣＣ＿Ｋの呼び出し回数よりもはるかに少ない。このように、実施の形態１にかかる認証暗号化装置１０は、第３の比較例と比較して、計算コストを削減することが可能となる。
【0141】
また、実施の形態１にかかる認証暗号化装置１０は、ＭＡＣ関数における処理における計算コストを削減することが可能となる。すなわち、第１の比較例にかかるＣＰ方式では、Ｐｏｌｙ１３０５によるＭＡＣ関数で処理されるデータ量は、｜ＡＤ｜＋｜Ｍ｜ビットである。これに対し、実施の形態１にかかる認証暗号化装置１０では、ＭＡＣ関数で処理されるデータ量は、｜ＡＤ｜＋（ｎ３／ｎ２）｜Ｍ｜ビット＝｜ＡＤ｜＋（３／４）｜Ｍ｜ビットである。このように、実施の形態１にかかる認証暗号化装置１０は、第１の比較例にかかるＣＰ方式と比較して、ＭＡＣ関数で処理されるデータ量を削減することが可能となる。したがって、実施の形態１にかかる認証暗号化装置１０は、第１の比較例にかかるＣＰ方式と比較して、計算コストを削減することが可能となる。
【0142】
なお、実施の形態１にかかる認証暗号化装置１０では、ナンスの処理においてランダム関数ＣＣ＿Ｋが１回呼び出され、平文の暗号化処理でランダム関数ＣＣ＿Ｋがｍ回呼び出され、タグ生成処理でランダム関数ＣＣ＿Ｋが１回呼び出される。したがって、実施の形態１にかかる認証暗号化装置１０では、ランダム関数ＣＣ＿Ｋの呼び出し回数は、ｍ＋２回である。一方、第１の比較例におけるＣＰ方式では、ＭＡＣ関数に入力される鍵Ｒ，Ｓの生成処理でランダム関数ＣＣ＿Ｋが１回呼び出され、鍵ストリームＺを生成する処理でランダム関数ＣＣ＿Ｋがｍ回呼び出される。したがって、第１の比較例にかかるＣＰ方式では、ランダム関数ＣＣ＿Ｋの呼び出し回数は、ｍ＋１回である。このように、実施の形態１にかかる認証暗号化装置１０では、第１の比較例にかかるＣＰ方式と比較して、ランダム関数ＣＣ＿Ｋの呼び出し回数が１回のみ増加している。一方、上述したように、ＭＡＣ関数で処理されるデータ量が削減されているので、総合的な計算コストは、実施の形態１にかかる認証暗号化装置１０では、第１の比較例と比較して低減されていると考えられる。
【0143】
また、実施の形態１にかかる認証暗号化装置１０は、ランダム関数ＣＣ＿Ｋの入力長ｎ１と、出力長ｎ２から入力長ｎ１を減算した長さｎ３との比に基づいて、平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割するように構成されている。すなわち、実施の形態１にかかる認証暗号化装置１０は、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝１２８：３８４となるように、平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。このような構成により、より効率的に、認証暗号化処理を行うことが可能となる。つまり、より確実に、第１の比較例と比較して、計算コストを削減することが可能となる。例えば、上記の比率よりも第２の平文Ｍ＿Ｃのビット数の割合を大きくすると、実施の形態１の場合と比較して、ＭＡＣ関数で処理されるデータ量が増加するが、ランダム関数ＣＣ＿Ｋの呼び出し回数はそれほど削減されないおそれがある。また、上記の比率よりも第２の平文Ｍ＿Ｃのビット数の割合を小さくすると、実施の形態１の場合と比較して、ＭＡＣ関数で処理されるデータ量が減少するが、ランダム関数ＣＣ＿Ｋの呼び出し回数がかなり増大するおそれがある。したがって、ランダム関数ＣＣ＿Ｋの呼び出し回数とＭＡＣ関数で処理されるデータ量とをバランスを考慮すると、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝１２８：３８４となるように平文Ｍを分割することにより、より効率的に、認証暗号化処理を行うことが可能となる。
【0144】
また、上述したように、ナンス処理部１０４は、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化してビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４を取得するように構成されている。これにより、マスク値及び鍵といった安全性上必要な値を、暗号プリミティブの呼び出し回数を増加させることなく、取得することができる。すなわち、ビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４を別個に取得するようにすると、暗号プリミティブが４回呼び出される必要がある。また、第１の平文Ｍ＿Ｏの暗号化処理の際に用いられるマスク値を取得する際に用いられる値と、第２の平文Ｍ＿Ｃに対応する第２のタグＴ＿Ｃを生成する際に用いられる鍵とを別個に取得するようにすると、暗号プリミティブが２回呼び出される必要がある。これに対し、ナンス処理部１０４は、ランダム関数ＣＣ＿Ｋを１回呼び出すだけで、ビット列Ｌ＿１，Ｌ＿２，Ｌ＿３，Ｌ＿４を取得する。したがって、上記のような構成により、安全性上必要な値を取得するために暗号プリミティブの呼び出し回数を増加させることを、抑制することができる。
【0145】
＜実施の形態１の変形例＞
実施の形態１の変形例について説明する。上述した実施の形態１にかかる認証暗号化装置１０では、暗号プリミティブとして、第１の比較例（非特許文献１）で使用されるランダム関数ＣＣ＿Ｋを用いている。しかしながら、使用される暗号プリミティブは、ランダム関数ＣＣ＿Ｋに限定されない。つまり、入力長よりも出力長の方が長いような任意の暗号プリミティブが使用され得る。このことは、実施の形態１にかかる認証復号装置２０においても同様である。また、この変形例は、後述する他の実施の形態に対しても適用可能である。
実施の形態１の変形例について説明する。上述した実施の形態１にかかる認証暗号化装置１０では、暗号プリミティブとして、第１の比較例（非特許文献１）で使用されるランダム関数ＣＣ＿Ｋを用いている。しかしながら、使用される暗号プリミティブは、ランダム関数ＣＣ＿Ｋに限定されない。つまり、入力長よりも出力長の方が長いような任意の暗号プリミティブが使用され得る。このことは、実施の形態１にかかる認証復号装置２０においても同様である。また、この変形例は、後述する他の実施の形態に対しても適用可能である。
【0146】
