特許7371757認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法およびプログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-10-23
(45)【発行日】2023-10-31
(54)【発明の名称】認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法およびプログラム
(51)【国際特許分類】
H04L 9/32 20060101AFI20231024BHJP
G09C 1/00 20060101ALI20231024BHJP
H04L 9/06 20060101ALI20231024BHJP
【ＦＩ】
H04L9/32 200A
G09C1/00 610Z
H04L9/06 Z
【請求項の数】
9
(21)【出願番号】P 2022502765
(86)(22)【出願日】2020-02-28
(86)【国際出願番号】 JP2020008255
(87)【国際公開番号】W WO2021171543
(87)【国際公開日】2021-09-02
【審査請求日】2022-08-02
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100106909
【弁理士】
【氏名又は名称】棚井 澄雄
(74)【代理人】
【識別番号】100134544
【弁理士】
【氏名又は名称】森 隆一郎
(74)【代理人】
【識別番号】100149548
【弁理士】
【氏名又は名称】松沼 泰史
(74)【代理人】
【識別番号】100162868
【弁理士】
【氏名又は名称】伊藤 英輔
(72)【発明者】
【氏名】向井 明子
【審査官】児玉 崇晶
(56)【参考文献】
【文献】国際公開第２０１６／０６７５２４（ＷＯ，Ａ１）
【文献】国際公開第２０１９／１６３０３２（ＷＯ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／３２
Ｇ０９Ｃ １／００
Ｈ０４Ｌ ９／０６
(57)【特許請求の範囲】
【請求項1】
初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成するマスク系列生成手段と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成するタグ用マスク生成手段と、
プリミティブの入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する第一暗号化手段と、
前記平文ブロックを用いて前記平文のチェックサムを算出するチェックサム計算手段と、
プリミティブの入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する第二暗号化手段と、
を備える認証暗号化装置。
【請求項2】
前記マスク系列生成手段は、前記秘密鍵を用いたブロック暗号と前記初期ベクトルとに基づく基本マスクを用いて前記マスク系列を生成し、前記タグ用マスク生成手段は、前記基本マスクを用いて前記タグ生成用のマスクを生成し、
前記第一暗号化手段は、前記秘密鍵を用いたブロック暗号を前記プリミティブとして用いて前記平文ブロックを暗号化し、
前記第二暗号化手段は、前記秘密鍵を用いたブロック暗号を前記プリミティブとして用いて前記タグを生成する、
請求項１に記載の認証暗号化装置。
【請求項3】
前記マスク系列生成手段は、前記秘密鍵と前記初期ベクトルとの結合の鍵なし暗号学的置換と、前記秘密鍵と前記初期ベクトルとの前記結合との排他的論理をとって得られる基本マスクを用いて前記マスク系列を生成し、前記タグ用マスク生成手段は、前記基本マスクを用いて前記タグ生成用のマスクを生成し、
前記第一暗号化手段は、前記鍵なし暗号学的置換を前記プリミティブとして用いて前記平文ブロックを暗号化し、
前記第二暗号化手段は、前記鍵なし暗号学的置換を前記プリミティブとして用いて前記タグを生成する、
請求項１に記載の認証暗号化装置。
【請求項4】
前記チェックサム計算手段は、前記平文ブロックの各々および前記マスク系列の要素の各々の排他的論理和によるチェックサムを算出する、請求項１に記載の認証暗号化装置。
【請求項5】
初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成するマスク系列生成手段と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成するタグ用マスク生成手段と、
復号関数の入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する復号手段と、
前記平文ブロックを用いて平文のチェックサムを算出するチェックサム計算手段と、
前記復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成するタグ生成手段と、
前記タグを用いて前記復号手段による復号結果の受理または不受理を決定するタグ検査手段と、
を備える認証復号装置。
【請求項6】
初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、
プリミティブの入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する工程と、
前記平文ブロックを用いて前記平文のチェックサムを算出する工程と、
プリミティブの入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、
を含む認証暗号化方法。
【請求項7】
初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、
復号関数の入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する工程と、
前記平文ブロックを用いて平文のチェックサムを算出する工程と、
前記復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、
前記タグを用いて復号結果の受理または不受理を決定する工程と、
を含む認証復号方法。
【請求項8】
コンピュータに初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、
前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、
プリミティブの入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する工程と、
前記平文ブロックを用いて前記平文のチェックサムを算出する工程と、
プリミティブの入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、
を実行させるためのプログラム。
【請求項9】
コンピュータに初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、
前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、
復号関数の入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する工程と、
前記平文ブロックを用いて平文のチェックサムを算出する工程と、
前記復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、
前記タグを用いて復号結果の受理または不受理を決定する工程と、
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法およびプログラムに関する。
【背景技術】
【0002】
認証暗号とは、事前に共有された秘密鍵を用いて、平文メッセージに対して暗号化と改ざん検知用の認証タグ計算とを適用する技術である。通信路に認証暗号を適用することにより、盗聴に対する内容の秘匿と、不正な改ざんに対する検知が可能となり、結果として通信内容に対する強力な保護が実現される。
認証暗号の例として、非特許文献１に記載のＯＰＰ、非特許文献２に記載のＯＣＢ、ＯＣＢ２、および、非特許文献３に記載のＯＣＢ２ｆ等が挙げられる。
認証暗号の例として、非特許文献１に記載のＯＰＰ、非特許文献２に記載のＯＣＢ、ＯＣＢ２、および、非特許文献３に記載のＯＣＢ２ｆ等が挙げられる。
【先行技術文献】
【非特許文献】
【0003】
【文献】Robert Granger、外３名、"Improved Masking for Tweakable Blockciphers with Applications to Authenticated Encryption"、Proceedings, Part I, of the 35th Annual International Conference on Advances in Cryptology、EUROCRYPT 2016、第９６６５巻、pp. 263-293、２０１６年
【文献】Phillip Rogaway、"Efficient Instantiations of Tweakable Blockciphers and Refinements to Modes OCB and PMAC"、Springer 、ASIACRYPT 2004、Lecture Notes in Computer Science、第３３２９巻、pp. 16-31、２００４年
【文献】Akiko Inoue、外３名、"Cryptanalysis of OCB2: Attacks on Authenticity and Confidentiality"、The International Association for Cryptologic Research (IACR)、 Cryptology ePrint Archive: Report 2019/311、２０１９年
【発明の概要】
【発明が解決しようとする課題】
【0004】
上述したＯＣＢ２に代表されるような認証暗号方式では、平文の暗号化に用いるマスク系列とは別に、タグ生成のためにスペシャルマスクと呼ばれるマスクを用意する必要がある。一般に、このスペシャルマスクの定義は困難であるという課題がある。なぜなら、既存手法でスペシャルマスクを定義するためには、一般にガロア体ＧＦ（２ｎ）上の離散対数問題を解かなければならないからである。
