ホーム > 特許ランキング > ソニーグループ株式会社
知財求人 - 知財ポータルサイト「IP Force」
▶ ソニー株式会社の特許一覧 ▶ テクニカル ユニバーシティ オブ デンマークの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-05-23
(45)【発行日】2022-05-31
(54)【発明の名称】暗号化装置、暗号化方法、復号化装置、及び復号化方法
(51)【国際特許分類】
G09C 1/00 20060101AFI20220524BHJP
【ＦＩ】
G09C1/00 610A
【請求項の数】
16
(21)【出願番号】P 2019535613
(86)(22)【出願日】2018-05-28
(86)【国際出願番号】 JP2018020342
(87)【国際公開番号】W WO2019031026
(87)【国際公開日】2019-02-14
【審査請求日】2021-05-21
(31)【優先権主張番号】P 2017156143
(32)【優先日】2017-08-10
(33)【優先権主張国・地域又は機関】JP
(73)【特許権者】
【識別番号】000002185
【氏名又は名称】ソニーグループ株式会社
(73)【特許権者】
【識別番号】504213249
【氏名又は名称】テクニカル ユニバーシティ オブ デンマーク
(74)【代理人】
【識別番号】110002147
【氏名又は名称】特許業務法人酒井国際特許事務所
(72)【発明者】
【氏名】五十部 孝典
(72)【発明者】
【氏名】ボグダノフ アンドレイ
【審査官】行田 悦資
(56)【参考文献】
【文献】米国特許出願公開第２０１７／０１４１９１１（ＵＳ，Ａ１）
【文献】特表２０１２－５２０５８９（ＪＰ，Ａ）
【文献】特開２０１７－１８７７２４（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１６／０３３００１９（ＵＳ，Ａ１）
【文献】BOGDANOV, A. and ISOBE, T.，White-box Cryptography Revisited: Space-Hard Ciphers，Proceedings of the 22nd ACM SIGSAC Conference on Computer and Communications Security，米国，ACM，2015年10月12日，Pages 1058-1069
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００
(57)【特許請求の範囲】
【請求項1】
入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、
を備える、暗号化装置。
【請求項2】
前記鍵生成部は、入力値を順次に暗号化処理する複数のラウンド関数の少なくとも一部がテーブル化され、前記ラウンド関数の入出力値を外部から認識可能なホワイトボックスモデルにより暗号化するデータ暗号化部を備え、
複数の前記ラウンド関数のそれぞれは、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化するテーブル化された暗号化関数を有する、請求項１に記載の暗号化装置。
【請求項3】
前記暗号化関数には、前記ラウンド関数へ入力されるビットのうちの一部が入力され、前記暗号化関数は、前記暗号化関数へ入力可能なビットの一部を固定値とし、前記暗号化関数の出力値の一部を破棄することで、前記暗号化関数へ入力可能なビット数から前記暗号化関数へ入力されたビット数の差分に相当するビット数の出力値を出力する、請求項２に記載の暗号化装置。
【請求項4】
前記ラウンド関数は、前記ラウンド関数へ入力されるビットのうち前記暗号化関数に入力されなかったビットと、前記暗号化関数からの前記出力値のビットの排他論理和を演算する、請求項３に記載の暗号化装置。【請求項5】
前記ラウンド関数は、前記暗号化関数へ入力されたビットの値と前記排他論理和により得られたビットの値を出力する、請求項４に記載の暗号化装置。【請求項6】
前記ラウンド関数は、前記暗号化関数へ入力されたビットの値を前記排他論理和により得られたビットの値よりも下位ビットとして出力する、請求項５に記載の暗号化装置。【請求項7】
前記ラウンド関数の出力と予め定められた所定値との排他論理和を演算し、得られた値を次のラウンド関数への入力又は前記データ暗号化部の出力とする、請求項２に記載の暗号化装置。【請求項8】
１の前記ラウンド関数が複数の前記暗号化関数を有する、請求項２に記載の暗号化装置。【請求項9】
複数の前記ラウンド関数において、後段のラウンド関数ほど前記暗号化関数に大きなビットの入力値が入力される、請求項３に記載の暗号化装置。【請求項10】
１の前記ラウンド関数が複数の前記暗号化関数を有し、前記ラウンド関数へ入力されるビットが分割されて複数の前記暗号化関数へ入力され、
複数の前記暗号化関数は非線形演算を行い、
前記ラウンド関数は、複数の前記暗号化関数による前記非線形演算の結果を線形変換演算して出力する、請求項２に記載の暗号化装置。
【請求項11】
複数の前記暗号化関数のそれぞれにおいて、入力されるビット数と出力されるビット数が同一である、請求項１０に記載の暗号化装置。【請求項12】
複数の前記暗号化関数のそれぞれに入力されるビット数が異なる、請求項１０に記載の暗号化装置。【請求項13】
前記暗号化関数は、前記データ暗号化部に対応する秘密鍵から生成される拡張鍵によって暗号化を行う、請求項２に記載の暗号化装置。【請求項14】
入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにおいて暗号鍵を用いて入力値を暗号化することと、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、
を備える、暗号化方法。
【請求項15】
入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、による暗号化処理の逆演算により復号を行う、復号化装置。【請求項16】
入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより暗号鍵を用いて入力値を暗号化することと、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、を備える暗号化処理の逆演算により復号を行う、復号化方法。【発明の詳細な説明】
【技術分野】
【0001】
本開示は、暗号化装置、暗号化方法、復号化装置、及び復号化方法に関する。
【背景技術】
【0002】
従来、例えば下記の非特許文献１，２には、既存のブロック暗号をホワイトボックスモデルにおいても安全であるように変換する方法が記載されている。非特許文献１，２に記載された方法は、既存のアルゴリズム(ＤＥＳ,ＡＥＳ)のホワイトボックス実装に関し、演算を大きなテーブル参照に変換し、秘密鍵をテーブルに埋め込むことで、内部演算が外部から見られても安全性を保障する技術に関する。
【0003】
非特許文献１，２に記載された方法では、秘密鍵の値はテーブルの中に含まれるため、鍵付のテーブルが生成される。そして、各テーブルの安全性を上げるために、テーブルの前後には、秘密の非線形関数が加えられる。また、暗号化アルゴリズムＥの前後には、エクスターナルエンコーディング（External Encoding）として、関数ＩＮと関数ＯＵＴが加えられる。
【0004】
また、下記の非特許文献３，４には、ホワイトボックスモデルで安全な鍵生成関数を用いて、暗号処理毎に暗号鍵を変更する技術が記載されている。
【先行技術文献】
【非特許文献】
【0005】
【文献】S. Chow, P. Eisen, H. Johnson, P.C. van Oorschot “A white-box DESimplementation for DRM applications. ” DRM 2002
【文献】S. Chow, P. Eisen, H. Johnson, P.C. van Oorschot “White-BoxCryptography and an AES Implementation?” SAC 2002
【文献】A. Bogdanov and T. Isobe, “Whitebox Cryptgraphy Revisited:Space-hard Cipher”, ACM CCS 2015
【文献】P-A Fouque and P. Karpman and P. Kirchner and B. Minaud, “Efficientand Provable White-Box Primitives” ASIACRYPT2016
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかし、非特許文献１，２に記載された方法では、安全性を上げるために、暗号化関数Ｅの入出力にエクスターナルエンコーディングとして新たな関数を付加する必要があり、エクスターナルエンコーディングを無くすと安全性が大幅に低下する問題がある。また、オリジナルの暗号化関数Ｅとは異なる関数になる。さらに、例えエクスターナルエンコーディングを付加したとしても、Practicalな攻撃方法が提案されている。
【0007】