例えば、実施の形態１にかかる認証暗号化装置１０は、非特許文献４の「ＳａｌＳａ２０」という暗号化方式で使用される暗号プリミティブを用いて、認証暗号化処理を行ってもよい。また、実施の形態１にかかる認証暗号化装置１０は、非特許文献５の「ＸＳａｌＳａ２０」という暗号化方式又は非特許文献６の「ＸＣｈａＣｈａ２０」という暗号化方式で使用されるような暗号プリミティブを用いて、認証暗号化処理を行ってもよい。ここで、非特許文献５の「ＸＳａｌＳａ２０」及び非特許文献６の「ＸＣｈａＣｈａ２０」で使用される暗号プリミティブを「ｘＣＣ」とする。「ｘＣＣ」は、入力長が２５６ビットであり出力長が５１２ビットである暗号プリミティブである。
【0147】
ｘＣＣを用いる場合、以下に説明するような第１の変形例及び第２の変形例が考えられる。第１の変形例は、図５～図９に示されたランダム関数ＣＣ＿ＫをそのままｘＣＣに置き換えた構成に対応する。したがって、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝２５６：２５６＝１：１となる。したがって、平文ブロックＭ＿［ｉ］のビット数は２５６ビットとなる。また、第２の平文Ｍ＿Ｃのビット数は、２５６×ｍビットとなる。この場合、計算コストは以下のようになる。すなわち、ｘＣＣは、２つのＣＣ＿Ｋで構成されているので、ｘＣＣを１回呼び出すと、ランダム関数ＣＣ＿Ｋを２回呼び出すことになる。したがって、ランダム関数ＣＣ＿Ｋの呼び出し回数は、（ｍ＋２）×２＝２ｍ＋４回となる。一方、ＭＡＣ関数で処理されるデータ量は、｜ＡＤ｜＋（２５６／５１２）｜Ｍ｜ビット＝｜ＡＤ｜＋（１／２）｜Ｍ｜ビットとなる。
【0148】
図１９は、第２の変形例を説明するための図である。第２の変形例では、ｘＣＣの上位１２８ビットには、１つの平文Ｍの処理では不変のナンスＮが入力され、２５６ビットの鍵が生成される。そして、下位１２８ビットには、実施の形態１の場合と同様に、１２８ビットの平文ブロックＭ［ｉ］とマスク値２ｊ・Ｌ＿１との排他的論理和が入力される。これにより、平文ブロックＭ［ｉ］に対応する暗号文ブロックＣ［ｉ］が得られる。したがって、ｘＣＣを呼び出す際に、ナンスＮが入力されるランダム関数ＣＣ＿Ｋを毎回呼び出す必要はない。したがって、第２の変形例では、ｘＣＣを１回呼び出す際にランダム関数ＣＣ＿Ｋを１回呼び出すのみでよい。このような構成の場合、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝１２８：３８４であるので、計算コストは、上述した実施の形態１の場合と同じである。
【0149】
（実施の形態２）
次に、実施の形態２について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。なお、実施の形態２にかかるシステム構成については、実施の形態１のシステム構成と実質的に同様であるので、説明を省略する。つまり、実施の形態２にかかる認証暗号システム１は、認証暗号化装置１０に対応する認証暗号化装置１０Ａと、認証復号装置２０に対応する認証復号装置２０Ａとを有する。
次に、実施の形態２について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。なお、実施の形態２にかかるシステム構成については、実施の形態１のシステム構成と実質的に同様であるので、説明を省略する。つまり、実施の形態２にかかる認証暗号システム１は、認証暗号化装置１０に対応する認証暗号化装置１０Ａと、認証復号装置２０に対応する認証復号装置２０Ａとを有する。
【0150】
＜認証暗号化装置＞
図２０は、実施の形態２にかかる認証暗号化装置１０Ａの構成を示す図である。実施の形態２にかかる認証暗号化装置１０Ａは、入力部１００と、平文分割部１０２と、ナンス処理部１０４とを有する。さらに、実施の形態２にかかる認証暗号化装置１０Ａは、第１暗号化部１１０と、第２暗号化部１２０と、チェックサム計算部１３０と、第１タグ生成部１４０Ａと、第２タグ生成部１５０Ａと、出力部１７０とを有する。また、第１タグ生成部１４０Ａ及び第２タグ生成部１５０Ａにより、認証用タグ生成部１６２Ａが構成される。つまり、認証暗号化装置１０Ａは、認証用タグ生成部１６２Ａを有する。第１タグ生成部１４０Ａ、第２タグ生成部１５０Ａ及び認証用タグ生成部１６２Ａ以外の構成要素については、実施の形態１にかかるものと実質的に同様であるので、説明を省略する。
図２０は、実施の形態２にかかる認証暗号化装置１０Ａの構成を示す図である。実施の形態２にかかる認証暗号化装置１０Ａは、入力部１００と、平文分割部１０２と、ナンス処理部１０４とを有する。さらに、実施の形態２にかかる認証暗号化装置１０Ａは、第１暗号化部１１０と、第２暗号化部１２０と、チェックサム計算部１３０と、第１タグ生成部１４０Ａと、第２タグ生成部１５０Ａと、出力部１７０とを有する。また、第１タグ生成部１４０Ａ及び第２タグ生成部１５０Ａにより、認証用タグ生成部１６２Ａが構成される。つまり、認証暗号化装置１０Ａは、認証用タグ生成部１６２Ａを有する。第１タグ生成部１４０Ａ、第２タグ生成部１５０Ａ及び認証用タグ生成部１６２Ａ以外の構成要素については、実施の形態１にかかるものと実質的に同様であるので、説明を省略する。
【0151】
図２１は、実施の形態２にかかる認証暗号化装置１０Ａによって実行される認証暗号化処理における演算の概略を示す図である。認証用タグ生成部１６２Ａの第１タグ生成部１４０Ａは、上述した第１タグ生成部１４０と実質的に同様にして、第１のタグＴ＿Ｏを生成する。そして、第１タグ生成部１４０Ａは、第１のタグＴ＿Ｏを、第２タグ生成部１５０Ａに出力する。
【0152】
認証用タグ生成部１６２Ａの第２タグ生成部１５０Ａは、第２タグ生成部１５０と同様に、ＣＰ方式で用いられるＰｏｌｙ１３０５によるＭＡＣ関数を用いて、タグを生成する。具体的には、図２１に示すように、第２タグ生成部１５０Ａは、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化して得られるビット列Ｌ＿３と、第１のタグＴ＿Ｏと、第２の暗号文Ｃ＿Ｃとを用いて、認証用タグＴを生成する。さらに具体的には、第２タグ生成部１５０Ａは、ビット列Ｌ＿３（第２の値）と、第１のタグＴ＿Ｏと、第２の暗号文Ｃ＿Ｃとを用いて、メッセージ認証コードによる関数（ＭＡＣ関数）により、認証用タグＴを生成する。このとき、第２タグ生成部１５０Ａは、ビット列Ｌ＿３を鍵Ｒに対応する鍵として用い、第１のタグＴ＿Ｏを鍵Ｓに対応する鍵として用いる。
【0153】