【0005】
有限体上の離散対数問題は一般に解くことが困難とされており、プリミティブの入出力長が大きくなるにつれてスペシャルマスクの定義が、より困難になる。例えば、非特許文献２に記載のＯＣＢ２ではプリミティブの入出力長がｎ＝１２８であり、非特許文献２では、Pohlig-HellmanアルゴリズムとPollardのρ法を用いて数時間で離散対数問題を解いている。これに対し非特許文献１では、ｎ＝５１２とｎ＝１０２４においてＯＰＰのスペシャルマスクを定義するために、関数体篩法（Function Field Sieve）と呼ばれる最新のアルゴリズムを実装したパソコン（Personal Computer；ＰＣ）を数日間稼働させて離散対数問題を解いている。
【0006】
上記の課題が発生する理由について、さらに詳細に述べる。まず、原始元となる元σを決定し、ガロア体ＧＦ（２ｎ）を、その乗法群の原始元がσとなるように定義する場合を考える。原始元σの決め方は、暗号方式を実装する環境によって、最も暗号化・復号処理において効率的となる元を選べばよい。ＯＣＢ２の場合は、原始元σの値は２である。
【0007】
平文の暗号化に用いるマスクについては簡単に設定することができる。安全性上の観点から、平文の暗号化に用いるマスクたちは、同一の初期ベクトルにおいては、平文ブロックのインデックスごとに異なる値であればよい。そのため、ｍブロックの平文の暗号化に用いるマスク系列をΦとすると、Φ＝（σ１・Δ，σ２・Δ，…，σｍ・Δ）とすればよい。Δ＝Ｅ（Ｋ，Ｎ）であり、Ｎは初期ベクトルを示す。
【0008】
一方、上記でも述べたように、既存手法においてスペシャルマスクを定義することは一般には困難である。既存手法においてスペシャルマスクは、安全性評価方法に起因する理由により、同一の初期ベクトルに対して、タグ生成ブロック以外のブロックで用いられる可能性のあるマスク値全てと異なっている必要がある。また、それに加えて、スペシャルマスクは平文のブロック数に対しても固有である必要がある。つまり、既存手法では平文の暗号化に用いるマスク系列Φのマスクをスペシャルマスクに用いることができない。
【0009】
そこで、スペシャルマスクを定義するために、原始元σ以外の元が、ＧＦ（２ｎ）の乗法群から選ばれる。スペシャルマスクの定義のために選ばれる元を特別元λと称する。
特別元λの選び方は原始元σの選び方と同様に、暗号方式を実装する環境によって計算が効率的となる元を選べばよい。非特許文献２に記載のＯＣＢ２では、特別元λの値は３である。
特別元λの選び方は原始元σの選び方と同様に、暗号方式を実装する環境によって計算が効率的となる元を選べばよい。非特許文献２に記載のＯＣＢ２では、特別元λの値は３である。
【0010】
次に、スペシャルマスクを定義するために、特別元λの原始元σに対するＧＦ（２ｎ）上の離散対数が計算される。つまり、ＧＦ（２ｎ）の乗法群上でσα＝λとなるαが計算される。αはｌｏｇσ（λ）とも表記される。
ｌｏｇσ（λ）の絶対値が（２ｎ－１）／２に対して小さすぎる場合、スペシャルマスクの値が平文の暗号化に用いるマスク値と等しくなる可能性が高くなる。このため、ｌｏｇσ（λ）の絶対値が（２ｎ－１）／２に対して小さすぎる場合は、特別元λが取り直され、再度離散対数が計算される。非特許文献２に記載のＯＣＢ２の場合は、ｌｏｇ２（３）の絶対値が十分に大きいため、ｍ個の平文ブロックを持つ平文に対するスペシャルマスクを２ｍ・３・Δと定義することができる。
ｌｏｇσ（λ）の絶対値が（２ｎ－１）／２に対して小さすぎる場合、スペシャルマスクの値が平文の暗号化に用いるマスク値と等しくなる可能性が高くなる。このため、ｌｏｇσ（λ）の絶対値が（２ｎ－１）／２に対して小さすぎる場合は、特別元λが取り直され、再度離散対数が計算される。非特許文献２に記載のＯＣＢ２の場合は、ｌｏｇ２（３）の絶対値が十分に大きいため、ｍ個の平文ブロックを持つ平文に対するスペシャルマスクを２ｍ・３・Δと定義することができる。
【0011】
しかし、既に述べたように、有限体上の離散対数問題を解くことは一般に困難であることが知られている。このため、既存手法によるスペシャルマスクの定義方法は、拡張性に非常に乏しいという課題がある。
例えば非特許文献１では、ｎ＝５１２の場合、および、ｎ＝１０２４の場合にスペシャルマスクの定義に用いることができる特別元の例が提案されている。一方、非特許文献１で定義されているガロア体とは異なる体を用いたい場合、または、異なる元でマスク系列やスペシャルマスクを定義したい場合などには非特許文献１の結果を用いることはできない。
例えば非特許文献１では、ｎ＝５１２の場合、および、ｎ＝１０２４の場合にスペシャルマスクの定義に用いることができる特別元の例が提案されている。一方、非特許文献１で定義されているガロア体とは異なる体を用いたい場合、または、異なる元でマスク系列やスペシャルマスクを定義したい場合などには非特許文献１の結果を用いることはできない。
【0012】
本発明の目的の一例は、上記の問題を解決することができる認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法およびプログラムを提供することである。
【課題を解決するための手段】
【0013】
本発明の第１の態様によれば、認証暗号化装置は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成するマスク系列生成部と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成するタグ用マスク生成部と、プリミティブの入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する第一暗号化部と、前記平文ブロックを用いて前記平文のチェックサムを算出するチェックサム計算部と、プリミティブの入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する第二暗号化部と、を備える。
【0014】
本発明の第２の態様によれば、認証復号装置は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成するマスク系列生成部と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成するタグ用マスク生成部と、復号関数の入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する復号部と、前記平文ブロックを用いて平文のチェックサムを算出するチェックサム計算部と、前記復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成するタグ生成部と、前記タグを用いて前記復号部による復号結果の受理または不受理を決定するタグ検査部と、を備える。
【0015】
本発明の第３の態様によれば、認証暗号化方法は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、プリミティブの入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する工程と、前記平文ブロックを用いて前記平文のチェックサムを算出する工程と、プリミティブの入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、を含む。
【0016】
本発明の第４の態様によれば、認証復号方法は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、復号関数の入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する工程と、前記平文ブロックを用いて平文のチェックサムを算出する工程と、前記復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、前記タグを用いて復号結果の受理または不受理を決定する工程と、を含む。
【0017】
本発明の第５の態様によれば、プログラムは、コンピュータに初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、プリミティブの入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する工程と、前記平文ブロックを用いて前記平文のチェックサムを算出する工程と、プリミティブの入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、を実行させるためのプログラムである。
【0018】
本発明の第６の態様によれば、プログラムは、コンピュータに初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、前記ガロア体上での乗算を要素とするマスク系列を生成する工程と、前記基本マスクと、前記ガロア体の乗法群の原始元の、前記マスク系列の何れの要素における前記指数とも異なる指数による累乗との、前記ガロア体上での乗算による、タグ生成用のマスクを生成する工程と、復号関数の入力および出力のそれぞれで、前記マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する工程と、前記平文ブロックを用いて平文のチェックサムを算出する工程と、前記復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、前記タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、前記チェックサムを暗号化して認証用のタグを生成する工程と、前記タグを用いて復号結果の受理または不受理を決定する工程と、を実行させるためのプログラムである。
【発明の効果】
【0019】
上記した認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法およびプログラムによれば、認証暗号のタグの生成に用いられるスペシャルマスクを、有限体上の離散対数問題を解くことなく取得できる。
【図面の簡単な説明】
【0020】
【図1】第一の実施形態の認証システムの構成例を示すブロック図である。
【図2】第一の実施形態の認証暗号化装置の構成例を示すブロック図である。