より具体的には、非特許文献１，２に記載された技術はＡＥＳ，ＤＥＳに対するホワイトボックス技術であるが、エクスターナルエンコーディングを用いた場合，ホワイトボックスモデルでの暗号化は、異なる暗号アルゴリズムになってしまう。このため、純粋な意味でＡＥＳのホワイトボックス実装とは言えず、異なる暗号アルゴリズムを本質的には実装していることになる。更に、エンコーディングされた平文を元に戻す際に、同一デバイス内の他のセキュアドメインでエンコーディングされた平文から正規の平文に戻す作業が必要である。つまり、ホワイトボックス実装が必要な環境において、セキュアに演算できる領域が必要ということであり、ホワイトボックスモデルとは矛盾しており、アプリケーションが限定される問題がある。また、エクスターナルエンコーディングを用いない場合は、一番初めと最後のラウンドにエクスターナルエンコーディングを一部用いることができず、安全性が大きく低下する問題がある。例えエクスターナルエンコーディングを付加したとしても、Practicalな攻撃方法が提案されている。
【0008】
非特許文献３に記載された方法では、ホワイトボックスモデルで安全になるように暗号を設計しているが、情報の一部が漏れた場合に、強い安全性（識別不可能性）を保証することは困難であり、暗号関数において平文の情報が漏れないことを保証できない。また、非特許文献４に記載された方法では、ホワイトボックスモデルで安全性を保証するためには、乱数が必要となる。しかし、ホワイトボックスモデルでは、攻撃者は乱数源を自由にコントロールできることを前提にしているため、安全性を保証することは困難である。
【0009】
以上のように、非特許文献１～４に記載された技術では、いずれもブラックボックスモデルに対しては安全であるが、非特許文献１，２に記載された技術では、ホワイトボックスモデルでは、暗号鍵を回復されてしまう可能性があり、この点で安全とはいえない。また、非特許文献３，４に記載された技術では、ホワイトボックスモデルで暗号鍵を回復される危険性は無いものの、非特許文献３に記載された技術では、平文の情報が漏れてしまう可能性があり、この点で安全とはいえない。また、非特許文献４に記載された技術では、平文の情報が漏れる危険性はないものの、乱数を必要としており、上述のようにホワイトボックスモデルでは攻撃者が乱数源を自由にコントロールできるため、安全性を確保することはできない。
【0010】
そこで、ホワイトボックスモデルにおいて、乱数を用いることなく強い安全性を確保することが望まれていた。
【課題を解決するための手段】
【0011】
本開示によれば、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、を備える、暗号化装置が提供される。
【0012】
また、本開示によれば、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにおいて入力値を暗号化することと、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成することと、を備える、暗号化方法が提供される。
【0013】
また、本開示によれば、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、による暗号化処理の逆演算により復号を行う、復号化装置が提供される。
【0014】
また、本開示によれば、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより暗号鍵を用いて入力値を暗号化することと、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、を備える暗号化処理の逆演算により復号を行う、復号化方法が提供される。
【発明の効果】
【0015】
以上説明したように本開示によれば、ホワイトボックスモデルにおいて、乱数を用いることなく強い安全性を確保することが可能となる。
なお、上記の効果は必ずしも限定的なものではなく、上記の効果とともに、または上記の効果に代えて、本明細書に示されたいずれかの効果、または本明細書から把握され得る他の効果が奏されてもよい。
なお、上記の効果は必ずしも限定的なものではなく、上記の効果とともに、または上記の効果に代えて、本明細書に示されたいずれかの効果、または本明細書から把握され得る他の効果が奏されてもよい。
【図面の簡単な説明】
【0016】
【図1】共通鍵ブロック暗号を示す模式図である。
【図2】暗号化を行うブロック（暗号関数Ｅ）の内部構成を示す模式図である。
【図3】Ｆｅｉｓｔｅｌ構造を示す模式図である。
【図4】ＳＰＮ構造を示す模式図である。
【図5】共通鍵ブロック暗号によって構成されるブラックボックスモデルを示す模式図である。
【図6】共通鍵ブロック暗号によって構成されるホワイトボックスモデルを示す模式図である。
【図7】本実施形態に係る暗号化装置の構成を示す模式図である。
【図8】鍵生成部の予測不可能性を示す模式図である。
【図9】本実施形態に係る暗号化技術の概要を示す模式図である。
【図10】具体例（Ｂ）、具体例（Ｃ）、具体例（Ｄ）、具体例（Ｅ）のそれぞれについいて、全体構成、Ｆ関数／Ｓ関数の種類、テーブルサイズ可変の可否、を示す模式図である。
【図11】暗号タイプに応じた処理を示すフローチャートである。
【図12】具体例（Ｂ）を示す模式図である。
【図13】Ｆ関数の構成を示す模式図である。
【図19】１つのラウンド内に２つＦ関数がある例であって、ｎ＝１２８、ｄ＝４の例を示す模式図である。
【図20】具体例（Ｃ）を示す模式図である。
【図23】具体例（Ｄ）を示す模式図である。
【図24】具体例（Ｅ）を示す模式図である。
【図25】本実施形態に係る暗号化による安全性を説明するための模式図である。
【図26】本実施形態に係る暗号化による安全性を説明するための模式図である。
【図27】著作権保護技術（ＤＲＭ：Digital Rights Management）への適用例を示す模式図である。
【図29】ＮＦＣのエミュレーションを利用した支払システムへの適用例を示す模式図である。
【図31】メモリリークに対しても安全な方式を示す模式図である。
【図32】サイドチャネル攻撃に対して安全な暗号化の例を示す模式図である。
【発明を実施するための形態】
【0017】
以下に添付図面を参照しながら、本開示の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
【0018】
なお、説明は以下の順序で行うものとする。
１．共通鍵ブロック暗号技術について
２．本実施形態に係る暗号化装置の構成
３．ホワイトボックスモデルのブロック暗号について
４．具体的構成例
４．１．具体例（Ｂ）
４．２．具体例（Ｃ）
４．３．具体例（Ｄ）
４．４．具体例（Ｅ）
５．復号化のための構成例
６．既存技術との相違
６．１．既存技術１との違い
６．２．既存技術２との違い
７．本実施形態に係る暗号化による安全性について
８．本実施形態が適用されるアプリケーションの例
１．共通鍵ブロック暗号技術について
２．本実施形態に係る暗号化装置の構成
３．ホワイトボックスモデルのブロック暗号について
４．具体的構成例
４．１．具体例（Ｂ）
４．２．具体例（Ｃ）
４．３．具体例（Ｄ）
４．４．具体例（Ｅ）
５．復号化のための構成例
６．既存技術との相違
６．１．既存技術１との違い
６．２．既存技術２との違い
７．本実施形態に係る暗号化による安全性について
８．本実施形態が適用されるアプリケーションの例
【0019】
１．共通鍵ブロック暗号技術について
暗号化と復号化に同じ鍵を用いる共通鍵ブロック暗号の技術が知られている。図１は、共通鍵ブロック暗号を示す模式図であって、ｋビットの鍵長に対応したｎビット共通鍵ブロック暗号アルゴリズムＥを示している。暗号化の際には、平文Ｐ（ｎビット）からｋビットの秘密鍵Ｋを用いて暗号関数Ｅにより暗号文Ｃ（ｎビット）が生成される。復号化の際には、暗号文Ｃ（ｎビット）からｋビットの秘密鍵Ｋを用いて復号関数Ｄ（＝Ｅ－１）により平文Ｐ（ｎビット）が生成される。このような共通鍵ブロック暗号では、例えば図１中に示すような通信路にデータが伝送される場合に、盗聴者（以下、攻撃者とも称する）に対して平文の秘匿性を実現できる。
暗号化と復号化に同じ鍵を用いる共通鍵ブロック暗号の技術が知られている。図１は、共通鍵ブロック暗号を示す模式図であって、ｋビットの鍵長に対応したｎビット共通鍵ブロック暗号アルゴリズムＥを示している。暗号化の際には、平文Ｐ（ｎビット）からｋビットの秘密鍵Ｋを用いて暗号関数Ｅにより暗号文Ｃ（ｎビット）が生成される。復号化の際には、暗号文Ｃ（ｎビット）からｋビットの秘密鍵Ｋを用いて復号関数Ｄ（＝Ｅ－１）により平文Ｐ（ｎビット）が生成される。このような共通鍵ブロック暗号では、例えば図１中に示すような通信路にデータが伝送される場合に、盗聴者（以下、攻撃者とも称する）に対して平文の秘匿性を実現できる。
【0020】
平文Ｐと暗号文Ｃのビット長をブロックサイズと称し、ここではｎで表す。ｎは任意の整数値を取りうるが、通常、ブロック暗号アルゴリズムごとに予め１つに決められている。ブロック長がｎのブロック暗号のことをｎビットブロック暗号と称する場合がある。秘密鍵Ｋのビット長をｋで表し、鍵のビット長ｋは任意の整数値を取りうる。共通鍵ブロック暗号アルゴリズムは、１つまたは複数の鍵サイズに対応することになる。例えば、あるブロック暗号アルゴリズムＡはブロックサイズｎ＝１２８であり、ｋ＝１２８、またはｋ＝１９２、またはｋ＝２５６の鍵サイズに対応するという構成もあり得る。