第２タグ生成部１５０Ａは、第２の暗号文Ｃ＿Ｃと、関連データＡと、鍵Ｌ＿３と、第１のタグＴ＿Ｏとを、ＣＰ方式で用いられるＰｏｌｙ１３０５によるＭＡＣ関数に入力する。これにより、第２タグ生成部１５０Ａは、ＭＡＣ関数から出力された１２８ビットのビット列を、認証用タグＴとして取得する。つまり、認証用タグ生成部１６２Ａは、ＭＡＣ関数から出力された第２のタグＴ＿Ｃを、認証用タグＴとして生成する。なお、関連データＡがない場合、関連データＡは、ＭＡＣ関数に入力されない。認証用タグ生成部１６２Ａ（第２タグ生成部１５０Ａ）は、認証用タグＴを、出力部１７０に出力する。
【0154】
＜認証復号装置＞
図２２は、実施の形態２にかかる認証復号装置２０Ａの構成を示す図である。実施の形態２にかかる認証復号装置２０Ａは、入力部２００と、暗号文分割部２０２と、ナンス処理部２０４とを有する。さらに、実施の形態２にかかる認証復号装置２０Ａは、第１復号部２１０と、第２復号部２２０と、チェックサム計算部２３０と、第１タグ生成部２４０Ａと、第２タグ生成部２５０Ａと、検証部２７０と、出力部２８０とを有する。また、第１タグ生成部２４０Ａ及び第２タグ生成部２５０Ａにより、検証用タグ生成部２６２Ａが構成される。つまり、認証復号装置２０Ａは、検証用タグ生成部２６２Ａを有する。第１タグ生成部２４０Ａ、第２タグ生成部２５０Ａ及び検証用タグ生成部２６２Ａ以外の構成要素については、実施の形態１にかかるものと実質的に同様であるので、説明を省略する。
図２２は、実施の形態２にかかる認証復号装置２０Ａの構成を示す図である。実施の形態２にかかる認証復号装置２０Ａは、入力部２００と、暗号文分割部２０２と、ナンス処理部２０４とを有する。さらに、実施の形態２にかかる認証復号装置２０Ａは、第１復号部２１０と、第２復号部２２０と、チェックサム計算部２３０と、第１タグ生成部２４０Ａと、第２タグ生成部２５０Ａと、検証部２７０と、出力部２８０とを有する。また、第１タグ生成部２４０Ａ及び第２タグ生成部２５０Ａにより、検証用タグ生成部２６２Ａが構成される。つまり、認証復号装置２０Ａは、検証用タグ生成部２６２Ａを有する。第１タグ生成部２４０Ａ、第２タグ生成部２５０Ａ及び検証用タグ生成部２６２Ａ以外の構成要素については、実施の形態１にかかるものと実質的に同様であるので、説明を省略する。
【0155】
検証用タグ生成部２６２Ａの第１タグ生成部２４０Ａは、上述した第１タグ生成部２４０と実質的に同様にして、第１のタグＴ＊＿Ｏを生成する。そして、第１タグ生成部２４０Ａは、第１のタグＴ＊＿Ｏを、第２タグ生成部２５０Ａに出力する。
【0156】
検証用タグ生成部２６２Ａの第２タグ生成部２５０Ａは、第２タグ生成部２５０と同様に、ＣＰ方式で用いられるＰｏｌｙ１３０５によるＭＡＣ関数を用いて、タグを生成する。具体的には、第２タグ生成部２５０Ａは、第２タグ生成部１５０Ａの処理と実質的に同様にして、検証用タグＴ＊を生成する。つまり、第２タグ生成部２５０Ａは、ランダム関数ＣＣ＿Ｋを用いてナンスＮを暗号化して得られるビット列Ｌ＿３と、第１のタグＴ＊＿Ｏと、第２の暗号文Ｃ＿Ｃとを用いて、検証用タグＴ＊を生成する。さらに具体的には、第２タグ生成部２５０Ａは、ビット列Ｌ＿３（第２の値）と、第１のタグＴ＊＿Ｏと、第２の暗号文Ｃ＿Ｃとを用いて、メッセージ認証コードによる関数（ＭＡＣ関数）により、認証用タグＴを生成する。このとき、第２タグ生成部２５０Ａは、ビット列Ｌ＿３を鍵Ｒに対応する鍵として用い、第１のタグＴ＊＿Ｏを鍵Ｓに対応する鍵として用いる。
【0157】
第２タグ生成部２５０Ａは、第２の暗号文Ｃ＿Ｃと、関連データＡと、鍵Ｌ＿３と、第１のタグＴ＊＿Ｏとを、ＣＰ方式で用いられるＰｏｌｙ１３０５によるＭＡＣ関数に入力する。これにより、第２タグ生成部２５０Ａは、ＭＡＣ関数から出力された１２８ビットのビット列を、検証用タグＴ＊として取得する。つまり、検証用タグ生成部２６２Ａは、ＭＡＣ関数から出力された第２のタグＴ＊＿Ｃを、検証用タグＴ＊として生成する。なお、関連データＡがない場合、関連データＡは、ＭＡＣ関数に入力されない。検証用タグ生成部２６２Ａ（第２タグ生成部２５０Ａ）は、検証用タグＴ＊を、検証部２７０に出力する。
【0158】
＜効果＞
実施の形態２にかかる認証暗号化装置１０Ａは、上述したような、実施の形態１にかかる認証暗号化装置１０が奏する効果と実質的に同様の効果を奏する。さらに、実施の形態２にかかる認証暗号化装置１０Ａは、ビット列Ｌ＿４の代わりに第１のタグＴ＿ＯをＰｏｌｙ１３０５によるＭＡＣ関数に入力して、認証用タグＴを生成するように構成されている。したがって、実施の形態２にかかる認証暗号化装置１０Ａは、タグ統合部１６０による処理が不要となる。つまり、実施の形態２にかかる認証暗号化装置１０Ａは、タグ統合部１６０における排他的論理和の演算処理が不要となる。
実施の形態２にかかる認証暗号化装置１０Ａは、上述したような、実施の形態１にかかる認証暗号化装置１０が奏する効果と実質的に同様の効果を奏する。さらに、実施の形態２にかかる認証暗号化装置１０Ａは、ビット列Ｌ＿４の代わりに第１のタグＴ＿ＯをＰｏｌｙ１３０５によるＭＡＣ関数に入力して、認証用タグＴを生成するように構成されている。したがって、実施の形態２にかかる認証暗号化装置１０Ａは、タグ統合部１６０による処理が不要となる。つまり、実施の形態２にかかる認証暗号化装置１０Ａは、タグ統合部１６０における排他的論理和の演算処理が不要となる。
【0159】
さらに、何らかの理由によりビット列Ｌ＿４が得られない場合であっても、第１のタグＴ＿Ｏを用いて、認証用タグＴを生成することが可能となる。例えば、暗号プリミティブとして上述したｘＣＣを用いてナンスＮを処理する場合、ｘＣＣを１回呼び出しただけでは値Ｌ＿４が導出されない可能性がある。実施の形態２にかかる認証暗号化装置１０Ａは、このような場合であっても、暗号化関数の呼び出し回数を増加させることなく、認証用タグＴを生成することが可能となる。
【0160】
（実施の形態３）
次に、実施の形態３について説明する。実施の形態３は、上述した実施の形態にかかる構成の概要を示している。
次に、実施の形態３について説明する。実施の形態３は、上述した実施の形態にかかる構成の概要を示している。
【0161】
図２３は、実施の形態３にかかる認証暗号化装置３０の構成を示す図である。実施の形態３にかかる認証暗号化装置３０は、上述した他の実施の形態における認証暗号化装置に対応する。実施の形態３にかかる認証暗号化装置３０は、平文分割部３０２と、第１暗号化部３１０と、第２暗号化部３２０と、認証用タグ生成部３６０とを有する。