【図3】第一の実施形態の認証暗号化装置の動作を示すフローチャートである。
【図4】第一の実施形態の認証復号装置の構成例を示すブロック図である。
【図5】第一の実施形態の認証復号装置の動作を示すフローチャートである。
【図6】第二の実施形態の認証暗号化装置の構成例を示すブロック図である。
【図7】第二の実施形態の認証暗号化装置が行う暗号化の演算例の概略を示す図である。
【図8】第二の実施形態の認証復号装置の構成例を示すブロック図である。
【図9】第三の実施形態の認証暗号化装置の構成例を示すブロック図である。
【図10】第三の実施形態の認証暗号化装置が行う暗号化の演算例の概略を示す図である。
【図11】第三の実施形態の認証復号装置の構成例を示すブロック図である。
【図12】第四の実施形態の認証暗号化装置の構成例を示すブロック図である。
【図13】第四の実施形態の認証暗号化装置が行う暗号化の演算例の概略を示す図である。
【図14】第四の実施形態の認証暗号化装置が行う暗号化の演算の変形例の概略を示す図である。
【図15】第四の実施形態の認証復号装置の構成例を示すブロック図である。
【図16】第五の実施形態の認証暗号化装置の構成例を示す図である。
【図17】第六の実施形態の認証復号装置の構成例を示す図である。
【図18】第七の実施形態の認証暗号化方法における処理手順の例を示すフローチャートである。
【図19】第八の実施形態の認証復号方法における処理手順の例を示すフローチャートである。
【図20】少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
【発明を実施するための形態】
【0021】
以下、本発明の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【0022】
＜第一の実施形態＞
第一の実施形態では、プリミティブの入出力において、マスクを用いた排他的論理和の演算を行うTweakable（ツイーカブル）ブロック暗号を用いて平文を暗号化し、プリミティブの入力および出力のうち少なくとも入力において、マスクを用いた排他的論理和の演算を行うTweakableブロック暗号を用いてチェックサムを暗号化する場合の例について説明する。特に、第一の実施形態では、プリミティブの入力および出力のうち入力のみにおいて、マスクを用いた排他的論理和の演算を行うTweakableブロック暗号を用いてチェックサムを暗号化する場合の例について説明する。
第一の実施形態では、プリミティブの入出力において、マスクを用いた排他的論理和の演算を行うTweakable（ツイーカブル）ブロック暗号を用いて平文を暗号化し、プリミティブの入力および出力のうち少なくとも入力において、マスクを用いた排他的論理和の演算を行うTweakableブロック暗号を用いてチェックサムを暗号化する場合の例について説明する。特に、第一の実施形態では、プリミティブの入力および出力のうち入力のみにおいて、マスクを用いた排他的論理和の演算を行うTweakableブロック暗号を用いてチェックサムを暗号化する場合の例について説明する。
【0023】
【0024】
認証暗号システム１は、認証暗号を用いて情報の伝達を行う。認証暗号システム１では、認証暗号化装置１０が認証暗号を出力する。認証復号装置２０は、認証暗号化装置１０が出力する暗号文を取得して復号する。認証暗号化装置１０と認証復号装置２０は、秘密鍵を共有する。認証暗号化装置１０と認証復号装置２０が共有する秘密鍵をＫと表記する。
【0025】
また、暗号化の対象の平文をＭとし、さらに初期ベクトル（Initialization Vector；ＩＶ）と呼ばれるビット列のデータを導入する。認証暗号システム１が用いる初期ベクトルをＮと表記する。認証暗号化装置１０が、初期ベクトルＮを生成する。すなわち、認証暗号化装置１０が、初期ベクトルＮの値を決定する。
認証暗号化装置１０が行う処理を式（１）のように表すことができる。
認証暗号化装置１０が行う処理を式（１）のように表すことができる。
【0026】
【数1】
【0027】
ＡＥｎｃＫは、鍵Ｋをパラメータとした認証暗号の暗号化関数を示す。Ｃは暗号文を示す。Ｔはタグと呼ばれる、改ざん検出用のビット列のデータを示す。
認証暗号化装置１０は、初期ベクトルＮ、暗号文Ｃ、および、タグＴを認証復号装置２０へ送信する。認証暗号化装置１０が送信するデータを（Ｎ，Ｃ，Ｔ）と表記する。
認証暗号化装置１０は、初期ベクトルＮ、暗号文Ｃ、および、タグＴを認証復号装置２０へ送信する。認証暗号化装置１０が送信するデータを（Ｎ，Ｃ，Ｔ）と表記する。
【0028】
認証復号装置２０が受信した情報を（Ｎ’，Ｃ’，Ｔ’）とすると、認証復号装置２０は復号処理としてＡＤｅｃＫ（Ｎ’，Ｃ’，Ｔ’）を計算する。ＡＤｅｃＫは、鍵Ｋをパラメータとした認証暗号の復号関数を示す。
通信の途中に改ざんがあり、（Ｎ’，Ｃ’，Ｔ’）≠（Ｎ，Ｃ，Ｔ）となっていた場合、ＡＤｅｃＫ（Ｎ’，Ｃ’，Ｔ’）は改ざんがあったことを示すエラーメッセージを出力する。この場合、認証復号装置２０は、改ざんがあったと判定してエラーメッセージを出力する。
改ざんがなく、（Ｎ’，Ｃ’，Ｔ’）＝（Ｎ，Ｃ，Ｔ）である場合、ＡＤｅｃＫ（Ｎ’，Ｃ’，Ｔ’）＝Ｍとなる。この場合、認証復号装置２０は、暗号文Ｃ’を平文Ｍに正しく復号する。
通信の途中に改ざんがあり、（Ｎ’，Ｃ’，Ｔ’）≠（Ｎ，Ｃ，Ｔ）となっていた場合、ＡＤｅｃＫ（Ｎ’，Ｃ’，Ｔ’）は改ざんがあったことを示すエラーメッセージを出力する。この場合、認証復号装置２０は、改ざんがあったと判定してエラーメッセージを出力する。
改ざんがなく、（Ｎ’，Ｃ’，Ｔ’）＝（Ｎ，Ｃ，Ｔ）である場合、ＡＤｅｃＫ（Ｎ’，Ｃ’，Ｔ’）＝Ｍとなる。この場合、認証復号装置２０は、暗号文Ｃ’を平文Ｍに正しく復号する。
【0029】
認証暗号システム１が扱う認証暗号は、特定の入出力長をもつ暗号アルゴリズムの組み合わせによって実現される。この暗号アルゴリズムは、特定のビット長の入力データに対し、入力データと同じビット長のデータを出力する。以下、この暗号アルゴリズムを認証暗号におけるプリミティブ（Primitive）と称する。プリミティブの入出力長をｎビットとする。ｎは、ｎ≧１の整数の定数である。
【0030】
プリミティブの例として、ブロック暗号、鍵なしの暗号学的置換、および、Tweakableブロック暗号が挙げられる。
ブロック暗号における暗号化処理では、ｋビットの秘密鍵Ｋとｎビットの平文Ｍを入力として、ｎビットの暗号文Ｃを出力する。ｋは、ｋ≧１の整数の定数である。ブロック暗号における暗号化処理をＥ（Ｋ，Ｍ）＝Ｃと表記する。
ブロック暗号における暗号化処理では、ｋビットの秘密鍵Ｋとｎビットの平文Ｍを入力として、ｎビットの暗号文Ｃを出力する。ｋは、ｋ≧１の整数の定数である。ブロック暗号における暗号化処理をＥ（Ｋ，Ｍ）＝Ｃと表記する。
【0031】
鍵なしの暗号学的置換における暗号化処理では、ｎビットの平文Ｍを入力として、ｎビットの暗号文Ｃを出力する。鍵なしの暗号学的置換における暗号化処理をＰ（Ｍ）＝Ｃと表記する。
Tweakableブロック暗号における暗号化処理では、ｋビットの秘密鍵Ｋ、ｔｗビットのＴｗｅａｋ（調整値）Ｔｗ、および、ｎビットの平文Ｍを入力として、ｎビットの暗号文Ｃを出力する。ｔｗは、ｔｗ≧１の整数の定数である。Tweakableブロック暗号における暗号化処理を、ＴＥ（Ｋ，Ｔｗ，Ｍ）＝Ｃ、もしくはＴＥ（Ｔｗ，Ｍ）と表記する。
Tweakableブロック暗号における暗号化処理では、ｋビットの秘密鍵Ｋ、ｔｗビットのＴｗｅａｋ（調整値）Ｔｗ、および、ｎビットの平文Ｍを入力として、ｎビットの暗号文Ｃを出力する。ｔｗは、ｔｗ≧１の整数の定数である。Tweakableブロック暗号における暗号化処理を、ＴＥ（Ｋ，Ｔｗ，Ｍ）＝Ｃ、もしくはＴＥ（Ｔｗ，Ｍ）と表記する。
【0032】
上記のTweakableブロック暗号は、ブロック暗号Ｅまたは鍵なしの暗号学的置換Ｐでも実現される。
例えば、ＸＥＸ＊モードと呼ばれる暗号利用モードを用いることで、全体の鍵をブロック暗号の鍵一つとしてTweakableブロック暗号を実行可能である。ＸＥＸ＊は２種類のTweakableブロック暗号ＸＥＸとＸＥの総称であり、これら２つを適切に使い分けることで１つのTweakableブロック暗号を実現する。
ＴｗｅａｋをＴｗ＝（ｉ，Ｎ）として、ＸＥＸを式（２）のように表すことができる。
例えば、ＸＥＸ＊モードと呼ばれる暗号利用モードを用いることで、全体の鍵をブロック暗号の鍵一つとしてTweakableブロック暗号を実行可能である。ＸＥＸ＊は２種類のTweakableブロック暗号ＸＥＸとＸＥの総称であり、これら２つを適切に使い分けることで１つのTweakableブロック暗号を実現する。
ＴｗｅａｋをＴｗ＝（ｉ，Ｎ）として、ＸＥＸを式（２）のように表すことができる。
【0033】
【数2】
【0034】
「＋」を円で囲んだ記号で排他的論理和（Exclusive OR；ＸＯＲ）を示す。排他的論理和の演算子を「ＸＯＲ」とも記載する。
ｍｕｌｔ（・，・）は、ガロア体ＧＦ（２ｎ）上の２つの元の乗算を示す。２ｉはガロア体ＧＦ（２ｎ）上の２ｉ乗を示す。指数ｉは、ｉ≧１の整数である。
ＸＥを式（３）のように表すことができる。
ｍｕｌｔ（・，・）は、ガロア体ＧＦ（２ｎ）上の２つの元の乗算を示す。２ｉはガロア体ＧＦ（２ｎ）上の２ｉ乗を示す。指数ｉは、ｉ≧１の整数である。
ＸＥを式（３）のように表すことができる。
【0035】
【数3】
【0036】
ｍｕｌｔ（Ａ，Ｂ）をＡ・Ｂとも表記する。
またＴＥＭモードと呼ばれる暗号利用モードを用いると、鍵なし暗号学的置換Ｐと、鍵Ｋを持つｎビット入出力の鍵付き関数Ｈを用いてTweakableブロック暗号を実行可能である。ＴＥＭモードを式（４）のように表すことができる。
またＴＥＭモードと呼ばれる暗号利用モードを用いると、鍵なし暗号学的置換Ｐと、鍵Ｋを持つｎビット入出力の鍵付き関数Ｈを用いてTweakableブロック暗号を実行可能である。ＴＥＭモードを式（４）のように表すことができる。
【0037】
【数4】
【0038】
ＨがＡＸＵユニバーサルハッシュ関数である場合、かつ、Ｈがｕｎｉｆｏｒｍである場合、式（４）の構成は安全なTweakableブロック暗号を実現する。ＨがＡＸＵユニバーサルハッシュ関数である場合とは、ランダムに選んだ秘密鍵Ｋと、任意の異なる２入力ＸとＸ’について、確率Ｐｒ［Ｈ（Ｋ，Ｘ） ＸＯＲ Ｈ（Ｋ，Ｘ’）＝ｃ］がいかなるｎビットのｃについても小さい場合である。Ｈがｕｎｉｆｏｒｍである場合とは、ランダムに選んだ秘密鍵Ｋと、任意の入力Ｘと任意の出力Ｙに対して、確率Ｐｒ［Ｈ（Ｋ，Ｘ）＝Ｙ］が十分に小さい場合である。