【0021】
暗号化アルゴリズムＥに対応する復号アルゴリズムＤは、暗号化アルゴリズムＥの逆関数Ｅ－１と定義でき、入力として暗号文Ｃと鍵Ｋを受け取り、平文Ｐを出力する。
【0022】
図２は、暗号化を行うブロック（暗号関数Ｅ）の内部構成を示す模式図である。暗号関数Ｅは、鍵スケジュール部１００とデータ暗号化部２００とから構成される。鍵スケジュール部１００は、秘密鍵Ｋを入力とし、ある定められたステップによりビット長を拡大してできた拡大鍵Ｋ’(ビット長ｋ’)を出力する。データ暗号化部２００は、平文Ｐを受け取り、鍵スケジュール部から拡大された拡大鍵Ｋ’を受け取ってデータの変換を行い、暗号文Ｃを出力する。データ暗号化部２００は、拡大鍵Ｋ’から得られるラウンド関数を繰り返し処理することで、暗号化を行う。
【0023】
データ暗号化部２００は、処理単位であるラウンド関数に分割できるものとする。ラウンド関数は入力として２つのデータを受け取り、内部で処理を施したのち、１つのデータを出力する。入力データの一方は暗号化途中のｎビットデータであり、あるラウンドにおけるラウンド関数の出力が次のラウンド関数の入力として供給される。入力データの他方は鍵スケジュール部１００から出力された拡大鍵Ｋ’の一部のデータであり、この鍵データのことをラウンド鍵と称する。また、ラウンド関数の総数を総ラウンド数と称する。総ラウンド数は、暗号アルゴリズムごとに予め定められている値である。ここでは、総ラウンド数をＲで表す。データ暗号化部２００の入力側から１ラウンド目の入力データをＸ１とし、ｉ番目のラウンド関数に入力されるデータをＸｉ、ラウンド鍵をＲＫｉとすると、データ暗号化部２００の構成は図２のように示される。
【0024】
ブロック暗号アルゴリズムに応じてラウンド関数はさまざまな形態を取り得る。ラウンド関数はその暗号アルゴリズムが採用する構造によって分類できる。代表的な構造として、ここではＳＰＮ構造、Ｆｅｉｓｔｅｌ構造、拡張Ｆｅｉｓｔｅｌ構造を例示する。
【0025】
図３は、Ｆｅｉｓｔｅｌ構造を示す模式図である。また、図４は、ＳＰＮ構造を示す模式図である。図３に示すＦｅｉｓｔｅｌ構造の基本的な構成例では、各ラウンド関数において、ｎビットの入力データＸｉが上位ｎ／２ビットと下位ｎ／２ビットに分割され、各ラインのデータのサイズはｎ／２ビットとなる。ここで、Ｆ関数には上位ｎ／２ビットが入力されて、ｎ／２ビットが出力される。この出力は下位ｎ／２ビットにそれぞれ排他的論理和される。その後、データの左右を入れ替えたものを出力データＸｉ＋１とする。Ｆ関数は非線形関数をもとに構成される。ＳＰＮ構造とは異なり、Ｆ関数は置換である必要はない。一般的に、Ｆ関数は、ブロック暗号から生成されることはなく、計算の軽い非線形演算で生成されるが、本実施形態では、Ｆ関数をブロック暗号から生成する。
【0026】
拡張Ｆｅｉｓｔｅｌ構造（一般化Ｆｅｉｓｔｅｌ構造）は、Ｆｅｉｓｔｅｌ構造ではデータ分割数が２であったものを３以上に分割する形に拡張したものである。分割数をｄとすると、分割数ｄによって様々な拡張Ｆｅｉｓｔｅｌ構造を定義することができる。Ｆ関数の入出力のサイズが相対的に小さくなるため、小型実装に向いている。また、各ラウンド関数において、複数のＦ関数を持つことができる。
【0027】
後述する図１７では、ｄ＝４であり、且つ１つのラウンド内に２つのＦ関数が並列に適用される場合の拡張Ｆｅｉｓｔｅｌ構造の一例を示している。この例では、第１Ｆ関数と第２Ｆ関数の各々において、ＲＫ１ｉとＲＫ２ｉを鍵入力とする。また、後述する図１４では、ｄ＝８であり、且つ１つのラウンド内に１つのＦ関数が適用される場合の拡張Feistel構造の一例を示している。この例では、Ｆ関数への入力サイズがｎ／８ビットであり、Ｆ関数からの出力サイズが７ｎ／８ビットであり、出力は７つのｎ／８ビットのデータに分割され、残りの７つの１６ビットデータに排他的論理和される。なお、ｎ＝１２８ ｂｉｔとする。
【0028】
また、図４に示すＳＰＮ構造の基本的な構成例では、ｎビットの入力データの全てに対して、ラウンド鍵との排他的論理和演算、非線形変換、線形変換処理などが適用される。非線形変換部をＳ層(Substitution-layer)、線形変換部をＰ層(Permutation-layer)と称し、それぞれは置換(全単射関数)である。各ラウンド関数において、ｎビットの入力データＸｉがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄ［ｂｉｔ］となる。ここで、非線形変換演算をＳ関数と定義し、各データ毎にｎ／ｄ［ｂｉｔ］の入出力の非線形変換演算Ｓ層(Substitution-layer)が実行される。その後、線形変換Ｐ層(Permutation-layer)としてｎビットの入出力線形変換Ｌが実行される。なお、線形変換演算をＬ関数と定義する。
【0029】
ブロック暗号の安全性モデルとして、ブラックボックスモデルとホワイトボックスモデルがある。図５は、共通鍵ブロック暗号によって構成されるブラックボックスモデルを示す模式図である。ブラックボックスモデルでは、秘密鍵を求めようとする攻撃者の能力が、ブロック暗号の入出力を認識して自由にコントロール可能であるが、攻撃者はブロック暗号の中間値は認識できない。つまり、ブラックボックスモデルは、攻撃者がブロック暗号アルゴリズムの入力、出力である平文Ｐ、暗号文Ｃにしかアクセスすることができない安全性モデルである。攻撃者による攻撃は、攻撃者が平文Ｐと暗号文Ｃのペアの値を知っているのみである既知平文暗号文攻撃と、これに加えて攻撃者が値自体を自由にコントロールできる選択平文暗号文攻撃に分けることができる。ブラックボックスモデルでは，暗号演算自体は安全に実行され、攻撃者が暗号の中間値を見たり、改ざんすることができないことを想定している。ハードウェアサポートなどを利用し、暗号演算の耐タンパ性が保障できている場合等が対応する。ブラックボックス用の暗号アルゴリズムの実装方法をブラックボックス実装と称する。このようなブラックボックスモデルでは、攻撃者に秘密鍵を知られないように安全に設計することが可能である。ブラックボックスモデルにおいては、ブロック暗号は、秘密鍵Ｋを求めることが計算量的に困難であり（鍵回復攻撃耐性）、ブロック暗号と擬似ランダム鍵付置換を識別するのが計算量的に困難である（識別攻撃耐性）ように設計される。ブラックボックスモデルで安全なブロック暗号は、例えば、ＡＥＳ,ＣＬＥＦＩＡ,ＰＲＥＳＥＮＴ,Ｐｉｃｃｏｌｏなどの暗号化技術により実現可能である。
【0030】
図６は、共通鍵ブロック暗号によって構成されるホワイトボックスモデルを示す模式図である。ホワイトボックスモデルは、ブラックボックスモデルよりも強い攻撃者を想定した安全性モデルであり、攻撃者がブロック暗号アルゴリズムの入力、出力である平文Ｐ、暗号文Ｃのみならず、演算の中間値にも自由にアクセスできる。ホワイトボックスモデルでは、攻撃者はブロック暗号の入力である平文Ｐ、暗号文Ｃを自由にコントロールでき、更に攻撃者が演算中の任意の中間値を見ることや、改ざんできることを想定している。ハードウェアのサポートがないオールソフトウェアなどの、実装上の制約により、耐タンパが保障できないケースに対応している。また、バッファオーバーフロー等の実装上の脆弱性やマルウェア等により中間値が漏れてしまう場合にも対応する。ホワイトボックス用の暗号アルゴリズムの実装方法をホワイトボックス実装と称する。ホワイトボックス実装によれば、ソフトウェアのみでブロック暗号を構成することも可能である。
【0031】
このように、ホワイトボックスモデルでは、攻撃者の能力が、ブロック暗号の入出力を認識して自由にコントロール可能であり、ブロック暗号の中間値を認識して自由にコントロール可能である。ホワイトボックスモデルにおいては、攻撃者が鍵Ｋを求めることは計算量的に困難であることが求められる。また、鍵Ｋを求める変わりにコード自体を直接用いて大きな鍵として用いる攻撃（ｃｏｄｅ ｌｉｆｔｉｎｇと呼ばれる）に対しての耐性も求められる。ブロック暗号の中間値を攻撃者が認識可能なホワイトボックスモデルでは、このような攻撃に対して定量的な安全性をもつ必要がある。
【0032】
２．本実施形態に係る暗号化装置の構成
本実施形態では、上述したブラックボックスモデルにおいて安全な暗号鍵をホワイトボックスモデルで安全な暗号で守る方式に関する。ブラックボックスモデルで安全なブロック暗号Ｇの秘密鍵ＫＢを、ブロック暗号Ｇへの入力を用いてホワイトボックスで安全なブロック暗号Ｅから生成する。図７は、本実施形態に係る暗号化装置１０００の構成を示す模式図である。
本実施形態では、上述したブラックボックスモデルにおいて安全な暗号鍵をホワイトボックスモデルで安全な暗号で守る方式に関する。ブラックボックスモデルで安全なブロック暗号Ｇの秘密鍵ＫＢを、ブロック暗号Ｇへの入力を用いてホワイトボックスで安全なブロック暗号Ｅから生成する。図７は、本実施形態に係る暗号化装置１０００の構成を示す模式図である。
【0033】
図７に示すように、暗号化装置１０００は、暗号化部１１００と鍵生成部１２００を有する。暗号化部１１００は、ブラックボックスモデルで安全なブロック暗号Ｇによる暗号化を行うものであり、例えば、ＡＥＳ（ＡＥＳ－１２８/１９２/２５６）,ＣＬＥＦＩＡ,ＰＲＥＳＥＮＴ,Ｐｉｃｃｏｌｏなどの暗号化技術により実現される。暗号化部１１００は、ブラックボックスモデルで安全であり、鍵回復や鍵識別のための攻撃に対して安全である。暗号化部１１００は、ｎビットの平文Ｐの入力を受けて、ｋビットの暗号鍵ＫＢを用いて平文Ｐを暗号化し、ｎビットの暗号文Ｃを出力する。