【0162】
平文分割部３０２は、平文分割手段としての機能を有する。第１暗号化部３１０は、第１の暗号化手段としての機能を有する。第２暗号化部３２０は、第２の暗号化手段としての機能を有する。認証用タグ生成部３６０は、認証用タグ生成手段としての機能を有する。ここで、実施の形態３にかかる認証暗号化装置３０は、入力長ｎ１よりも出力長ｎ２の方が長い暗号プリミティブに対応する暗号化関数を用いる。暗号化関数は、例えば、第１の比較例で用いられるランダム関数ＣＣ＿Ｋであるが、これに限定されない。これらのことは、実施の形態３にかかる認証復号装置４０においても同様である。
【0163】
平文分割部３０２は、上述した平文分割部１０２が有している機能と実質的に同様の機能によって実現され得る。平文分割部３０２は、平文Ｍを、所定の割合で、第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する。平文分割部３０２は、例えば、｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝（入力長ｎ１）：（出力長ｎ２－入力長ｎ１）となるように、平文Ｍを分割してもよい。
【0164】
第１暗号化部３１０は、上述した第１暗号化部１１０が有している機能と実質的に同様の機能によって実現され得る。第１暗号化部３１０は、第１の値（Ｌ＿１，Ｌ＿２）に基づいて得られるマスク値と、複数の平文ブロックＭ＿Ｏ［ｉ］それぞれとを用いて、暗号化関数により、複数の暗号文ブロックを取得して、第１の暗号文Ｃ＿Ｏを取得する。なお、第１の値（Ｌ＿１，Ｌ＿２）は、暗号化関数を用いてナンスＮを暗号化して得られる。また、複数の平文ブロックＭ＿Ｏ［ｉ］は、第１の平文Ｍ＿Ｏが暗号化関数の入力長に対応する長さに分割されて得られる。また、複数の暗号文ブロックは、複数の平文ブロックに対応する。また、第１の暗号文Ｃ＿Ｏは、第１の平文Ｍ＿Ｏが暗号化された値に対応する。
【0165】
第２暗号化部３２０は、上述した第２暗号化部１２０が有している機能と実質的に同様の機能によって実現され得る。第２暗号化部３２０は、第１の平文Ｍ＿Ｏの暗号化において暗号化関数から出力された暗号化結果のうちの第１の平文の暗号化に用いられる値以外の値Ｓと、第２の平文Ｍ＿Ｃとを用いて、第２の平文Ｍ＿Ｃが暗号化された第２の暗号文Ｃ＿Ｃを取得する。なお、上述したように、値Ｓ（乱数Ｓ）は、第１の平文Ｍ＿Ｏの暗号化において暗号化関数から出力された暗号化結果のうちの第１の平文Ｍ＿Ｏの暗号化に用いられる値（乱数ｚ）以外の値である。
【0166】
認証用タグ生成部３６０は、上述した認証用タグ生成部１６２又は認証用タグ生成部１６２Ａが有している機能と実質的に同様の機能によって実現され得る。認証用タグ生成部３６０は、複数の平文ブロックの一部の排他的論理和に基づいて得られる値（チェックサムΣ）と、第１の値に基づいて得られるマスク値とを用いて、暗号化関数により、第１のタグＴ＿Ｏを生成する。また、認証用タグ生成部３６０は、暗号化関数を用いてナンスを暗号化して得られる第２の値（Ｌ＿３）と、第２の暗号文Ｃ＿Ｃとを用いて、第２のタグＴ＿Ｃを生成する。
【0167】
また、認証用タグ生成部３６０は、認証用タグＴを生成する。ここで、認証用タグ生成部３６０は、実施の形態１にかかる認証用タグ生成部１６２のように、第１のタグＴ＿Ｏと第２のタグＴ＿Ｃとを統合することによって、認証用タグＴを生成してもよい。また、認証用タグ生成部３６０は、実施の形態２にかかる認証用タグ生成部１６２Ａのように、第２の暗号文Ｃ＿Ｃと第１のタグＴ＿Ｏとを用いて生成された第２のタグＴ＿Ｃを、認証用タグＴとして生成してもよい。
【0168】
図２４は、実施の形態３にかかる認証復号装置４０の構成を示す図である。実施の形態３にかかる認証復号装置４０は、上述した他の実施の形態における認証暗号化装置に対応する。実施の形態３にかかる認証復号装置４０は、暗号文分割部４０２と、第１復号部４１０と、第２復号部４２０と、検証用タグ生成部４６０と、検証部４７０とを有する。
【0169】
暗号文分割部４０２は、暗号文分割手段としての機能を有する。第１復号部４１０は、第１の復号手段としての機能を有する。第２復号部４２０は、第２の復号手段としての機能を有する。検証用タグ生成部４６０は、検証用タグ生成手段としての機能を有する。検証部４７０は、検証手段としての機能を有する。
【0170】
暗号文分割部４０２は、上述した暗号文分割部２０２が有している機能と実質的に同様の機能によって実現され得る。暗号文分割部４０２は、暗号文Ｃを、所定の割合で、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとに分割する。暗号文分割部４０２は、例えば、｜Ｃ＿Ｏ｜：｜Ｃ＿Ｃ｜＝（入力長ｎ１）：（出力長ｎ２－入力長ｎ１）となるように、暗号文Ｃを分割してもよい。
【0171】
第１復号部４１０は、上述した第１復号部２１０が有している機能と実質的に同様の機能によって実現され得る。第１復号部４１０は、第１の値（Ｌ＿１，Ｌ＿２）に基づいて得られるマスク値と、複数の暗号文ブロックＣ＿Ｏ［ｉ］それぞれとを用いて、暗号化関数により、複数の平文ブロックを取得して、第１の平文Ｍ＿Ｏを取得する。なお、第１の値（Ｌ＿１，Ｌ＿２）は、暗号化関数を用いてナンスＮを暗号化して得られる。また、複数の暗号文ブロックＣ＿Ｏ［ｉ］は、第１の暗号文Ｃ＿Ｏが暗号化関数の入力長に対応する長さに分割されて得られる。また、複数の平文ブロックは、複数の暗号文ブロックに対応する。また、第１の平文Ｍ＿Ｏは、第１の暗号文Ｃ＿Ｏが復号された値に対応する。
【0172】
第２復号部４２０は、上述した第２復号部２２０が有している機能と実質的に同様の機能によって実現され得る。第２復号部４２０は、第１の暗号文Ｃ＿Ｏの復号において暗号化関数から出力された暗号化結果のうちの第１の暗号文の復号に用いられる値以外の値Ｓと、第２の暗号文とを用いて、第２の暗号文Ｃ＿Ｃが復号された第２の平文Ｍ＿Ｃを取得する。なお、上述したように、値Ｓ（乱数Ｓ）は、第１の暗号文Ｃ＿Ｏの復号において暗号化関数から出力された暗号化結果のうちの第１の暗号文Ｃ＿Ｏの復号に用いられる値（乱数ｚ）以外の値である。
【0173】