【0039】
非特許文献２に記載されている認証暗号ＯＣＢ２は、Tweakableブロック暗号ＸＥＸ＊を用いたレート１の認証暗号方式である。レート１の方式は、平文１ブロックあたりのプリミティブ使用回数が漸近的に１回である方式である。
ＯＣＢ２では、ＸＥＸ＊をＥＣＢモードのように用いることで平文の暗号化を行う。より詳細には、平文Ｍがｍ個の１２８ビットブロックＭ［１］，Ｍ［２］，…，Ｍ［ｍ］で構成される場合、１≦ｉ≦ｍ－１なるｉ番目の平文ブロックＭ［ｉ］は、式（５）のように、暗号文ブロックＣ［ｉ］に暗号化される。
ＯＣＢ２では、ＸＥＸ＊をＥＣＢモードのように用いることで平文の暗号化を行う。より詳細には、平文Ｍがｍ個の１２８ビットブロックＭ［１］，Ｍ［２］，…，Ｍ［ｍ］で構成される場合、１≦ｉ≦ｍ－１なるｉ番目の平文ブロックＭ［ｉ］は、式（５）のように、暗号文ブロックＣ［ｉ］に暗号化される。
【0040】
【数5】
【0041】
ここで、Δ＝Ｅ（Ｋ，Ｎ）である。また、上記の「２」は二進表現で１０としても表される。このため、「２」は、式（６）のように定義したガロア体においては多項式表現のｘと等価であり、かつＧＦ（２１２８）の乗法群の原始元である。
【0042】
【数6】
【0043】
一方、Ｍ［ｍ］は、式（７）のように、ＣＴＲモードの場合と同様に暗号化される。
【0044】
【数7】
【0045】
ｌｅｎ（・）は引数の長さ情報をビット列に変換する関数である。上記から分かるように、ＯＣＢ２において、平文の暗号化に用いられるブロック暗号の入出力マスクは、全てガロア体上２の累乗の値と、初期ベクトルＮを暗号化した値の乗算で表される。
【0046】
ＯＣＢ２では、平文を１２８ビットごとに区切って排他的論理和を取ったチェックサムを、ＸＥを用いて暗号化し、その結果をタグとする。詳細には、平文Ｍがｍ個の１２８ビットブロックＭ［１］，Ｍ［２］，…，Ｍ［ｍ］からなる場合、チェックサムＳＵＭＯＣＢ２は、式（８）のように示される。
【0047】
【数8】
【0048】
タグＴＯＣＢ２は、式（９）のように示される。
【0049】
【数9】
【0050】
ここで、Δは、式（１０）のように示される。
【0051】
【数10】
【0052】
また、式（９）の「３」は二進表現で１１としても表されるため、上記の通り定義したガロア体ＧＦ（２１２８）においてはｘ＋１と等価な表現である。上記の式から分かるように、ＯＣＢ２においてタグ生成に用いられるブロック暗号の入力マスクは、平文の暗号化で用いていたマスク値に３を乗算した値で表される。タグ生成時に用いられるマスクを、スペシャルマスクと称する。
【0053】
［認証暗号化装置の構成の説明］
図２は、第一の実施形態の認証暗号化装置の構成例を示すブロック図である。図２に示されるように、認証暗号化装置１０は、平文入力部１００と、初期ベクトル生成部１０１と、マスク生成部１０２と、第一暗号化部１０３と、第一計算部１０４と、第二暗号化部１０５と、暗号文出力部１０６と、を備える。マスク生成部１０２は、マスク系列生成部１０２－１と、タグ用マスク生成部１０２－２とを備える。
図２は、第一の実施形態の認証暗号化装置の構成例を示すブロック図である。図２に示されるように、認証暗号化装置１０は、平文入力部１００と、初期ベクトル生成部１０１と、マスク生成部１０２と、第一暗号化部１０３と、第一計算部１０４と、第二暗号化部１０５と、暗号文出力部１０６と、を備える。マスク生成部１０２は、マスク系列生成部１０２－１と、タグ用マスク生成部１０２－２とを備える。
【0054】
平文入力部１００は、暗号化の対象となる平文Ｍの入力を受け付ける。平文入力部１００が、平文Ｍの入力を受け付ける方法は、特定の方法に限定されない。例えば平文入力部１００が、キーボードなどの文字入力装置を備え、平文Ｍを入力するユーザ操作を受け付けるようにしてもよい。あるいは、平文入力部１００が、他の装置から平文Ｍを受信するようにしてもよい。
【0055】
初期ベクトル生成部１０１は、過去に生成した値とは異なる初期ベクトルを生成する。例えば、初期ベクトル生成部１０１が、最初は任意の固定値を初期ベクトルとして出力するようにしてもよい。初期ベクトル生成部１０１が、２回目以降は直前に生成した初期ベクトルの値を記憶しておき、直前の初期ベクトルの値に１を加えた値を出力するようにしてもよい。この場合、最後に用いた初期ベクトルの値がＮのとき、新たな初期ベクトルの値はＮ’＝Ｎ＋１となる。このとき、初期ベクトルの更新は初期ベクトル更新関数ｆ（Ｎ）＝Ｎ＋１を用いて表現できる。初期ベクトルＮはｎビットのデータであってもよい。初期ベクトルＮがｎビットよりも短い場合、初期ベクトル生成部１０１は、初期ベクトルＮに対して、ｎビットのデータにするためのパディングを行う。
【0056】
マスク生成部１０２は、平文入力部１００が出力する平文Ｍと、初期ベクトル生成部１０１が出力する初期ベクトルＮと、秘密鍵Ｋを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを出力する。マスク系列生成部１０２－１がマスク系列Φを生成し、タグ用マスク生成部１０２－２がマスクδを生成する。平文Ｍがｍ個のｎビットブロックＭ［１］、Ｍ［２］、…、Ｍ［ｍ］から構成される場合、マスク系列Φは、式（１１）のように示される。
【0057】
【数11】
【0058】
Δは、初期ベクトルＮと秘密鍵Ｋと定数から一意に定められる基本マスク値を示す。ここでの定数は、ＴｗｅａｋとしてＴｗｅａｋａｂｌｅブロック暗号に入力される値を示す。例えば、上記のようにΔ＝Ｅ（Ｋ，Ｎ）とする場合、この定数の値を１にする。あるいは、Δ＝２・Ｅ（Ｋ，Ｎ）とする場合、この定数の値を２にする。
σは、ガロア体の乗法群の原始元を示す。
マスクδは、式（１２）のように示される。
σは、ガロア体の乗法群の原始元を示す。
マスクδは、式（１２）のように示される。
【0059】
【数12】
【0060】
例えば、基本マスク値Δは、秘密鍵Ｋを用いたブロック暗号Ｅを用いて、上記の式（１０）のように示される。
マスク系列生成部１０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部１０２－２は、タグ用マスク生成手段の例に該当する。
マスク系列生成部１０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部１０２－２は、タグ用マスク生成手段の例に該当する。
【0061】
第一暗号化部１０３は、マスク生成部１０２が出力するマスク系列Φを用いて、平文入力部１００が出力する平文Ｍを暗号化する。第一暗号化部１０３は、平文Ｍの暗号化に、ｎビット入出力のプリミティブの入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
【0062】
そして、第一暗号化部１０３は、平文Ｍを暗号化した結果を出力する。第一暗号化部１０３が出力する暗号化結果を、暗号文Ｃと表記する。第一暗号化部１０３は、通常のｎビットブロック暗号や、鍵なしの暗号学的置換を用いて実現することが可能である。例えば、平文Ｍがｍ個のｎビットブロックＭ［１］、Ｍ［２］、・・・、Ｍ［ｍ］からなり、第一暗号化部１０３がＸＥＸを用いて平文Ｍを暗号化する場合、１≦ｉ≦ｍに対してＭ［ｉ］を、式（１３）のように暗号化できる。
【0063】
【数13】
【0064】
Ｋは、秘密鍵を示す。Ｅは、秘密鍵Ｋを用いたブロック暗号を示す。
あるいは、第一暗号化部１０３が、ＴＥＭなどＸＥＸ以外の暗号化方式を用いて平文Ｍを暗号化するようにしてもよい。
第一暗号化部１０３は、第一暗号化手段の例に該当する。
あるいは、第一暗号化部１０３が、ＴＥＭなどＸＥＸ以外の暗号化方式を用いて平文Ｍを暗号化するようにしてもよい。
第一暗号化部１０３は、第一暗号化手段の例に該当する。
【0065】
第一計算部１０４は、平文入力部１００が出力する平文Ｍから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。例えば第一計算部１０４が、全平文ブロックの排他的論理和（Exclusive OR；ＸＯＲ）をチェックサムＳＵＭとして算出するようにしてもよい。最終ブロックがｎビットに満たない場合、第一計算部１０４は、適当なパディングを最終ブロックに適用した上で排他的論理和をとる。あるいは、第一計算部１０４が、排他的論理和の代わりに算術加算、あるいは巡回符号（ＣＲＣ）などを使用するようにしてもよい。
第一計算部１０４は、チェックサム計算手段の例に該当する。
第一計算部１０４は、チェックサム計算手段の例に該当する。
【0066】
第二暗号化部１０５は、第一計算部１０４が出力するｎビット値のチェックサムＳＵＭを、マスク生成部１０２が出力するマスクδを用いて暗号化する。具体的には、第二暗号化部１０５は、ｎビット入出力のプリミティブの入力において、マスクδの値（マスク値）を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いて、チェックサムＳＵＭを暗号化する。
第二暗号化部１０５は、第二暗号化手段の例に該当する。
第二暗号化部１０５は、第二暗号化手段の例に該当する。
【0067】
第二暗号化部１０５は、暗号化された値を適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴを生成する。例えば、第一暗号化部１０３がマスク系列Φ＝（σ１・Δ，σ２・Δ，…，σｍ・Δ）を用いて、ＸＥＸによってTweakable暗号化を行った場合は、第二暗号化部１０５が、マスクδ＝σｍ＋１・Δを用いてＸＥによってTweakableブロック暗号化を行う。短縮関数は、例えば上位ｔビットのみを出力する関数とすることができる。
上記の例は、式（１４）のように表すことができる。
上記の例は、式（１４）のように表すことができる。
【0068】
【数14】
【0069】
ｍｓｂｔ（・）は上位ｔビットを出力する関数を示す。
Ｔａｇｎは、式（１５）のように示される。
Ｔａｇｎは、式（１５）のように示される。
【0070】
【数15】
【0071】
暗号文出力部１０６は、第一暗号化部１０３が出力する暗号文Ｃと、第二暗号化部１０５が出力するタグＴとを連結し、コンピュータディスプレイやプリンターなどへ出力する。