【0034】
鍵生成部１２００は、ホワイトボックスモデルで安全なブロック暗号Ｅによる暗号化により暗号鍵ＫＢを生成する。鍵生成部１２００は、ｎビットの平文Ｐの入力を受けて、ｋ’ビットの暗号鍵Ｋ’により暗号鍵ＫＢを生成する。上述のように暗号鍵ＫＢは、暗号化部１１００による平文Ｐの暗号化に用いられる。鍵生成部１２００は、ホワイトボックスモデルで安全なブロック暗号Ｅを用いるため、鍵導出攻撃やテーブルのデコンポジション（ｄｅｃｏｍｐｏｓｉｔｉｏｎ；分解）に対して安全である。また、鍵生成部１２００は、ホワイトボックスモデルで安全なブロック暗号Ｅにより暗号鍵ＫＢを生成するため、圧縮できない(ｉｎｃｏｍｐｒｅｓｓｉｂｌｅ)特性を有する。なお、鍵生成部１２００は、平文Ｐの代わりにカウント値の入力を受けて暗号鍵ＫＢを生成するものであっても良い。
【0035】
また、鍵生成部１２００は、ブラックボックスモデルの攻撃者が出力値（暗号鍵ＫＢ）を予測できないという予測不可能性（Ｕｎｐｒｅｄｉｃｔａｂｉｌｉｔｙ）の特性を有する。図８は、鍵生成部１２００の予測不可能性を示す模式図である。予測不可能性とは、関数Ｆの入力が与えられたとき、出力の値をランダム推測よりも高い確率で求めることができないことをいう。例えば、図８に示すように、関数Ｆに１２８ビットの平文Ｐの入力が与えられたとき、２－１２８よりも高い確率で出力（暗号文Ｃ）の値を予測できないことをいう。つまり、関数Ｆが予測不可能性を有している場合、入力が与えられても暗号鍵が判らなければ出力を得ることはできない。
【0036】
以上のような構成によれば、ブラックボックスモデルとホワイトボックスモデルの両方おいて、安全性をブラックボックスモデルで安全な暗号（例えば、ＡＥＳ）に帰着可能となる。ブラックボックスモデルで安全なブロック暗号Ｇの暗号鍵ＫＢは、鍵生成部１２００の予測不可能性により攻撃者には漏れないため、ブロック暗号Ｇの安全性は保たれる。例えば、ブロック暗号ＧがＡＥＳであれば、暗号化装置１０００はＡＥＳの安全性を有することになる。また、ホワイトボックスモデルで安全なブロック暗号Ｅの安全性は、後述するように、ブロック暗号ＥがＡＥＳで構成される場合は、ＡＥＳの安全性に依存することになる。従って、ブラックボックスモデルとホワイトボックスモデルの両方おいて、安全性をブラックボックスモデルで安全な暗号に帰着可能である。また、ブラックボックスモデルで安全なＡＥＳなどの汎用的な暗号化方式を、より安全な暗号化方式にすることが可能となる。
【0037】
また、仮にコードの一部が漏れたとしても、強い安全性（識別不可能性）を保持することができる。ホワイトボックスモデル安全なブロック暗号Ｅが、予測不可能性を満たしている限り、ブラックボックスモデルでの識別不可能性は保持できる。なお、識別不可能性とは、ある関数ｆがランダムな関数と識別できないことを示す。暗号化関数や認証の安全性証明では、構成要素の関数が識別不可能性を有していることが前提となり、識別不可能性を有していない場合は安全性を保証することができない。また、識別不可能性を有していない場合は、平文の情報が洩れていないことを保証できない。
【0038】
３．ホワイトボックスモデルのブロック暗号について
以下では、上述したホワイトボックスモデルで安全なブロック暗号Ｅについて、詳細に説明する。特に、信頼できない実行環境において、安全に暗号復号を行う技術、秘密鍵を守る技術を説明する。信頼できない環境として、秘密鍵を安全に保管できない場合、暗号演算の中間値を攻撃者が認識できる場合が挙げられる。なお、ブラックボックスモデルで安全なブロック暗号Ｇについては、上述のようにＡＥＳなどの暗号化技術により実現可能である。
以下では、上述したホワイトボックスモデルで安全なブロック暗号Ｅについて、詳細に説明する。特に、信頼できない実行環境において、安全に暗号復号を行う技術、秘密鍵を守る技術を説明する。信頼できない環境として、秘密鍵を安全に保管できない場合、暗号演算の中間値を攻撃者が認識できる場合が挙げられる。なお、ブラックボックスモデルで安全なブロック暗号Ｇについては、上述のようにＡＥＳなどの暗号化技術により実現可能である。
【0039】
図９は、本実施形態に係るブロック暗号Ｅの暗号化技術の概要を示す模式図であって、基本となる構成例（Ａ）に係る暗号化装置を示している。ブロック暗号Ｅを複数のテーブル３００から構成し、各テーブルをブラックボックスモデルで安全なブロック暗号Ｅ’（内部ブロック暗号）として構成する。これにより、安全なブロック暗号Ｅを構成することができる。ホワイトボックス実装では、ブロック暗号Ｅ’からなる部品の一部、または全てをテーブル化して実装する。ブロック暗号Ｅ’のアルゴリズムはユーザが自由に選択可能とする。なお、暗号化装置は、ＣＰＵなどの中央演算処理装置と、これを機能させるためのプログラムから構成することができる。この場合に、そのプログラムは、暗号化装置が備えるメモリなどの記録媒体に格納されることができる。また、ブロック暗号を構成するテーブルは、暗号化装置が備える記録媒体に格納されることができる。
【0040】
このように、本実施形態に係るブロック暗号Ｅの基本となる構成例（Ａ）では、ブラックボックスモデルで安全なブロック暗号Ｅ’を構成要素（部品）として、ホワイトボックスモデルで安全なブロック暗号Ｅを構成する。内部ブロック暗号Ｅ’のアルゴリズムは、ユーザが自由に選択でき、入力として受け取る。ホワイトボックス実装では、内部ブロック暗号Ｅ’ベースの関数を鍵に依存させ、一部もしくは全てがテーブルで実装される。つまり、鍵スケジュール部１００から出力された拡大鍵Ｋ’により内部ブロック暗号Ｅ’を生成してテーブル化する。テーブル化することにより、その都度暗号化演算が行われる場合と比較して、鍵の秘匿性を大幅に高めることできる。
【0041】
また、構成例（Ａ）の具体例（Ｂ）として、ブロック暗号ＥがＦｅｉｓｔｅｌ構造からなり、一種類の入出力サイズのＦ関数から構成され、Ｆ関数は内部ブロック暗号Ｅ’をもとに生成される。ここでＦ関数は、内部ブロック暗号Ｅ’の入力の一部を固定、出力の一部を破棄することによってＥ’から変換される。ホワイトボックス実装では、Ｆ関数すべてがテーブルで実装される。
【0042】
また、構成例（Ａ）の具体例（Ｃ）として、ブロック暗号ＥがＳＰＮ構造からなり、一種類の入出力サイズのＳ関数から構成され、Ｓ関数は内部ブロック暗号Ｅ’をもとに生成される。ここでＳ関数は、同じサイズの内部ブロック暗号から構成される。ホワイトボックス実装では、Ｓ関数すべてがテーブルで実装される。
【0043】
また、構成例（Ａ）の具体例（Ｄ）として、ブロック暗号Ｅが拡張Ｆｅｉｓｔｅｌ構造からなり、複数種類の入出力サイズのＦ関数から構成され、Ｆ関数は内部ブロック暗号Ｅ’をもとに生成される。ここで、Ｆ関数は、内部ブロック暗号の入力の一部を固定、出力の一部を破棄することによって生成される。ホワイトボックス実装では、一部若しくは全てがテーブル実装される。
【0044】
また、構成例（Ａ）の具体例（Ｅ）として、ブロック暗号ＥがＳＰＮ構造からなり、複数種類の入出力サイズのＳ関数から構成され、Ｓ関数は内部ブロック暗号Ｅ’をもとに生成する。ここで、Ｓ関数は、同じサイズの内部ブロック暗号から構成される。ホワイトボックス実装では、一部若しくは全てがテーブル実装される。
【0045】
図１０は、具体例（Ｂ）、具体例（Ｃ）、具体例（Ｄ）、具体例（Ｅ）のそれぞれについいて、全体構成、Ｆ関数／Ｓ関数の種類、テーブルサイズ可変の可否、を示す模式図である。
【0046】
また、図１１は、暗号タイプに応じた処理を示すフローチャートである。図１１において、先ずステップＳ１０では、内部ブロック暗号Ｅ’に鍵Ｋを依存させ、鍵付関数Ｅ’Ｋを生成する。次のステップＳ１２では、暗号タイプを判定し、Ｆｅｉｓｔｅｌ構造の場合はステップＳ１４へ進む。ステップＳ１４では、Ｆ関数をＥ’Ｋから生成する。次のステップＳ１６では、Ｆ関数をテーブル化する。次のステップＳ１８では、Ｆｅｉｓｔｅｌ構成でテーブルを接続し、暗号関数Ｅを生成する。
【0047】
また、ステップＳ１２でＳＰＮ構造の場合はステップＳ２０へ進み、Ｓ関数をＥ’Ｋから生成する。次のステップＳ２２では、Ｓ関数をテーブル化する。次のステップＳ２４では、ＳＰＮ構成でテーブルを接続し、暗号関数Ｅを生成する。ステップＳ１８，Ｓ２４の後はステップＳ２６へ進み、テーブルベースの関数からコード生成を行う。これにより、ホワイトボックス暗号化コードが生成される。
【0048】
４．具体的構成例
以下では、具体例（Ｂ）、具体例（Ｃ）、具体例（Ｄ）、具体例（Ｅ）の構成例とその効果について詳細に説明する。ここで、内部ブロック暗号Ｅ’は、ｎ’ビットブロック暗号であり、ブラックボックスモデルにおいて安全であるものとする。
以下では、具体例（Ｂ）、具体例（Ｃ）、具体例（Ｄ）、具体例（Ｅ）の構成例とその効果について詳細に説明する。ここで、内部ブロック暗号Ｅ’は、ｎ’ビットブロック暗号であり、ブラックボックスモデルにおいて安全であるものとする。
【0049】
４．１．具体例（Ｂ）