検証用タグ生成部４６０は、上述した検証用タグ生成部２６２又は検証用タグ生成部２６２Ａが有している機能と実質的に同様の機能によって実現され得る。検証用タグ生成部４６０は、複数の平文ブロックの一部の排他的論理和に基づいて得られる値（チェックサムΣ）と、第１の値に基づいて得られるマスク値とを用いて、暗号化関数により、第１のタグＴ＊＿Ｏを生成する。また、検証用タグ生成部４６０は、暗号化関数を用いてナンスを暗号化して得られる第２の値（Ｌ＿３）と、第２の暗号文Ｃ＿Ｃとを用いて、第２のタグＴ＊＿Ｃを生成する。
【0174】
また、検証用タグ生成部４６０は、検証用タグＴ＊を生成する。ここで、検証用タグ生成部４６０は、実施の形態１にかかる検証用タグ生成部２６２のように、第１のタグＴ＊＿Ｏと第２のタグＴ＊＿Ｃとを統合することによって、検証用タグＴ＊を生成してもよい。あるいは、検証用タグ生成部４６０は、実施の形態２にかかる検証用タグ生成部２６２Ａのように、第２の暗号文Ｃ＿Ｃと第１のタグＴ＊＿Ｏとを用いて生成された第２のタグＴ＊＿Ｃを、検証用タグＴ＊として生成してもよい。
【0175】
検証部４７０は、上述した検証部２７０が有している機能と実質的に同様の機能によって実現され得る。検証部４７０は、検証用タグＴ＊と、入力された認証用タグＴとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う。
【0176】
実施の形態３にかかる認証暗号化装置３０及び認証復号装置４０は、上述した構成によって、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能となる。また、認証暗号化装置３０によって実行される認証暗号化方法及び認証暗号化方法を実行するプログラムによっても、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能となる。また、認証復号装置４０によって実行される認証復号方法及び認証復号方法を実行するプログラムによっても、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能となる。
【0177】
（ハードウェア構成例）
上述した各実施形態に係る装置およびシステムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、各実施形態に係る装置（認証暗号化装置及び認証復号装置）は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、各実施形態に係る装置は、専用の装置として実現されてもよいし、汎用の情報処理装置で実現されてもよい。
上述した各実施形態に係る装置およびシステムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、各実施形態に係る装置（認証暗号化装置及び認証復号装置）は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、各実施形態に係る装置は、専用の装置として実現されてもよいし、汎用の情報処理装置で実現されてもよい。
【0178】
図２５は、各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。計算処理装置１０００は、ＣＰＵ１００１、揮発性記憶装置１００２、ディスク１００３、不揮発性記録媒体１００４、及び、通信ＩＦ１００７（ＩＦ：Interface）を有する。したがって、各実施形態に係る装置は、ＣＰＵ１００１、揮発性記憶装置１００２、ディスク１００３、不揮発性記録媒体１００４、及び、通信ＩＦ１００７を有しているといえる。計算処理装置１０００は、入力装置１００５及び出力装置１００６に接続可能であってもよい。計算処理装置１０００は、入力装置１００５及び出力装置１００６を備えていてもよい。また、計算処理装置１０００は、通信ＩＦ１００７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。
【0179】
不揮発性記録媒体１００４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Compact Disc)、デジタルバーサタイルディスク（Digital Versatile Disc）である。また、不揮発性記録媒体１００４は、ＵＳＢ（Universal Serial Bus）メモリ、ソリッドステートドライブ（Solid State Drive）等であってもよい。不揮発性記録媒体１００４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。なお、不揮発性記録媒体１００４は、上述した媒体に限定されない。また、不揮発性記録媒体１００４の代わりに、通信ＩＦ１００７及び通信ネットワークを介して、係るプログラムが供給されてもよい。
【0180】
揮発性記憶装置１００２は、コンピュータが読み取り可能であって、一時的にデータを記憶することができる。揮発性記憶装置１００２は、ＤＲＡＭ（dynamic random Access memory）、ＳＲＡＭ（static random Access memory）等のメモリ等である。
【0181】
すなわち、ＣＰＵ１００１は、ディスク１００３に格納されているソフトウェアプログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際に揮発性記憶装置１００２にコピーし、演算処理を実行する。ＣＰＵ１００１は、プログラムの実行に必要なデータを揮発性記憶装置１００２から読み取る。表示が必要な場合、ＣＰＵ１００１は、出力装置１００６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ１００１は、入力装置１００５からプログラムを取得する。ＣＰＵ１００１は、上述した図４，図１１，図２０，図２２，図２３～図２４に示される各構成要素の機能（処理）に対応するプログラムを解釈し実行する。ＣＰＵ１００１は、上述した各実施形態において説明した処理を実行する。言い換えると、上述した図４，図１１，図２０，図２２，図２３～図２４に示される各構成要素の機能は、ディスク１００３又は揮発性記憶装置１００２に格納されたプログラムを、ＣＰＵ１００１が実行することによって実現され得る。
【0182】