【0072】
［動作の説明］
図３は、認証暗号化装置１０の動作を示すフローチャートである。
（ステップＳ１）
平文入力部１００は、暗号化の対象となる平文Ｍの入力を受け付ける。
（ステップＳ２）
初期ベクトル生成部１０１は、過去に生成した値とは異なる初期ベクトルＮを生成する。
図３は、認証暗号化装置１０の動作を示すフローチャートである。
（ステップＳ１）
平文入力部１００は、暗号化の対象となる平文Ｍの入力を受け付ける。
（ステップＳ２）
初期ベクトル生成部１０１は、過去に生成した値とは異なる初期ベクトルＮを生成する。
【0073】
（ステップＳ３）
マスク生成部１０２は、平文入力部１００が出力する平文Ｍと、初期ベクトル生成部１０１が出力する初期ベクトルＮを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを生成する。
マスク生成部１０２は、平文入力部１００が出力する平文Ｍと、初期ベクトル生成部１０１が出力する初期ベクトルＮを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを生成する。
【0074】
（ステップＳ４）
第一暗号化部１０３は、マスク生成部１０２が出力するマスク系列Φを用いて、平文入力部１００が出力する平文Ｍを暗号化し、暗号文Ｃを出力する。第一暗号化部１０３は、平文Ｍの暗号化に、ｎビット入出力のプリミティブの入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
第一暗号化部１０３は、マスク生成部１０２が出力するマスク系列Φを用いて、平文入力部１００が出力する平文Ｍを暗号化し、暗号文Ｃを出力する。第一暗号化部１０３は、平文Ｍの暗号化に、ｎビット入出力のプリミティブの入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
【0075】
（ステップＳ５）
第一計算部１０４は、平文入力部１００が出力する平文Ｍから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。
（ステップＳ６）
第二暗号化部１０５は、第一計算部１０４が出力するｎビット値のチェックサムＳＵＭを、マスク生成部１０２が出力するマスクδを用いて暗号化する。具体的には、第二暗号化部１０５は、ｎビット入出力のプリミティブの入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。第二暗号化部１０５は、暗号化された値を適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴを生成する。
第一計算部１０４は、平文入力部１００が出力する平文Ｍから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。
（ステップＳ６）
第二暗号化部１０５は、第一計算部１０４が出力するｎビット値のチェックサムＳＵＭを、マスク生成部１０２が出力するマスクδを用いて暗号化する。具体的には、第二暗号化部１０５は、ｎビット入出力のプリミティブの入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。第二暗号化部１０５は、暗号化された値を適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴを生成する。
【0076】
（ステップＳ７）
暗号文出力部１０６は、第一暗号化部１０３が出力する暗号文Ｃと、第二暗号化部１０５が出力するタグＴとを連結し、コンピュータディスプレイやプリンターなどへ出力する。
ステップＳ７の後、認証暗号化装置１０は、図３の処理を終了する。
暗号文出力部１０６は、第一暗号化部１０３が出力する暗号文Ｃと、第二暗号化部１０５が出力するタグＴとを連結し、コンピュータディスプレイやプリンターなどへ出力する。
ステップＳ７の後、認証暗号化装置１０は、図３の処理を終了する。
【0077】
［効果の説明］
以上のように、マスク系列生成部１０２－１は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成部１０２－２は、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。第一暗号化部１０３は、プリミティブの入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する。第一計算部１０４は、平文ブロックを用いて平文のチェックサムを算出する。第二暗号化部１０５は、プリミティブの入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。
以上のように、マスク系列生成部１０２－１は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成部１０２－２は、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。第一暗号化部１０３は、プリミティブの入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する。第一計算部１０４は、平文ブロックを用いて平文のチェックサムを算出する。第二暗号化部１０５は、プリミティブの入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。
【0078】
第一の実施形態における認証暗号化装置１０では、第二暗号化部１０５が用いるスペシャルマスクを、有限体上の離散対数問題を解くことなく得られる。
既存手法においては、第一暗号化部１０３に相当する構成部分で、ガロア体の乗法群の原始元の累乗と初期ベクトルＮの暗号化結果によって生成されたマスク系列を用いる。そして、既存手法においては、第二暗号化部１０５に相当する構成部分で、特別元と、ガロア体の乗法群の原始元の累乗、そして初期ベクトルＮの暗号化結果によって生成されたマスクを用いる。ここでいう特別元は、有限体上の離散対数問題を事前に解くことで安全性が保証された元である。
既存手法においては、第一暗号化部１０３に相当する構成部分で、ガロア体の乗法群の原始元の累乗と初期ベクトルＮの暗号化結果によって生成されたマスク系列を用いる。そして、既存手法においては、第二暗号化部１０５に相当する構成部分で、特別元と、ガロア体の乗法群の原始元の累乗、そして初期ベクトルＮの暗号化結果によって生成されたマスクを用いる。ここでいう特別元は、有限体上の離散対数問題を事前に解くことで安全性が保証された元である。
【0079】
認証暗号化装置１０では、第一暗号化部１０３がマスク系列を生成する方法には、既存手法と同様の手法を用いることができる。一方、第二暗号化部１０５は、特別元を用いず、ガロア体の乗法群の原始元の累乗と初期ベクトルＮの暗号化結果に基づいてスペシャルマスクを生成する。したがって、第二暗号化部１０５は、有限体上の離散対数問題を解くことなくスペシャルマスクを生成することができる。
【0080】
既存手法においては安全性評価方法の制約があるために、本実施形態と同様のことはできない。これに対し、本実施形態では、既存手法とは異なる安全性評価方法を用いることにより、特別元を定義することなくスペシャルマスクを生成することができ、有限体上の離散対数問題を解く必要がない。この効果が得られる主な理由は復号関数に由来するため、詳細な理由は復号装置の効果にて述べる。
【0081】
認証暗号化装置１０では、有限体上の離散対数問題を解く必要がない点で、任意の入出力長を持つプリミティブを用いた認証暗号を簡単に構成できる。加えて、認証暗号化装置１０では、有限体上の離散対数問題を解く必要がない点で、有限体を定義する既約多項式の自由度が高い。このように、認証暗号化装置１０によれば、拡張が容易な認証暗号を構成できる。
【0082】
また、認証暗号化装置１０では、既存手法と比較して漸近的安全性は変化しない。加えて、認証暗号化装置１０では、暗復号処理の効率性について、特別元を用いることなく原始元の累乗によってスペシャルマスクを得られるため、効率的であると言える。なぜなら、一般に原始元σは暗号方式を実装する環境によって、最も暗号化および復号処理において効率的となるように選ばれているからである。
【0083】
［復号装置の構成の説明］
図４は、第一の実施形態の認証復号装置の構成例を示すブロック図である。図４に示されるように、認証復号装置２０は、暗号文入力部２００と、初期ベクトル入力部２０１と、マスク生成部２０２と、復号部２０３と、第二計算部２０４と、第三暗号化部２０５と、タグ検査部２０６と、平文出力部２０７と、を備える。マスク生成部２０２は、マスク系列生成部２０２－１と、タグ用マスク生成部２０２－２とを備える。
図４は、第一の実施形態の認証復号装置の構成例を示すブロック図である。図４に示されるように、認証復号装置２０は、暗号文入力部２００と、初期ベクトル入力部２０１と、マスク生成部２０２と、復号部２０３と、第二計算部２０４と、第三暗号化部２０５と、タグ検査部２０６と、平文出力部２０７と、を備える。マスク生成部２０２は、マスク系列生成部２０２－１と、タグ用マスク生成部２０２－２とを備える。
【0084】
認証復号装置２０は、暗号文Ｃ’を復号する。第一の実施形態における暗号文Ｃ’は、第一の実施形態の認証暗号化装置１０が出力する暗号文Ｃを、認証復号装置２０が取得した暗号文である。暗号文Ｃ’は、認証暗号化装置１０が送信する暗号文Ｃを、認証復号装置２０が受信した暗号文であってもよい。
例えば、暗号文Ｃと暗号文Ｃ’とが同じであり（すなわち、Ｃ’＝Ｃ）認証復号装置２０が復号に成功する場合、認証復号装置２０は、暗号文Ｃ’を平文Ｍに正しく復号する。
例えば、暗号文Ｃと暗号文Ｃ’とが同じであり（すなわち、Ｃ’＝Ｃ）認証復号装置２０が復号に成功する場合、認証復号装置２０は、暗号文Ｃ’を平文Ｍに正しく復号する。
【0085】
また、認証復号装置２０は、認証暗号化装置１０が出力するタグＴを用いて、暗号文Ｃが改ざんされていないかを判定する。
暗号文入力部２００は、復号の対象となる暗号文ＣとタグＴの入力を受け付ける。暗号文入力部２００が、暗号文Ｃの入力を受け付ける方法は、特定の方法に限定されない。例えば暗号文入力部２００がキーボードなどの文字入力装置を備え、暗号文Ｃを入力するユーザ操作を受け付けるようにしてもよい。あるいは、暗号文入力部２００が、認証暗号化装置１０など他の装置から暗号文Ｃを受信するようにしてもよい。