図１２は、具体例（Ｂ）を示す模式図であって、一般化Ｆｅｉｓｔｅｌ構造による構成例を示している。図１２に示す例では、ｎビットの入力データＸｉがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄビットとなる。ここで、Ｆ関数はｃ×ｎ／ｄ ｂｉｔ入力、（ｄ－ｃ）×（ｎ／ｄ）（＝ｎ－（ｃ×ｎ／ｄ））［ｂｉｔ］出力で、ｃ通りのラインのデータが入力され、出力はｄ－ｃ通りのｎ／ｄ［ｂｉｔ］のデータに分割され、残りのｄ－ｃ通りのラインにそれぞれ排他的論理和される。Ｆ関数は内部ブロック暗号Ｅ’をもとに構成される。ここでＥ’のブロックサイズｎ’が、ｎ’＞（ｄ－ｃ）×（ｎ／ｄ） かつ ｎ’＞ｃ×（ｎ／ｄ）を満たすものとする（条件１）。図１２に示すように、ブロック暗号Ｅ’へ入力されたビットの値は、排他論理和により得られたビットの値よりも下位ビットとして出力される。
図１２は、具体例（Ｂ）を示す模式図であって、一般化Ｆｅｉｓｔｅｌ構造による構成例を示している。図１２に示す例では、ｎビットの入力データＸｉがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄビットとなる。ここで、Ｆ関数はｃ×ｎ／ｄ ｂｉｔ入力、（ｄ－ｃ）×（ｎ／ｄ）（＝ｎ－（ｃ×ｎ／ｄ））［ｂｉｔ］出力で、ｃ通りのラインのデータが入力され、出力はｄ－ｃ通りのｎ／ｄ［ｂｉｔ］のデータに分割され、残りのｄ－ｃ通りのラインにそれぞれ排他的論理和される。Ｆ関数は内部ブロック暗号Ｅ’をもとに構成される。ここでＥ’のブロックサイズｎ’が、ｎ’＞（ｄ－ｃ）×（ｎ／ｄ） かつ ｎ’＞ｃ×（ｎ／ｄ）を満たすものとする（条件１）。図１２に示すように、ブロック暗号Ｅ’へ入力されたビットの値は、排他論理和により得られたビットの値よりも下位ビットとして出力される。
【0050】
図１３は、Ｆ関数の構成を示す模式図である。ｎ’ビットの内部ブロック暗号Ｅ’から、ｃ×ｎ／ｄ［ｂｉｔ］入力、（ｄ－ｃ）×（ｎ／ｄ）［ｂｉｔ］出力のＦ関数の構成方法は以下の通りである。先ず、図１３に示すように、内部ブロック暗号Ｅ’の入力ｎ’［ｂｉｔ］のうち、任意のｎ’－（ｃ×ｎ／ｄ）［ｂｉｔ］を定数値（例えばall 0）に固定し、入力サイズをｃ×ｎ／ｄにする。次に、出力の任意の（ｃ×ｎ／ｄ）［ｂｉｔ］を破棄（ｄｉｓｒｅｇａｒｄ）することにより、出力サイズをｎ’－（ｃ×ｎ／ｄ）にする。このような、内部ブロック暗号Ｅ’に対する一部の入力ビット固定、出力の一部破棄により、条件１を満たす任意の内部ブロック暗号Ｅ’からＦ関数を構成する。テーブル化により、Ｆ関数はｎ’ビットの入出力に対応するテーブルから構成される。例えば、８ビットの入出力の場合、入力値（０～２５５）に対して出力値を対応付けしたテーブルが生成される。このテーブルに対し、一部の入力ビット固定、出力の一部破棄を行うことで、８ビット入力、１２０ビット出力などの入出力ビット数の調整を行うことができる。ここで、各ラウンドにおいてＦ関数を変更するため、ｎ’－（ｃ×ｎ／ｄ）ビットの出力にラウンド固有の定数を排他論理和（ＸＯＲ）する。例えば、ラウンド固有の定数は、例えばラウンド数とし、ラウンド数をＸＯＲする。ラウンド数４の場合は４をＸＯＲすることになる。但し、この排他論理和はテーブル参照後に行われるため、この演算自体はテーブルには含めない。これにより、一通りのＦ関数テーブルで、ラウンド毎に異なるＦ関数を表現することができる。従って、各ラウンド関数のＦ関数自体は共通に構成することも可能であり、テーブルを格納するメモリ領域を大幅に削減することができる。
【0051】
図１４～図１８は、具体的な構成例を示す模式図である。図１４はｎ＝ｎ’＝１２８、ｃ＝１、ｄ＝１６の場合の全体構成を示しており、図１５は、図１４の例のＦ関数の構成を示している。また、図１６は、ｎ＝１２８、ｃ＝１、ｄ＝８の場合、図１７はｎ＝１２８、ｃ＝１、ｄ＝４の場合、図１８はｎ＝１２８、ｃ＝３、ｄ＝１６の場合、をそれぞれ示している。
【0052】
図１９は、１つのラウンド内に２つＦ関数がある例であって、ｎ＝１２８、ｄ＝４の例を示す模式図である。以上の全ての例において、Ｆ関数は、ホワイトボックス実装ではテーブル実装される。図１４、図１６、図１７、図１８の例において、テーブルサイズ（Ｆ関数のサイズ）は、それぞれ、約３．８４［ｂｙｔｅ］、９１８［Ｋｂｙｔｅ］、５１．５［Ｇｂｙｔｅ］、２１８［Ｍｂｙｔｅ］程度である。
【0053】
４．２．具体例（Ｃ）
図２０は、具体例（Ｃ）を示す模式図であって、ＳＰＮ構造による構成例を示している。図２０に示す例では、ｎビットの入力データＸｉがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄ［ｂｉｔ］である。ここで、各データ毎にｎ／ｄ［ｂｉｔ］の入出力のＳ関数による演算（非線形変換演算Ｓ層(Substitution-layer)）が実行される。その後、Ｌ関数による演算（線形変換Ｐ層(Permutation-layer)）としてｎ－ｂｉｔ入出力線形変換が実行される。ここで、Ｓ関数とＬ関数（入出力線形変換Ｌ）は全単射関数であり、Ｌ関数はラウンド定数演算を含む。Ｓ関数は、内部ブロック暗号Ｅ’をもとに構成されるが、Ｓ関数は全単射関数である必要があり、図１３のように内部ブロック暗号Ｅ’の入力ビット固定、出力の一部の破棄による変換では構成することができない。このため、ｎ／ｄ［ｂｉｔ］のブロック暗号を用いる必要がある。よって、内部ブロック暗号Ｅ’のブロックサイズｎ’の条件は、ｎ’＝ｎ／ｄとなる（条件２）。
図２０は、具体例（Ｃ）を示す模式図であって、ＳＰＮ構造による構成例を示している。図２０に示す例では、ｎビットの入力データＸｉがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄ［ｂｉｔ］である。ここで、各データ毎にｎ／ｄ［ｂｉｔ］の入出力のＳ関数による演算（非線形変換演算Ｓ層(Substitution-layer)）が実行される。その後、Ｌ関数による演算（線形変換Ｐ層(Permutation-layer)）としてｎ－ｂｉｔ入出力線形変換が実行される。ここで、Ｓ関数とＬ関数（入出力線形変換Ｌ）は全単射関数であり、Ｌ関数はラウンド定数演算を含む。Ｓ関数は、内部ブロック暗号Ｅ’をもとに構成されるが、Ｓ関数は全単射関数である必要があり、図１３のように内部ブロック暗号Ｅ’の入力ビット固定、出力の一部の破棄による変換では構成することができない。このため、ｎ／ｄ［ｂｉｔ］のブロック暗号を用いる必要がある。よって、内部ブロック暗号Ｅ’のブロックサイズｎ’の条件は、ｎ’＝ｎ／ｄとなる（条件２）。
【0054】
図２１は、図２０に示したＳ関数のそれぞれの構成を示す模式図である。図２１に示すように、Ｓ関数を構成する内部ブロック暗号Ｅ’の入出力のサイズは、共にｎ／ｄ［ｂｉｔ］である。従って、例えば、８ビットの入出力の場合、入力値（０～２５５）に対して出力値を対応付けしたテーブルが生成され、このテーブルによりＳ関数の演算が行われる。線形変換演算を行うＬ関数は、例えば正方行列から構成される。Ｓ関数の入出力が８ビットの場合、Ｓ関数からの８ビットの出力がＬ関数に入力され、８ビットの値に対して８×８のマトリクスの正方行列を乗算することで、８ビットの値がＬ関数から出力される。このように、Ｌ関数は、Ｓ関数からの出力値を拡散する機能を有する。
【0055】
図２２は、具体的な構成例を示す模式図であって、ｎ＝１２８、ｄ＝８の場合を示している。Ｓ関数は、ホワイトボックス実装ではテーブル実装される。図２２のテーブルサイズは約２５６［ｂｙｔｅ］程度である。Ｓ関数の場合も、図１３に示したＦ関数の場合と同様に、各Ｓ関数を変更するため、Ｓ関数の出力にラウンド固有の定数をＸＯＲすることができる。これにより、Ｓ関数自体を共通にすることができるため、テーブルを格納するメモリ領域を大幅に削減することができる。
【0056】
４．３．具体例（Ｄ）
図２３は、具体例（Ｄ）を示す模式図であって、変形Ｆｅｉｓｔｅｌ構造による構成例を示している。図２３に示す例では、ｎビットの入力データがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄであり、サイズの異なる４種類のＦ関数から構成されている。初めのラウンドではｎ／ｄ［ｂｉｔ］入力、(ｎ－ｎ／ｄ)［ｂｉｔ］出力のＦ関数、２番目のラウンドでは２ｎ／ｄ［ｂｉｔ］入力、（ｎ－２ｎ／ｄ)［ｂｉｔ］出力のＦ関数、３番目のラウンドでは３ｎ／ｄ［ｂｉｔ］入力、（ｎ－３ｎ／ｄ）［ｂｉｔ］出力のＦ関数、４番目のラウンドでは４ｎ／ｄ［ｂｉｔ］入力、（ｎ－４ｎ／ｄ）［ｂｉｔ］出力のＦ関数が用いられる。この４ラウンドを基本として、任意ラウンド繰り返す。図１３で示した方法と同様に、任意のサイズのＦ関数は、内部ブロック暗号Ｅ’から生成され、出力にラウンド定数がＸＯＲされる。
図２３は、具体例（Ｄ）を示す模式図であって、変形Ｆｅｉｓｔｅｌ構造による構成例を示している。図２３に示す例では、ｎビットの入力データがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄであり、サイズの異なる４種類のＦ関数から構成されている。初めのラウンドではｎ／ｄ［ｂｉｔ］入力、(ｎ－ｎ／ｄ)［ｂｉｔ］出力のＦ関数、２番目のラウンドでは２ｎ／ｄ［ｂｉｔ］入力、（ｎ－２ｎ／ｄ)［ｂｉｔ］出力のＦ関数、３番目のラウンドでは３ｎ／ｄ［ｂｉｔ］入力、（ｎ－３ｎ／ｄ）［ｂｉｔ］出力のＦ関数、４番目のラウンドでは４ｎ／ｄ［ｂｉｔ］入力、（ｎ－４ｎ／ｄ）［ｂｉｔ］出力のＦ関数が用いられる。この４ラウンドを基本として、任意ラウンド繰り返す。図１３で示した方法と同様に、任意のサイズのＦ関数は、内部ブロック暗号Ｅ’から生成され、出力にラウンド定数がＸＯＲされる。