すなわち、各実施形態は、上述したプログラムによっても成し得ると捉えることができる。さらに、上述したプログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、上述した各実施形態は成し得ると捉えることができる。
【0183】
（変形例）
なお、本発明は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートにおいて、各処理（ステップ）の順序は、適宜、変更可能である。また、複数ある処理（ステップ）のうちの１つ以上は、省略されてもよい。また、上述した複数の実施の形態は、互いに適用可能である。また、上述した実施の形態では、平文Ｍ＿Ｏを「第１の平文」とし、平文Ｍ＿Ｃを「第２の平文」としているが、このような構成に限られない。平文Ｍ＿Ｏを「第２の平文」とし、平文Ｍ＿Ｃを「第１の平文」としてもよい。このことは、第１の暗号文及び第２の暗号文についても同様である。
なお、本発明は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートにおいて、各処理（ステップ）の順序は、適宜、変更可能である。また、複数ある処理（ステップ）のうちの１つ以上は、省略されてもよい。また、上述した複数の実施の形態は、互いに適用可能である。また、上述した実施の形態では、平文Ｍ＿Ｏを「第１の平文」とし、平文Ｍ＿Ｃを「第２の平文」としているが、このような構成に限られない。平文Ｍ＿Ｏを「第２の平文」とし、平文Ｍ＿Ｃを「第１の平文」としてもよい。このことは、第１の暗号文及び第２の暗号文についても同様である。
【0184】
また、平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割する方法は、上述した平文分割部１０２による方法に限定されない。例えば、平文分割部は、まず、「｜Ｍ＿Ｏ｜：｜Ｍ＿Ｃ｜＝入力長ｎ１：（出力長ｎ２－入力長ｎ１）」となるように、平文Ｍを分割してもよい。そして、平文分割部は、第１の平文Ｍ＿Ｏを、入力長ｎ１の長さに対応するビット数に分割して、平文ブロックＭ＿Ｏ［１］，・・・，Ｍ＿Ｏ［ｍ］を取得してもよい。また、平文分割部は、第２の平文Ｍ＿Ｃを、ｎ３（＝出力長ｎ２－入力長ｎ１）の長さに対応するビット数に分割して、平文ブロックＭ＿Ｃ［１］，・・・，Ｍ＿Ｃ［ｍ］を取得してもよい。この場合、出力部は、平文ブロックＭ＿Ｏ［１］，・・・，Ｍ＿Ｏ［ｍ］に対応する暗号文ブロックＣ＿Ｏ［１］，・・・，Ｃ＿Ｏ［ｍ］を連結して、第１の暗号文Ｃ＿Ｏを取得してもよい。また、出力部は、第１の暗号文Ｃ＿Ｏと第２の暗号文Ｃ＿Ｃとを連結して、暗号文Ｃを取得してもよい。これらのことは、認証復号装置における暗号文分割部及び出力部についても同様である。
【0185】
また、上述した実施の形態では、平文分割部は、ランダム関数ＣＣ＿Ｋの入力長ｎ１と、出力長ｎ２から入力長ｎ１を減算した長さｎ３との比（１２８：３８４）に基づいて、平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割するように構成されている。しかしながら、本実施の形態にかかる認証暗号化装置は、このような構成に限定されない。しかしながら、ランダム関数ＣＣ＿Ｋの入力長ｎ１と長さｎ３との比に基づいて平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割することにより、上述したように、より効率的に、認証暗号化処理を行うことが可能となる。つまり、ランダム関数ＣＣ＿Ｋの入力長ｎ１と長さｎ３との比に基づいて平文Ｍを第１の平文Ｍ＿Ｏと第２の平文Ｍ＿Ｃとに分割することにより、計算コストを削減することが可能となる。このことは、本実施の形態にかかる認証復号装置の暗号文分割部においても同様である。
【0186】
また、第１の平文Ｍ＿Ｏの暗号化に用いられる複数のマスク値を取得する方法は、上述した方法に限定されない。複数のマスク値を取得する方法として、複数のマスク値が互いに同じ値とならないような任意の方法が採用され得る。
【0187】
上述の例において、プログラムは、コンピュータに読み込まれた場合に、実施形態で説明された１又はそれ以上の機能をコンピュータに行わせるための命令群（又はソフトウェアコード）を含む。プログラムは、非一時的なコンピュータ可読媒体又は実体のある記憶媒体に格納されてもよい。限定ではなく例として、コンピュータ可読媒体又は実体のある記憶媒体は、random-access memory（RAM）、read-only memory（ROM）、フラッシュメモリ、solid-state drive（SSD）又はその他のメモリ技術、CD-ROM、digital versatile disk（DVD）、Blu-ray（登録商標）ディスク又はその他の光ディスクストレージ、磁気カセット、磁気テープ、磁気ディスクストレージ又はその他の磁気ストレージデバイスを含む。プログラムは、一時的なコンピュータ可読媒体又は通信媒体上で送信されてもよい。限定ではなく例として、一時的なコンピュータ可読媒体又は通信媒体は、電気的、光学的、音響的、またはその他の形式の伝搬信号を含む。
【0188】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【0189】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する認証暗号化装置。
（付記２）
前記平文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記平文を前記第１の平文と前記第２の平文とに分割する、
付記１に記載の認証暗号化装置。
（付記３）
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する付記１に記載の認証暗号化装置。
（付記４）
前記第１の暗号化手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記平文ブロックとの排他的論理和を用いて、前記第１の暗号文を取得する、
付記１に記載の認証暗号化装置。
（付記５）
前記第２の暗号化手段は、前記第１の平文の暗号化処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の平文との排他的論理和を用いて、前記第２の暗号文を取得する、
付記４に記載の認証暗号化装置。
（付記６）
前記認証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