暗号文入力部２００は、復号の対象となる暗号文ＣとタグＴの入力を受け付ける。暗号文入力部２００が、暗号文Ｃの入力を受け付ける方法は、特定の方法に限定されない。例えば暗号文入力部２００がキーボードなどの文字入力装置を備え、暗号文Ｃを入力するユーザ操作を受け付けるようにしてもよい。あるいは、暗号文入力部２００が、認証暗号化装置１０など他の装置から暗号文Ｃを受信するようにしてもよい。
【0086】
初期ベクトル入力部２０１は、暗号文Ｃの復号のための初期ベクトルＮの入力を受け付ける。初期ベクトル入力部２０１は、認証暗号化装置が平文Ｍを復号対象の暗号文Ｃに暗号化した際に用いた初期ベクトルＮを取得する。
初期ベクトル入力部２０１が初期ベクトルＮの入力を受け付ける方法は、特定の方法に限定されない。例えば初期ベクトル入力部２０１がキーボードなどの文字入力装置を備え、初期ベクトルＮを入力するユーザ操作を受け付けるようにしてもよい。あるいは、初期ベクトル入力部２０１が、認証暗号化装置１０など他の装置から初期ベクトルＮを受信するようにしてもよい。
初期ベクトル入力部２０１が初期ベクトルＮの入力を受け付ける方法は、特定の方法に限定されない。例えば初期ベクトル入力部２０１がキーボードなどの文字入力装置を備え、初期ベクトルＮを入力するユーザ操作を受け付けるようにしてもよい。あるいは、初期ベクトル入力部２０１が、認証暗号化装置１０など他の装置から初期ベクトルＮを受信するようにしてもよい。
【0087】
マスク生成部２０２は、暗号文入力部２００が出力する暗号文Ｃと、初期ベクトル入力部２０１が出力する初期ベクトルＮと、秘密鍵Ｋを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを出力する。マスク系列生成部２０２－１がマスク系列Φを生成し、タグ用マスク生成部２０２－２が、マスクδを生成する。
マスク生成部２０２は、第１の実施形態におけるマスク生成部１０２がマスク系列Φとマスクδを生成する処理と同じ処理を行って、暗号化のときと同じマスク系列Φとマスクδを生成する。
マスク系列生成部２０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部２０２－２は、タグ用マスク生成手段の例に該当する。
マスク生成部２０２は、第１の実施形態におけるマスク生成部１０２がマスク系列Φとマスクδを生成する処理と同じ処理を行って、暗号化のときと同じマスク系列Φとマスクδを生成する。
マスク系列生成部２０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部２０２－２は、タグ用マスク生成手段の例に該当する。
【0088】
復号部２０３は、マスク生成部２０２が出力するマスク系列Φを用いて、暗号文入力部２００が出力する暗号文Ｃを復号する。復号部２０３は、暗号文Ｃの復号に、ｎビット入出力のプリミティブの入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。復号部２０３は、暗号文Ｃ’を復号する。認証復号装置２０について上述したように、復号部２０３が復号に成功する場合、復号部２０３は、暗号文Ｃ’を平文Ｍに正しく復号する。そして、復号部２０３は、復号した結果を出力する。
復号部２０３は、復号手段の例に該当する。
復号部２０３は、復号手段の例に該当する。
【0089】
復号部２０３は、第１の実施形態における第一暗号化部１０３による暗号化の逆関数に相当する処理を行うことで復号処理を実行する。例えば、暗号文Ｃがｍ個のｎビットブロックＣ［１］、Ｃ［２］、…、［ｍ］から構成されており、第一暗号化部１０３がＸＥＸを用いて暗号化している場合を考える。この場合、１≦ｉ≦ｍに対してＣ［ｉ］は、秘密鍵Ｋを用いたブロック暗号Ｅに対する復号関数Ｄを用いて式（１６）のように復号できる。
【0090】
【数16】
【0091】
第二計算部２０４は、復号部２０３が出力する平文Ｍから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。第二計算部２０４は、第１の実施形態における第一計算部１０４がチェックサムＳＵＭを求める処理と同じ処理を行って、チェックサムＳＵＭを求める。
第二計算部２０４は、チェックサム計算手段の例に該当する。
第二計算部２０４は、チェックサム計算手段の例に該当する。
【0092】
第三暗号化部２０５は、第二計算部２０４が出力するｎビット値のチェックサムＳＵＭを、マスク生成部２０２が出力するδを用いて暗号化する。第三暗号化部２０５は、ＳＵＭの暗号化に、ｎビット入出力のプリミティブの入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。そして、第三暗号化部２０５は、暗号化された値を適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴ’を生成する。第三暗号化部２０５は、第１の実施形態における第二暗号化部１０５がタグＴを生成する処理と同じ処理を行って、タグＴ’を生成する。
第三暗号化部２０５は、タグ生成手段の例に該当する。
第三暗号化部２０５は、タグ生成手段の例に該当する。
【0093】
タグ検査部２０６は、暗号文入力部２００が出力するタグＴと、第三暗号化部２０５が出力するタグＴ’を比較する。具体的には、タグ検査部２０６は、タグＴとタグＴ’が一致するか否かを判定する。
タグＴとタグＴ’が一致すると判定した場合、タグ検査部２０６は、検証結果をＡＣＫに設定する。ＡＣＫは、暗号文Ｃが改ざんされていないことを示す。認証結果をＢと表記し、認証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
タグＴとタグＴ’が一致しないと判定した場合、タグ検査部２０６は、検証結果をＮＣＫに設定する。ＮＣＫは、暗号文Ｃが改ざんされていることを示す。認証結果がＮＣＫであることを、Ｂ＝ＮＣＫと表記する。
タグ検査部２０６は、検証結果Ｂを出力する。タグ検査部２０６は、タグ検査手段の例に該当する。
タグＴとタグＴ’が一致すると判定した場合、タグ検査部２０６は、検証結果をＡＣＫに設定する。ＡＣＫは、暗号文Ｃが改ざんされていないことを示す。認証結果をＢと表記し、認証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
タグＴとタグＴ’が一致しないと判定した場合、タグ検査部２０６は、検証結果をＮＣＫに設定する。ＮＣＫは、暗号文Ｃが改ざんされていることを示す。認証結果がＮＣＫであることを、Ｂ＝ＮＣＫと表記する。
タグ検査部２０６は、検証結果Ｂを出力する。タグ検査部２０６は、タグ検査手段の例に該当する。
【0094】
平文出力部２０７は、復号部２０３が出力する平文Ｍと、タグ検査部２０６が出力する検証結果Ｂを入力とし、Ｂ＝ＡＣＫの場合は平文Ｍを出力し、Ｂ＝ＮＣＫの場合はエラーメッセージ⊥を出力する。
平文出力部２０７が、平文Ｍまたはエラーメッセージ⊥を出力する方法は、特定の方法に限定されない。例えば、平文出力部２０７が、平文Ｍまたはエラーメッセージ⊥をコンピュータディスプレイまたはプリンターなどへ出力するようにしてもよい。あるいは、平文出力部２０７が、平文Ｍまたはエラーメッセージ⊥を、他のコンピュータなど他の装置へ送信するようにしてもよい。
平文出力部２０７が、平文Ｍまたはエラーメッセージ⊥を出力する方法は、特定の方法に限定されない。例えば、平文出力部２０７が、平文Ｍまたはエラーメッセージ⊥をコンピュータディスプレイまたはプリンターなどへ出力するようにしてもよい。あるいは、平文出力部２０７が、平文Ｍまたはエラーメッセージ⊥を、他のコンピュータなど他の装置へ送信するようにしてもよい。
【0095】
【0096】
（ステップＳ９）
初期ベクトル入力部２０１は、暗号文Ｃの復号のための初期ベクトルＮの入力を受け付ける。
（ステップＳ１０）
マスク生成部２０２は、暗号文入力部２００が出力する暗号文Ｃと、初期ベクトル入力部２０１が出力する初期ベクトルＮを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを生成する。
初期ベクトル入力部２０１は、暗号文Ｃの復号のための初期ベクトルＮの入力を受け付ける。
（ステップＳ１０）
マスク生成部２０２は、暗号文入力部２００が出力する暗号文Ｃと、初期ベクトル入力部２０１が出力する初期ベクトルＮを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを生成する。
【0097】
（ステップＳ１１）
復号部２０３は、マスク生成部２０２が出力するマスク系列Φを用いて、暗号文入力部２００が出力する暗号文Ｃを復号し、平文Ｍを出力する。復号部２０３は、暗号文Ｃの復号に、ｎビット入出力のプリミティブの入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
復号部２０３は、マスク生成部２０２が出力するマスク系列Φを用いて、暗号文入力部２００が出力する暗号文Ｃを復号し、平文Ｍを出力する。復号部２０３は、暗号文Ｃの復号に、ｎビット入出力のプリミティブの入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
【0098】
（ステップＳ１２）
第二計算部２０４は、復号部２０３が出力する平文Ｍから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。
（ステップＳ１３）
第三暗号化部２０５は、第二計算部２０４が出力するｎビット値のチェックサムＳＵＭを、マスク生成部２０２が出力するマスクδを用いて暗号化する。このとき、ＳＵＭの暗号化には、ｎビット入出力のプリミティブの入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。そして、暗号化された値を適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴ’を生成する。
第二計算部２０４は、復号部２０３が出力する平文Ｍから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。
（ステップＳ１３）