【0057】
ホワイトボックス実装では、ユーザの求めるコード(テーブルサイズ)に応じて、これらのうちの一部若しくは全てがテーブルで実装される。ｎ＝１２８、ｄ＝１６の場合は、それぞれのラウンドのＦ関数のテーブルサイズは、初めのラウンドでは約３．８４［ｂｙｔｅ］、２番目のラウンドでは９１８［Ｋｂｙｔｅ］、３番目のラウンドでは２１８［Ｍｂｙｔｅ］、４番目のラウンドでは５１．５［Ｇｂｙｔｅ］となる。ユーザの要求に応じて、どのＦ関数をテーブル実装するか選択することにより、全体のコードサイズを調整可能である。例えば、４番目のラウンド関数はテーブル化せずに関数演算をその都度行うようにすれば、全体のコードサイズを抑えることができる。
【0058】
４．４．具体例（Ｅ）
図２４は、具体例（Ｅ）を示す模式図であって、変形ＳＰＮ構造による構成例を示している。図２４に示す例では、ｎビットの入力データがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄであり、サイズの異なる３種類のＳ関数から構成されている。各ラウンドのＳ層は、ｎ／ｄ［ｂｉｔ］の入出力、２ｎ／ｄ［ｂｉｔ］の入出力、４ｎ／ｄ［ｂｉｔ］の入出力、のＳ関数が用いられる。ホワイトボックス実装では、ユーザの求めるコード(テーブルサイズ)に応じて、これらの一部若しくは全てがテーブルで実装される。例えば。ｎ＝１２８、ｄ＝８で、８［ｂｉｔ］、１６［ｂｉｔ］、３２［ｂｉｔ］のデータが実装されている場合を考える。それぞれのテーブルサイズは、２５６［ｂｙｔｅ］、１３２［Ｋｂｙｔｅ］、１７．２［Ｇｂｙｔｅ］となる。ユーザの要求に応じて、どのＳ関数をテーブル実装するか選択することにより、全体のコードサイズを調整可能である。
図２４は、具体例（Ｅ）を示す模式図であって、変形ＳＰＮ構造による構成例を示している。図２４に示す例では、ｎビットの入力データがｄ通りのデータに分割され、各ラインのデータのサイズはｎ／ｄであり、サイズの異なる３種類のＳ関数から構成されている。各ラウンドのＳ層は、ｎ／ｄ［ｂｉｔ］の入出力、２ｎ／ｄ［ｂｉｔ］の入出力、４ｎ／ｄ［ｂｉｔ］の入出力、のＳ関数が用いられる。ホワイトボックス実装では、ユーザの求めるコード(テーブルサイズ)に応じて、これらの一部若しくは全てがテーブルで実装される。例えば。ｎ＝１２８、ｄ＝８で、８［ｂｉｔ］、１６［ｂｉｔ］、３２［ｂｉｔ］のデータが実装されている場合を考える。それぞれのテーブルサイズは、２５６［ｂｙｔｅ］、１３２［Ｋｂｙｔｅ］、１７．２［Ｇｂｙｔｅ］となる。ユーザの要求に応じて、どのＳ関数をテーブル実装するか選択することにより、全体のコードサイズを調整可能である。
【0059】
本実施形態に係るブロック暗号Ｅによれば、ホワイトボックスモデルにおいて、key extractionの安全性は内部ブロック暗号Ｅ’のブラックボックスモデルでの鍵回復問題の安全性に帰着する。これは、ホワイトボックス実装において、内部ブロック暗号Ｅ’がテーブル実装されていることによるもので、攻撃者はホワイトモデルにおいても、テーブルの入出力にしかアクセスできない。これは、内部ブロック暗号Ｅ’のブラックボックスモデルとマッチする。内部状態（内部ブロック暗号Ｅ’）に信頼性の高い暗号(例えばＡＥＳ)を用ることで、ホワイトボックスモデルについても、内部ブロック暗号Ｅ’のブラックボックスモデルの鍵回復と同等の安全性を有することができる。
【0060】
また、攻撃者は、鍵を知らない限りテーブルサイズを小さくすることはできない(Space-hardness)。内部ブロック暗号Ｅ’の鍵の情報を知らない限り、攻撃者はＥ’をテーブル演算以外で計算することはできない。このため、与えられたテーブルより小さいものに変換することはできない。これは、攻撃者がｃｏｄｅ ｌｉｆｔｉｎｇ攻撃する際に、大容量のデータが必要なことを意味している。データサイズに比例してコード抜き取りに必要な時間は増加するため、ｃｏｄｅ ｌｉｆｔｉｎｇ作業を非常に時間のかかる作業にしている。更に、もしコード全体自体をとったとしても、そのサイズを圧縮することができず、コード配布の際に大容量のデータを送付する必要があり、配布のリスクを低減することが可能である。
【0061】
また、external encodingについても、External Encodingなしで安全性を保障可能である。
【0062】
更に、実装要求に応じた様々なサイズのテーブルを構成することが可能である。具体例（Ｂ）、具体例（Ｃ）によれば、分割数ｄの値を変更することにより、任意のテーブルサイズのアルゴリズムを構成することができる。また、具体例（Ｄ）、具体例（Ｅ）によれば、分割数ｄの値、又は使用するＦ関数、Ｓ関数のサイズを適切に複数選択することで、同じアルゴリズムで複数のテーブルサイズの実装が可能となる。
【0063】
また、ユーザは、内部ブロック暗号Ｅ’を自由に選択できる。内部ブロック暗号Ｅ’は、入出力サイズの条件(条件１、条件２)を満たす限り、自由に選択することが可能である。ブラックボックスで用いる場合、テーブル実装は不要で内部演算を直接演算できる。この場合、内部ブロック暗号Ｅ’を適切に選択することで、さまざまな実装ニーズに応えることが可能である。例えば、ＡＥＳを内部ブロック暗号Ｅ’として使用し、ＡＥＳ－ＮＩを用いることにより、ソフトウェアで非常に高速に実装でき、且つキャッシュタイミング攻撃に対しても安全に実装できる。また、ソフトウェアで軽量な暗号Ｐｉｃｃｏｌｏ,Ｐｒｉｄｅを用いることにより、ＲＡＭサイズ等の実装制約が大きい環境でも実装可能である。
【0064】
５．復号化のための構成例
上述したように、暗号化アルゴリズムＥに対応する復号アルゴリズムＤは、暗号化アルゴリズムＥの逆関数Ｅ－１と定義でき、入力として暗号文Ｃと鍵Ｋを受け取り、平文Ｐを出力する。復号アルゴリズムＤにおいても、ブラックボックス実装によりテーブルを構成することで、ブラックボックスモデルと同等の安全性を確保することが可能である。図７に示した暗号化装置１０００においても、鍵生成部１２００の暗号化アルゴリズムＥに対応する復号アルゴリズムＤは、暗号化アルゴリズムＥの逆関数Ｅ－１と定義できる。また、暗号化部１１００の暗号化アルゴリズムＧに対応する復号アルゴリズムも暗号化アルゴリズムＧの逆関数Ｇ－１と定義できる。
上述したように、暗号化アルゴリズムＥに対応する復号アルゴリズムＤは、暗号化アルゴリズムＥの逆関数Ｅ－１と定義でき、入力として暗号文Ｃと鍵Ｋを受け取り、平文Ｐを出力する。復号アルゴリズムＤにおいても、ブラックボックス実装によりテーブルを構成することで、ブラックボックスモデルと同等の安全性を確保することが可能である。図７に示した暗号化装置１０００においても、鍵生成部１２００の暗号化アルゴリズムＥに対応する復号アルゴリズムＤは、暗号化アルゴリズムＥの逆関数Ｅ－１と定義できる。また、暗号化部１１００の暗号化アルゴリズムＧに対応する復号アルゴリズムも暗号化アルゴリズムＧの逆関数Ｇ－１と定義できる。
【0065】
６．既存技術との相違
以下では、本実施形態に係るブロック暗号Ｅに係る技術と、前述した非特許文献１，２に記載された方法（既存技術１とする）、非特許文献３に記載された方法（既存技術２とする）、非特許文献４に記載された方法（既存技術３とする）との相違について説明する。
以下では、本実施形態に係るブロック暗号Ｅに係る技術と、前述した非特許文献１，２に記載された方法（既存技術１とする）、非特許文献３に記載された方法（既存技術２とする）、非特許文献４に記載された方法（既存技術３とする）との相違について説明する。
【0066】
６．１．既存技術１との違い
既存技術1は、既存のＡＥＳ，ＤＥＳ等のアルゴリズムの実装方法であり、ホワイトボックス用暗号技術ではなく、ホワイトボックスモデルに対して安全ではないことが既に示されている。従って、ホワイトボックスモデルにおける安全性を大幅に向上した本実施形態に係るブロック暗号Ｅの技術とは相違する。
既存技術1は、既存のＡＥＳ，ＤＥＳ等のアルゴリズムの実装方法であり、ホワイトボックス用暗号技術ではなく、ホワイトボックスモデルに対して安全ではないことが既に示されている。従って、ホワイトボックスモデルにおける安全性を大幅に向上した本実施形態に係るブロック暗号Ｅの技術とは相違する。
【0067】
本実施形態に係るブロック暗号Ｅでは、ブラックボックスモデルで安全なブロック暗号でも安全性を満たすことを示し、内部ブロック暗号Ｅ’は、入出力サイズの条件（条件１、条件２）を満たす限り、自由に選択することが可能である。
【0068】
これにより、ブラックボックス実装において、実装環境や求められる安全性に応じて、内部ブロック暗号Ｅ’を自由に選択可能となる。例えば、ＡＥＳを内部ブロック暗号Ｅ’として使い、ＡＥＳ－ＮＩを用いることにより、ソフトウェアで非常に高速な実装を行うことができ、且つキャッシュタイミング攻撃に対しても安全に実装できる。また、ソフトウェアで軽量な暗号Ｐｉｃｃｏｌｏ，Ｐｒｉｄｅを用いることにより、ＲＡＭサイズ等の実装制約が大きい環境でも実装可能である。また、ＡＳＡＳＡ構造はホワイトボックスモデルにおいては安全ではないが、本実施形態に係るブロック暗号Ｅでは、ホワイトボックスモデルに対しても安全性を保障することが可能である。
６．２．既存技術２，３との違い