付記５に記載の認証暗号化装置。
（付記７）
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する付記１に記載の認証暗号化装置。
（付記８）
前記認証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
付記７に記載の認証暗号化装置。
（付記９）
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する認証復号装置。
（付記１０）
前記暗号文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記暗号文を前記第１の暗号文と前記第２の暗号文とに分割する、
付記９に記載の認証復号装置。
（付記１１）
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する付記９に記載の認証復号装置。
（付記１２）
前記第１の復号手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記暗号文ブロックとの排他的論理和を用いて、前記第１の平文を取得する、
付記９に記載の認証復号装置。
（付記１３）
前記第２の復号手段は、前記第１の暗号文の復号処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の暗号文との排他的論理和を用いて、前記第２の平文を取得する、
付記１２に記載の認証復号装置。
（付記１４）
前記検証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
付記１３に記載の認証復号装置。
（付記１５）
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する付記９に記載の認証復号装置。
（付記１６）
前記検証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
付記１５に記載の認証復号装置。
（付記１７）
認証暗号化装置と、
前記認証暗号化装置との間で通信を行う認証復号装置と、
を有し、
前記認証暗号化装置は、
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有し、
前記認証復号装置は、
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
前記暗号化関数を用いて前記ナンスを暗号化して得られる前記第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する、
認証暗号システム。
（付記１８）
平文を所定の割合で第１の平文と第２の平文とに分割し、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得し、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する、
認証暗号化方法。
（付記１９）
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割し、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得し、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成し、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う、
認証復号方法。
（付記２０）
平文を所定の割合で第１の平文と第２の平文とに分割するステップと、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得するステップと、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成するステップと、
をコンピュータに実行させるプログラム。
（付記２１）
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割するステップと、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得するステップと、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成するステップと、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、
をコンピュータに実行させるプログラム。
（付記１）
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する認証暗号化装置。
（付記２）
前記平文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記平文を前記第１の平文と前記第２の平文とに分割する、
付記１に記載の認証暗号化装置。
（付記３）
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する付記１に記載の認証暗号化装置。
（付記４）
前記第１の暗号化手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記平文ブロックとの排他的論理和を用いて、前記第１の暗号文を取得する、
付記１に記載の認証暗号化装置。
（付記５）
前記第２の暗号化手段は、前記第１の平文の暗号化処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の平文との排他的論理和を用いて、前記第２の暗号文を取得する、
付記４に記載の認証暗号化装置。
（付記６）
前記認証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
付記５に記載の認証暗号化装置。
（付記７）
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する付記１に記載の認証暗号化装置。
（付記８）
前記認証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
付記７に記載の認証暗号化装置。
（付記９）