第三暗号化部２０５は、第二計算部２０４が出力するｎビット値のチェックサムＳＵＭを、マスク生成部２０２が出力するマスクδを用いて暗号化する。このとき、ＳＵＭの暗号化には、ｎビット入出力のプリミティブの入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。そして、暗号化された値を適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴ’を生成する。
【0099】
（ステップＳ１４）
タグ検査部２０６は、暗号文入力部２００が出力するタグＴと、第三暗号化部２０５が出力するタグＴ’が一致するか否かを判定する。タグＴとタグＴ’が一致するとは、タグＴの値とタグＴ’の値が同じ（すなわち、Ｔ＝Ｔ’）であることである。
タグＴとタグＴ’が一致するとタグ検査部２０６が判定した場合（ステップＳ１４：ＹＥＳ）、処理がステップＳ１５へ進む。
タグＴとタグＴ’が一致しないとタグ検査部２０６が判定した場合（ステップＳ１４：ＮＯ）、処理がステップＳ１７へ進む。
タグ検査部２０６は、暗号文入力部２００が出力するタグＴと、第三暗号化部２０５が出力するタグＴ’が一致するか否かを判定する。タグＴとタグＴ’が一致するとは、タグＴの値とタグＴ’の値が同じ（すなわち、Ｔ＝Ｔ’）であることである。
タグＴとタグＴ’が一致するとタグ検査部２０６が判定した場合（ステップＳ１４：ＹＥＳ）、処理がステップＳ１５へ進む。
タグＴとタグＴ’が一致しないとタグ検査部２０６が判定した場合（ステップＳ１４：ＮＯ）、処理がステップＳ１７へ進む。
【0100】
【0101】
（ステップＳ１７）
タグ検査部２０６は、認証結果をＮＣＫに設定する。
（ステップＳ１８）
平文出力部２０７は、エラーメッセージ⊥を出力する。
ステップＳ１８の後、認証復号装置２０は、図５の処理を終了する。
タグ検査部２０６は、認証結果をＮＣＫに設定する。
（ステップＳ１８）
平文出力部２０７は、エラーメッセージ⊥を出力する。
ステップＳ１８の後、認証復号装置２０は、図５の処理を終了する。
【0102】
［効果の説明］
以上のように、マスク系列生成部２０２－１は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成部２０２－２は、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。復号部２０３は、復号関数の入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する。第二計算部２０４は、平文ブロックを用いて平文のチェックサムを算出する。第三暗号化部２０５は、復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。タグ検査部２０６は、タグを用いて復号部による復号結果の受理または不受理を決定する。
以上のように、マスク系列生成部２０２－１は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成部２０２－２は、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。復号部２０３は、復号関数の入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する。第二計算部２０４は、平文ブロックを用いて平文のチェックサムを算出する。第三暗号化部２０５は、復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。タグ検査部２０６は、タグを用いて復号部による復号結果の受理または不受理を決定する。
【0103】
認証復号装置２０では、第三暗号化部２０５が用いるスペシャルマスクを、有限体上の離散対数問題を解くことなく生成できる。認証復号装置２０では、有限体上の離散対数問題を解く必要がない点で、任意の入出力長を持つプリミティブを用いた認証暗号を簡単に構成できる。加えて認証復号装置２０では、有限体上の離散対数問題を解く必要がない点で、有限体を定義する既約多項式の自由度が高い。このように、認証復号装置２０によれば、拡張が容易な認証暗号を構成できる。
【0104】
また、認証復号装置２０によれば、既存手法と比較して漸近的安全性は変化しない。加えて、認証復号装置２０では、暗復号処理の効率性について、特別元を用いることなく原始元の累乗によってスペシャルマスクを得られるため、効率的であると言える。これらの効果は第一の実施形態の認証暗号化装置１０における効果と同様である。
【0105】
これらの効果が得られる理由を以下に述べる。既存手法の安全性証明では、証明を簡潔にするため、認証暗号の復号時に検証前のタグが攻撃者に知られることを想定している。なお、認証復号装置２０では、第三暗号化部２０５が出力するタグＴ’が、検証前のタグに相当する。
この想定のように、仮に、認証暗号の復号時に検証前のタグが攻撃者に知られた場合は、認証暗号化装置１０による暗号化および認証復号装置２０による復号は安全ではない。
この想定のように、仮に、認証暗号の復号時に検証前のタグが攻撃者に知られた場合は、認証暗号化装置１０による暗号化および認証復号装置２０による復号は安全ではない。
【0106】
しかし、一般的には、攻撃者は検証前のタグは知ることはできず、タグの一致または不一致のみを知ることができると考えられる。そこで、検証前のタグが攻撃者に知られていないとの前提で、認証暗号化装置１０および認証復号装置２０の安全性を評価する。
【0107】
認証暗号化装置１０は、平文の暗号化ではプリミティブの入力と出力において、マスクを用いた排他的論理和の演算を行うTweakableブロック暗号を用いて、チェックサムの暗号化ではプリミティブの入力のみにおいて、マスクを用いた排他的論理和の演算を行うTweakableブロック暗号を用いている。これにより、認証暗号化装置１０および認証復号装置２０によれば、攻撃者はマスク値を計算することができない。この点で、認証暗号化装置１０および認証復号装置２０によれば、既存の手法と同等の安全性を得られる。
【0108】
＜第二の実施形態＞
第二の実施形態では、プリミティブとしてブロック暗号を用い、平文の暗号化にＸＥＸを用い、タグ生成のための暗号化にＸＥを用いる場合の例について説明する。
［認証暗号化装置の構成の説明］
図６は、第二の実施形態の認証暗号化装置の構成例を示すブロック図である。図６に示されるように、認証暗号化装置１０ｂは、平文入力部１００と、初期ベクトル生成部１０１と、マスク生成部１０２ｂと、第一暗号化部１０３ｂと、第一計算部１０４と、第二暗号化部１０５ｂと、暗号文出力部１０６と、を備える。マスク生成部１０２ｂは、マスク系列生成部１０２ｂ－１と、タグ用マスク生成部１０２ｂ－２とを備える。
第二の実施形態では、プリミティブとしてブロック暗号を用い、平文の暗号化にＸＥＸを用い、タグ生成のための暗号化にＸＥを用いる場合の例について説明する。
［認証暗号化装置の構成の説明］
図６は、第二の実施形態の認証暗号化装置の構成例を示すブロック図である。図６に示されるように、認証暗号化装置１０ｂは、平文入力部１００と、初期ベクトル生成部１０１と、マスク生成部１０２ｂと、第一暗号化部１０３ｂと、第一計算部１０４と、第二暗号化部１０５ｂと、暗号文出力部１０６と、を備える。マスク生成部１０２ｂは、マスク系列生成部１０２ｂ－１と、タグ用マスク生成部１０２ｂ－２とを備える。
【0109】
図６の各部のうち、図２の各部に対応して同様の機能を有する部分には同一の符号（１００、１０１、１０４、１０６）を付して説明を省略する。認証暗号化装置１０ｂでは、マスク生成部１０２ｂ、第一暗号化部１０３ｂ、第二暗号化部１０５ｂの各々が行う演算が、認証暗号化装置１０（図２）の場合と異なる。それ以外の点では、認証暗号化装置１０ｂは、認証暗号化装置１０と同様である。
【0110】
認証暗号化装置１０ｂと認証復号装置２０ｂは、第一の実施形態の認証暗号化装置１０と認証復号装置２０とを具体化したもので、ＯＣＢ（Offset Codebook）に適用することができる。
【0111】
マスク生成部１０２ｂは、上記の式（１１）に基づいてマスク系列Φを算出し出力する。上記のように、ガロア体の乗法群の原始元をσと表記する。Δは、上記の（１０）のように示される。
マスク生成部１０２ｂのマスク系列生成部１０２ｂ－１が、マスク系列Φを生成する。
マスク生成部１０２ｂのマスク系列生成部１０２ｂ－１が、マスク系列Φを生成する。
【0112】
また、マスク生成部１０２ｂは、上記の式（１２）に基づいてマスクδを算出し出力する。
マスク生成部１０２ｂのタグ用マスク生成部１０２ｂ－２が、タグ用マスクを生成する。
マスク生成部１０２ｂのタグ用マスク生成部１０２ｂ－２が、タグ用マスクを生成する。
【0113】
第一暗号化部１０３ｂは、平文入力部１００が出力する平文Ｍを、マスク生成部１０２ｂが出力するマスク系列Φを用いて暗号化する。
第二の実施形態では、第一の実施形態の場合と異なり、平文入力部１００が出力する平文Ｍが、ｍ－１個のｎビットブロックＭ［１］、Ｍ［２］、…、Ｍ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＭ［ｍ］の連結で表されるものとする。第一暗号化部１０３ｂは、１≦ｉ≦ｍなるＭ［ｉ］を、マスク系列Φの元Φ（ｉ）を用いて暗号化する。第一暗号化部１０３ｂは、その暗号化に、ｎビット入出力のブロック暗号の入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
第二の実施形態では、第一の実施形態の場合と異なり、平文入力部１００が出力する平文Ｍが、ｍ－１個のｎビットブロックＭ［１］、Ｍ［２］、…、Ｍ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＭ［ｍ］の連結で表されるものとする。第一暗号化部１０３ｂは、１≦ｉ≦ｍなるＭ［ｉ］を、マスク系列Φの元Φ（ｉ）を用いて暗号化する。第一暗号化部１０３ｂは、その暗号化に、ｎビット入出力のブロック暗号の入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
【0114】
そして、第一暗号化部１０３ｂは、Ｍ［ｉ］の暗号化結果であるＣ［ｉ］を得て、ｍ－１個のｎビットブロックＣ［１］、Ｃ［２］、…、Ｃ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＣ［ｍ］からなる暗号文Ｃを生成する。例えば、第一暗号化部１０３ｂは、１≦ｉ＜ｍに対するＭ［ｉ］を、秘密鍵Ｋを用いたブロック暗号Ｅ、および、マスク値Φ（ｉ）を用いて、式（１７）のように暗号化する。