既存技術２では、ホワイトボックスモデルで安全になるように暗号を設計しているが、情報の一部が漏れた場合に、強い安全性（識別不可能性）を保証することは困難であり、暗号関数において平文の情報が漏れないことを保証できない。既存技術３は、ブラックボックスモデルで安全な暗号化方式の暗号鍵をホワイトボックスモデルで守ることを想定しているが、ホワイトボックスモデルで安全性を保証するためには、乱数が必要となる。しかし、ホワイトボックスモデルでは、攻撃者は乱数源を自由にコントロールできることを前提にしているため、安全性を保証することは困難である。
一方、本実施形態に係るブロック暗号Ｅによれば、乱数を用いることなく、暗号鍵の回復と識別不可能性に対する強い安全性を確保することができる。従って、攻撃者に対して暗号鍵の情報や平文の情報が漏れてしまうことを確実に回避できる。
６．２．既存技術２，３との違い
既存技術２では、ホワイトボックスモデルで安全になるように暗号を設計しているが、情報の一部が漏れた場合に、強い安全性（識別不可能性）を保証することは困難であり、暗号関数において平文の情報が漏れないことを保証できない。既存技術３は、ブラックボックスモデルで安全な暗号化方式の暗号鍵をホワイトボックスモデルで守ることを想定しているが、ホワイトボックスモデルで安全性を保証するためには、乱数が必要となる。しかし、ホワイトボックスモデルでは、攻撃者は乱数源を自由にコントロールできることを前提にしているため、安全性を保証することは困難である。
一方、本実施形態に係るブロック暗号Ｅによれば、乱数を用いることなく、暗号鍵の回復と識別不可能性に対する強い安全性を確保することができる。従って、攻撃者に対して暗号鍵の情報や平文の情報が漏れてしまうことを確実に回避できる。
【0069】
７．本実施形態に係るブロック暗号Ｅによる効果について
図２５は、本実施形態に係るブロック暗号Ｅの暗号化による安全性を説明するための模式図であって、図１３に示したＦｅｉｓｔｅｌ構造によるＦ関数をＡＥＳにより構成した例を示している。上述したように、ホワイトボックスモデルでは、攻撃者はテーブルの入出力にアクセス可能である。内部ブロック暗号Ｅ’のブラックボックスモデルと同じテーブルから鍵を求める問題（ホワイトボックスモデル）は、ＡＥＳの鍵回復攻撃(ブラックボックスモデル)と等しい。従って、本実施形態に係るブロック暗号Ｅの暗号化によれば、ＡＥＳの鍵回復攻撃(ブラックボックスモデル)と同等の安全性を確保することが可能である。ホワイトボックスモデルにおいて、安全性は内部ブロック暗号Ｅ’のブラックボックスモデルでの鍵回復問題の安全性に帰着する。攻撃者は、鍵を知らない限りテーブルサイズを小さくすることはできない(Space-hardness)。
図２５は、本実施形態に係るブロック暗号Ｅの暗号化による安全性を説明するための模式図であって、図１３に示したＦｅｉｓｔｅｌ構造によるＦ関数をＡＥＳにより構成した例を示している。上述したように、ホワイトボックスモデルでは、攻撃者はテーブルの入出力にアクセス可能である。内部ブロック暗号Ｅ’のブラックボックスモデルと同じテーブルから鍵を求める問題（ホワイトボックスモデル）は、ＡＥＳの鍵回復攻撃(ブラックボックスモデル)と等しい。従って、本実施形態に係るブロック暗号Ｅの暗号化によれば、ＡＥＳの鍵回復攻撃(ブラックボックスモデル)と同等の安全性を確保することが可能である。ホワイトボックスモデルにおいて、安全性は内部ブロック暗号Ｅ’のブラックボックスモデルでの鍵回復問題の安全性に帰着する。攻撃者は、鍵を知らない限りテーブルサイズを小さくすることはできない(Space-hardness)。
【0070】
図２６は、本実施形態に係るブロック暗号Ｅの暗号化による安全性を説明するための模式図であって、攻撃者が攻撃する際に必要となるデータ量を示している。攻撃のためには、非常に多くのデータを入手しなければ秘密鍵Ｋを取得することはできない。具体的には、１２８ ｂｉｔ鍵と比較した場合、１０４．４～１０１０．５倍のデータ量が必要である。また、攻撃者がデータを入手できたとしても、圧縮することができないので、不正に配布する際に大容量のデータであるため抑止力になる。
【0071】
また、本実施形態ブロック暗号Ｅの暗号化によれば、実装要求に応じた様々なサイズのテーブルを構成することが可能である。具体例(Ｂ),（Ｃ）の構成では、分割数ｄの数を変更することにより、任意のテーブルサイズのアルゴリズムを構成することができる。また、具体例（Ｄ），（Ｅ）の構成では、分割数ｄの数や使われるＦ関数、Ｓ関数のサイズを適切に複数選択することで、同じアルゴリズムで複数のテーブルサイズの実装が可能である。更に、テーブルの内部演算をユーザが自由に選択可能であり、ブラックボックス実装において最適なものを選択することが可能である。
【0072】
８．本実施形態が適用されるアプリケーションの例
本実施形態の暗号化装置１０００に係る技術は、図１に示したような通信路におけるデータの秘匿性を実現する他、様々なアプリケーションに適用することができる。以下では、幾つかのアプリケーションの例を説明する。
本実施形態の暗号化装置１０００に係る技術は、図１に示したような通信路におけるデータの秘匿性を実現する他、様々なアプリケーションに適用することができる。以下では、幾つかのアプリケーションの例を説明する。
【0073】
図２７は、著作権保護技術（ＤＲＭ：Digital Rights Management）への適用例を示す模式図である。図２７に示すように、クラウド上のコンテンツサーバ４００で暗号化を行い、コンテンツ（暗号文Ｃ）がコンテンツサーバ４００からユーザデバイス４１０へ配信される。ユーザデバイス４１０は、パーソナルコンピュータ（ＰＣ）、スマートフォンなどの電子機器である。コンテンツ（暗号文Ｃ）はユーザデバイス４１０において復号される。
【0074】
図２８は、図２７をより詳細に示す模式図である。コンテンツサーバ４００は、ホワイトボックス暗号化関数により映画、音楽などのコンテンツを暗号化する。また、コンテンツサーバ４００では、ライセンス生成器４０２によりライセンスを生成し、暗号化されたコンテンツと共にユーザデバイス４１０へ送る。ユーザデバイス４１０は、送られたライセンスをライセンス検証器４１２により検証し、ライセンスの検証に成功した場合は、ホワイトボックス復号関数により、暗号化されたコンテンツを復号する。
【0075】
図２７及び図２８に示したような著作権保護技術では、ユーザデバイス４１０でコンテンツを復号する必要がある。この場合、仮に鍵Ｋが露呈した場合、コンテンツの不正配布に繋がる。つまり、暗号化が安全でない環境では、ユーザデバイス４１０が信頼できない環境となる。本実施形態によれば、悪意のあるユーザがコンテンツの秘密鍵Ｋを取得することを、ホワイトボックス暗号化技術により確実に防止することが可能である。
【0076】
図２９は、ＮＦＣのエミュレーションを利用した支払システムへの適用例を示す模式図である。図２９に示すように、このシステムでは、ＮＦＣの読取装置４２０にユーザデバイス４３０を近づけてエミュレーションを行う。ユーザデバイス４３０は、ホストＣＰＵ４３２、ＮＦＣコントローラ４３４、セキュアエレメント４３６を有する。
【0077】
図３０は、図２９をより詳細に示す模式図である。クラウド上のサーバ４４０は、ユーザの証明用の情報（Ｃｒｅｄｅｎｔｉａｌ ｉｎｆｏｒｍａｔｉｏｎ）と、支払情報（Ｐａｙｍｅｎｔ ｉｎｆｏｒｍａｔｉｏｎ）を有する。ユーザデバイス４３０は、モバイル機器などの電子機器であり、サーバ４４０と暗号化通信を行い、証明用の情報をやり取りする。また、ユーザデバイス４３０は、読取装置４２０と暗号化通信を行い、証明用の情報をやり取りする。暗号化通信では、本実施形態に係る暗号化装置１０００により暗号化が行われる。このため、ユーザデバイス４３０は、暗号関数、復号関数を備えている。暗号化装置１０００により暗号化を行うことで、支払いに関する証明のデータを守ることができる。これにより、図２９の右側の図に示すように、ユーザデバイス４３０がセキュアエレメント４３６を備えていなくてもＮＦＣのエミュレーションが可能となる。
【0078】
図３１は、メモリリークに対しても安全な方式を示す模式図である。このシステムでは、ソフトウェアの脆弱性(buffer overflow, heart bleed)やマルウェアにより、メモリが攻撃者にリークした場合も、安全性を保障する。マルウェアやメモリリークの脆弱性のあるデバイス４４５において、ホワイトボックス暗号化方式が有するＳｐａｃｅ ｈａｒｄｎｅｓｓの性質により、数キロバイト、数ギガバイト以上のデータが漏れない限り安全性は低下しない。図３１の例において、コードサイズをＴとすると、Ｔ／４以上のデータが漏れない限り安全性は低下しない。なお、Ｓｐａｃｅ ｈａｒｄｎｅｓｓとは、一定以上のサイズのメモリが漏れない限り暗号の安全性を保障できる技術である。この方法は、内部ネットワークから外部ネットワークからの通信量を制限している場合に特に有効である。
【0079】
図３２は、サイドチャネル攻撃に対して安全な暗号化の例を示す模式図である。ホワイトボックス暗号化方式は、通常はソフトウェア用であるが、Reconfigurable Hardware (FPGA)で実装することにより、ハードウェアでサイドチャネルに安全な暗号方式として使うことができる。例えば図３２に示すＩＣカード４５０など、ハードウェアでサイドチャネル攻撃を受ける可能性のあるデバイスにおいて、特に有効である。
【0080】