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する認証復号装置。
（付記１０）
前記暗号文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記暗号文を前記第１の暗号文と前記第２の暗号文とに分割する、
付記９に記載の認証復号装置。
（付記１１）
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する付記９に記載の認証復号装置。
（付記１２）
前記第１の復号手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記暗号文ブロックとの排他的論理和を用いて、前記第１の平文を取得する、
付記９に記載の認証復号装置。
（付記１３）
前記第２の復号手段は、前記第１の暗号文の復号処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の暗号文との排他的論理和を用いて、前記第２の平文を取得する、
付記１２に記載の認証復号装置。
（付記１４）
前記検証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
付記１３に記載の認証復号装置。
（付記１５）
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する付記９に記載の認証復号装置。
（付記１６）
前記検証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
付記１５に記載の認証復号装置。
（付記１７）
認証暗号化装置と、
前記認証暗号化装置との間で通信を行う認証復号装置と、
を有し、
前記認証暗号化装置は、
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有し、
前記認証復号装置は、
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
前記暗号化関数を用いて前記ナンスを暗号化して得られる前記第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する、
認証暗号システム。
（付記１８）
平文を所定の割合で第１の平文と第２の平文とに分割し、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得し、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する、
認証暗号化方法。
（付記１９）
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割し、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得し、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得し、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成し、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う、
認証復号方法。
（付記２０）
平文を所定の割合で第１の平文と第２の平文とに分割するステップと、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得するステップと、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成するステップと、
をコンピュータに実行させるプログラム。
（付記２１）
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割するステップと、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得するステップと、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得するステップと、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成するステップと、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行うステップと、
をコンピュータに実行させるプログラム。
【符号の説明】
【0190】
１ 認証暗号システム
１０ 認証暗号化装置
２０ 認証復号装置
３０ 認証暗号化装置
４０ 認証復号装置
１００ 入力部
１０２ 平文分割部
１０４ ナンス処理部
１１０ 第１暗号化部
１２０ 第２暗号化部
１３０ チェックサム計算部
１４０ 第１タグ生成部
１５０ 第２タグ生成部
１６０ タグ統合部
１６２ 認証用タグ生成部
１７０ 出力部
２００ 入力部
２０２ 暗号文分割部
２０４ ナンス処理部
２１０ 第１復号部
２２０ 第２復号部
２３０ チェックサム計算部
２４０ 第１タグ生成部
２５０ 第２タグ生成部
２６０ タグ統合部
２６２ 検証用タグ生成部
２７０ 検証部
２８０ 出力部
３０２ 平文分割部
３１０ 第１暗号化部
３２０ 第２暗号化部
３６０ 認証用タグ生成部
４０２ 暗号文分割部
４１０ 第１復号部
４２０ 第２復号部
４６０ 検証用タグ生成部
４７０ 検証部
１０ 認証暗号化装置
２０ 認証復号装置
３０ 認証暗号化装置
４０ 認証復号装置
１００ 入力部
１０２ 平文分割部
１０４ ナンス処理部
１１０ 第１暗号化部
１２０ 第２暗号化部
１３０ チェックサム計算部
１４０ 第１タグ生成部
１５０ 第２タグ生成部
１６０ タグ統合部
１６２ 認証用タグ生成部
１７０ 出力部
２００ 入力部
２０２ 暗号文分割部
２０４ ナンス処理部
２１０ 第１復号部
２２０ 第２復号部
２３０ チェックサム計算部
２４０ 第１タグ生成部
２５０ 第２タグ生成部
２６０ タグ統合部
２６２ 検証用タグ生成部
２７０ 検証部
２８０ 出力部
３０２ 平文分割部
３１０ 第１暗号化部
３２０ 第２暗号化部
３６０ 認証用タグ生成部
４０２ 暗号文分割部
４１０ 第１復号部
４２０ 第２復号部
４６０ 検証用タグ生成部
４７０ 検証部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】