以上、添付図面を参照しながら本開示の好適な実施形態について詳細に説明したが、本開示の技術的範囲はかかる例に限定されない。本開示の技術分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的思想の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本開示の技術的範囲に属するものと了解される。
【0081】
また、本明細書に記載された効果は、あくまで説明的または例示的なものであって限定的ではない。つまり、本開示に係る技術は、上記の効果とともに、または上記の効果に代えて、本明細書の記載から当業者には明らかな他の効果を奏しうる。
【0082】
なお、以下のような構成も本開示の技術的範囲に属する。
（１） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、
入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、
を備える、暗号化装置。
（２） 前記鍵生成部は、
入力値を順次に暗号化処理する複数のラウンド関数の少なくとも一部がテーブル化され、前記ラウンド関数の入出力値を外部から認識可能なホワイトボックスモデルにより暗号化するデータ暗号化部を備え、
複数の前記ラウンド関数のそれぞれは、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化するテーブル化された暗号化関数を有する、前記（１）に記載の暗号化装置。
（３） 前記暗号化関数には、前記ラウンド関数へ入力されるビットのうちの一部が入力され、
前記暗号化関数は、前記暗号化関数へ入力可能なビットの一部を固定値とし、前記暗号化関数の出力値の一部を破棄することで、前記暗号化関数へ入力可能なビット数から前記暗号化関数へ入力されたビット数の差分に相当するビット数の出力値を出力する、前記（２）に記載の暗号化装置。
（４） 前記ラウンド関数は、前記ラウンド関数へ入力されるビットのうち前記暗号化関数に入力されなかったビットと、前記暗号化関数からの前記出力値のビットの排他論理和を演算する、前記（３）に記載の暗号化装置。
（５） 前記ラウンド関数は、前記暗号化関数へ入力されたビットの値と前記排他論理和により得られたビットの値を出力する、前記（４）に記載の暗号化装置。
（６） 前記ラウンド関数は、前記暗号化関数へ入力されたビットの値を前記排他論理和により得られたビットの値よりも下位ビットとして出力する、前記（５）に記載の暗号化装置。
（７） 前記ラウンド関数の出力と予め定められた所定値との排他論理和を演算し、得られた値を次のラウンド関数への入力又は前記データ暗号化部の出力とする、前記（２）～（６）のいずれかに記載の暗号化装置。
（８） １の前記ラウンド関数が複数の前記暗号化関数を有する、前記（２）に記載の暗号化装置。
（９） 複数の前記ラウンド関数において、後段のラウンド関数ほど前記暗号化関数に大きなビットの入力値が入力される、前記（３）～（８）のいずれかに記載の暗号化装置。
（１０） １の前記ラウンド関数が複数の前記暗号化関数を有し、
前記ラウンド関数へ入力されるビットが分割されて複数の前記暗号化関数へ入力され、
複数の前記暗号化関数は非線形演算を行い、
前記ラウンド関数は、複数の前記暗号化関数による前記非線形演算の結果を線形変換演算して出力する、前記（２）に記載の暗号化装置。
（１１） 複数の前記暗号化関数のそれぞれにおいて、入力されるビット数と出力されるビット数が同一である、前記（１０）に記載の暗号化装置。
（１２） 複数の前記暗号化関数のそれぞれに入力されるビット数が異なる、前記（１０）又は（１１）に記載の暗号化装置。
（１３） 前記暗号化関数は、前記データ暗号化部に対応する秘密鍵から生成される拡張鍵によって暗号化を行う、前記（２）～（１２）のいずれかに記載の暗号化装置。
（１４） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにおいて暗号鍵を用いて入力値を暗号化することと、
入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、
を備える、暗号化方法。
（１５） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、による暗号化処理の逆演算により復号を行う、復号化装置。
（１６） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより暗号鍵を用いて入力値を暗号化することと、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、を備える暗号化処理の逆演算により復号を行う、復号化方法。
（１） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、
入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、
を備える、暗号化装置。
（２） 前記鍵生成部は、
入力値を順次に暗号化処理する複数のラウンド関数の少なくとも一部がテーブル化され、前記ラウンド関数の入出力値を外部から認識可能なホワイトボックスモデルにより暗号化するデータ暗号化部を備え、
複数の前記ラウンド関数のそれぞれは、入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化するテーブル化された暗号化関数を有する、前記（１）に記載の暗号化装置。
（３） 前記暗号化関数には、前記ラウンド関数へ入力されるビットのうちの一部が入力され、
前記暗号化関数は、前記暗号化関数へ入力可能なビットの一部を固定値とし、前記暗号化関数の出力値の一部を破棄することで、前記暗号化関数へ入力可能なビット数から前記暗号化関数へ入力されたビット数の差分に相当するビット数の出力値を出力する、前記（２）に記載の暗号化装置。
（４） 前記ラウンド関数は、前記ラウンド関数へ入力されるビットのうち前記暗号化関数に入力されなかったビットと、前記暗号化関数からの前記出力値のビットの排他論理和を演算する、前記（３）に記載の暗号化装置。
（５） 前記ラウンド関数は、前記暗号化関数へ入力されたビットの値と前記排他論理和により得られたビットの値を出力する、前記（４）に記載の暗号化装置。
（６） 前記ラウンド関数は、前記暗号化関数へ入力されたビットの値を前記排他論理和により得られたビットの値よりも下位ビットとして出力する、前記（５）に記載の暗号化装置。
（７） 前記ラウンド関数の出力と予め定められた所定値との排他論理和を演算し、得られた値を次のラウンド関数への入力又は前記データ暗号化部の出力とする、前記（２）～（６）のいずれかに記載の暗号化装置。
（８） １の前記ラウンド関数が複数の前記暗号化関数を有する、前記（２）に記載の暗号化装置。
（９） 複数の前記ラウンド関数において、後段のラウンド関数ほど前記暗号化関数に大きなビットの入力値が入力される、前記（３）～（８）のいずれかに記載の暗号化装置。
（１０） １の前記ラウンド関数が複数の前記暗号化関数を有し、
前記ラウンド関数へ入力されるビットが分割されて複数の前記暗号化関数へ入力され、
複数の前記暗号化関数は非線形演算を行い、
前記ラウンド関数は、複数の前記暗号化関数による前記非線形演算の結果を線形変換演算して出力する、前記（２）に記載の暗号化装置。
（１１） 複数の前記暗号化関数のそれぞれにおいて、入力されるビット数と出力されるビット数が同一である、前記（１０）に記載の暗号化装置。
（１２） 複数の前記暗号化関数のそれぞれに入力されるビット数が異なる、前記（１０）又は（１１）に記載の暗号化装置。
（１３） 前記暗号化関数は、前記データ暗号化部に対応する秘密鍵から生成される拡張鍵によって暗号化を行う、前記（２）～（１２）のいずれかに記載の暗号化装置。
（１４） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにおいて暗号鍵を用いて入力値を暗号化することと、
入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、
を備える、暗号化方法。
（１５） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより入力値を暗号化する暗号化部と、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記暗号化部への入力値を暗号化して前記暗号化部の暗号鍵を生成する鍵生成部と、による暗号化処理の逆演算により復号を行う、復号化装置。
（１６） 入出力値を外部から認識可能であり中間値は外部から認識できないブラックボックスモデルにより暗号鍵を用いて入力値を暗号化することと、入出力値及び中間値を外部から認識可能なホワイトボックスモデルにより前記入力値を暗号化して前記暗号鍵を生成することと、を備える暗号化処理の逆演算により復号を行う、復号化方法。
【符号の説明】
【0083】
１００ データ暗号化部
３００ テーブル
１１００ 暗号化部
１２００ 鍵生成部
３００ テーブル
１１００ 暗号化部
１２００ 鍵生成部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】
【図26】
【図27】
【図28】
【図29】
【図30】
【図31】
【図32】