【0115】
【数17】
【0116】
次いで、第一暗号化部１０３ｂは、Ｍ［ｍ］を、引数のビット長情報をｎビット値に変換する関数ｌｅｎ（・）、秘密鍵Ｋ、および、マスク値Φ（ｍ）を用いて、式（１８）のように暗号化する。
【0117】
【数18】
【0118】
ｍｓｂｎ’（・）は上位ｎ’ビットを出力する関数である。
Ｐａｄｎは、式（１９）のように示される。
Ｐａｄｎは、式（１９）のように示される。
【0119】
【数19】
【0120】
第二暗号化部１０５ｂは、第一計算部１０４が出力するチェックサムＳＵＭを、マスク生成部１０２ｂが出力するマスクδを用いて暗号化する。第二暗号化部１０５ｂは、チェックサムＳＵＭの暗号化に、ｎビット入出力のブロック暗号の入力のみにおいて、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。第二暗号化部１０５ｂは、チェックサムＳＵＭを、式（２０）のように暗号化する。
【0121】
【数20】
【0122】
第二暗号化部１０５ｂは、得られたＴａｇｎを適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴを生成する。例えば短縮関数は、上記の式（１４）とすればよい。
【0123】
図７は、認証暗号化装置１０ｂが行う暗号化の演算例の概略を示す図である。図７は、第一暗号化部１０３ｂ、第一計算部１０４および第二暗号化部１０５ｂが行う演算例の概略を示している。
上述したように、第一暗号化部１０３ｂは、１≦ｉ＜ｍに対するＭ［ｉ］を、上記の式（１７）のように暗号化する。
上述したように、第一暗号化部１０３ｂは、１≦ｉ＜ｍに対するＭ［ｉ］を、上記の式（１７）のように暗号化する。
【0124】
認証暗号化装置１０の説明で上述したように、第一計算部１０４は、全平文ブロックの排他的論理和をチェックサムＳＵＭとして算出する。最終ブロックがｎビットに満たない場合、第一計算部１０４は、適当なパディングを最終ブロックに適用した上で排他的論理和をとる。
「０ｎ」は、各ビットの値が全て「０」であるｎビットのデータを示す。「Ｐａｄ ＸＯＲ Ｃ［ｍ］０＊」は、Ｃ［ｍ］をビット値「０」でパディングした値とＰａｄの排他的論理和をとることを示す。
「０ｎ」は、各ビットの値が全て「０」であるｎビットのデータを示す。「Ｐａｄ ＸＯＲ Ｃ［ｍ］０＊」は、Ｃ［ｍ］をビット値「０」でパディングした値とＰａｄの排他的論理和をとることを示す。
【0125】
上述したように、第二暗号化部１０５ｂは、チェックサムＳＵＭを式（２０）のように暗号化し、得られたＴａｇｎに上記の式（１４）等の短縮関数を適用してタグＴを生成する。
【0126】
［認証復号装置の構成の説明］
図８は、第二の実施形態の認証復号装置の構成例を示すブロック図である。図８に示されるように、認証復号装置２０ｂは、暗号文入力部２００と、初期ベクトル入力部２０１と、マスク生成部２０２ｂと、復号部２０３ｂと、第二計算部２０４と、第三暗号化部２０５ｂと、タグ検査部２０６と、平文出力部２０７と、を備える。マスク生成部２０２ｂは、マスク系列生成部２０２ｂ－１と、タグ用マスク生成部２０２ｂ－２とを備える。
図８は、第二の実施形態の認証復号装置の構成例を示すブロック図である。図８に示されるように、認証復号装置２０ｂは、暗号文入力部２００と、初期ベクトル入力部２０１と、マスク生成部２０２ｂと、復号部２０３ｂと、第二計算部２０４と、第三暗号化部２０５ｂと、タグ検査部２０６と、平文出力部２０７と、を備える。マスク生成部２０２ｂは、マスク系列生成部２０２ｂ－１と、タグ用マスク生成部２０２ｂ－２とを備える。
【0127】
図８の各部のうち、図４の各部に対応して同様の機能を有する部分には同一の符号（２００、２０１、２０４、２０６、２０７）を付して説明を省略する。認証復号装置２０ｂでは、マスク生成部２０２ｂ、復号部２０３ｂ、第三暗号化部２０５ｂの各々が行う演算が、認証復号装置２０（図４）の場合と異なる。それ以外の点では、認証復号装置２０ｂは、認証復号装置２０と同様である。
【0128】
マスク生成部２０２ｂは、認証暗号化装置１０ｂ（図６）におけるマスク生成部１０２ｂと同じである。マスク系列生成部２０２ｂ－１は、マスク系列生成部１０２ｂ－１と同じである。タグ用マスク生成部２０２ｂ－２は、タグ用マスク生成部１０２ｂ－２と同じである。
【0129】
復号部２０３ｂは、第一暗号化部１０３ｂが行う暗号化の逆演算による復号を行う。
第三暗号化部２０５ｂは、第二暗号化部１０５ｂと同じである。
第三暗号化部２０５ｂは、タグ生成部の例に該当する。
第三暗号化部２０５ｂは、第二暗号化部１０５ｂと同じである。
第三暗号化部２０５ｂは、タグ生成部の例に該当する。
【0130】
［効果の説明］
以上のように、マスク系列生成部１０２ｂ－１は、秘密鍵を用いたブロック暗号と初期ベクトルとに基づく基本マスクを用いてマスク系列を生成する。タグ用マスク生成部１０２ｂ－２は、基本マスクを用いてタグ生成用のマスクを生成する。第一暗号化部１０３ｂは、秘密鍵を用いたブロック暗号をプリミティブとして用いて平文ブロックを暗号化する。第二暗号化部１０５ｂは、秘密鍵を用いたブロック暗号をプリミティブとして用いてタグを生成する。
以上のように、マスク系列生成部１０２ｂ－１は、秘密鍵を用いたブロック暗号と初期ベクトルとに基づく基本マスクを用いてマスク系列を生成する。タグ用マスク生成部１０２ｂ－２は、基本マスクを用いてタグ生成用のマスクを生成する。第一暗号化部１０３ｂは、秘密鍵を用いたブロック暗号をプリミティブとして用いて平文ブロックを暗号化する。第二暗号化部１０５ｂは、秘密鍵を用いたブロック暗号をプリミティブとして用いてタグを生成する。
【0131】
第二の実施形態における認証暗号化装置と認証復号装置は、第一の実施形態における認証暗号化装置と、第一の実施形態における認証復号装置と同様の効果を持ち、またその効果は同様の理由によって得られる。既存方式のＯＣＢと比較して、安全性は損なわれることはなく、暗復号処理に関する効率面においても特別元によるマスクの計算（ＯＣＢにおいては３倍算）が不要となり、原始元の計算のみ（２倍算のみ）でマスクが計算できるため、本方式の方が効率的となる。加えて、一般に認証暗号において第二暗号化部にあたる構成部分では、平文の最終ブロックＭ［ｍ］がパディング処理を施されているかどうかによってTweakableブロック暗号のＴｗｅａｋの場合分けを行う必要があるが、第二の実施形態では、最終ブロックのTweakableブロック暗号への入力をｌｅｎ（Ｍ［ｍ］）とし、長さ情報を暗号化していることで場合分けにあたる機能を実現している。
【0132】
＜第三の実施形態＞
第三の実施形態では、プリミティブとして鍵なし暗号学的置換を用い、平文の暗号化にＸＰＸを用いて、タグ生成のための暗号化にＸＰを用いる場合の例について説明する。第三の実施形態では、タグ長はｎ／２ビット以下とする。
第三の実施形態では、プリミティブとして鍵なし暗号学的置換を用い、平文の暗号化にＸＰＸを用いて、タグ生成のための暗号化にＸＰを用いる場合の例について説明する。第三の実施形態では、タグ長はｎ／２ビット以下とする。
【0133】
鍵なし暗号学的置換とは、暗号化と復号とで鍵を共有する必要なしに平文を暗号文に置換する技術である。プリミティブに鍵なし暗号学的置換を用いたレート１の方式の例として、ＴＥＭ（Tweakable Even-Mansour）を用いたＯＰＰ（Offset Public Permutation）が挙げられる。ＴＥＭを用いたＯＰＰについては、例えば上記の非特許文献１に記載されている。
【0134】
鍵なし暗号学的置換の例として、秘密鍵を固定したブロック暗号を鍵なし暗号学的置換として用いることが挙げられる。例えば、ブロック暗号ＡＥＳの鍵を事前に０ｋ（ｋは正の整数）と決めて固定しておき、かつそれを公知とするようにしてもよい。
【0135】
あるいは、鍵なし暗号学的置換のもう１つの例として、ハッシュ関数ＳＨＡ－３で用いられている置換をそのまま鍵なし暗号学的置換として用いることが挙げられる。
ただし、第三の実施形態の認証暗号システムが用いる鍵なし暗号学的置換は、これらに限定されない。
ただし、第三の実施形態の認証暗号システムが用いる鍵なし暗号学的置換は、これらに限定されない。
【0136】
［認証暗号化装置の構成の説明］
図９は、第三の実施形態の認証暗号化装置の構成例を示すブロック図である。図９に示されるように、認証暗号化装置１０ｃは、平文入力部１００と、初期ベクトル生成部１０１ｃと、マスク生成部１０２ｃと、第一暗号化部１０３ｃと、第一計算部１０４と、第二暗号化部１０５ｃと、暗号文出力部１０６と、を備える。マスク生成部１０２ｃは、マスク系列生成部１０２ｃ－１と、タグ用マスク生成部１０２ｃ－２とを備える。
図９は、第三の実施形態の認証暗号化装置の構成例を示すブロック図である。図９に示されるように、認証暗号化装置１０ｃは、平文入力部１００と、初期ベクトル生成部１０１ｃと、マスク生成部１０２ｃと、第一暗号化部１０３ｃと、第一計算部１０４と、第二暗号化部１０５ｃと、暗号文出力部１０６と、を備える。マスク生成部１０２ｃは、マスク系列生成部１０２ｃ－１と、タグ用マスク生成部１０２ｃ－２とを備える。
【0137】
図９の各部のうち、図２の各部に対応して同様の機能を有する部分には同一の符号（１００、１０４、１０６）を付して説明を省略する。認証暗号化装置１０ｂでは、初期ベクトル生成部１０１ｃ、マスク生成部１０２ｃ、第一暗号化部１０３ｃ、第二暗号化部１０５ｃの各々が行う演算が、認証暗号化装置１０（図２）の場合と異なる。それ以外の点では、認証暗号化装置１０ｃは、認証暗号化装置１０と同様である。
【0138】
第三の実施形態における認証暗号化装置１０ｃと認証復号装置２０ｃは、第一の実施形態における認証暗号化装置１０と認証復号装置２０とを具体化したもので、ＯＰＰに適用することができる。
【0139】
初期ベクトル生成部１０１ｃは、過去に生成した値とは異なる初期ベクトルを生成する。初期ベクトル生成部１０１ｃが用いるプリミティブの入出力長をｎビット、秘密鍵の鍵長をｋビットとしたとき、初期ベクトルＮのビット長はｎ－ｋビットのデータであってもよい。初期ベクトルＮがｎ－ｋビットよりも短い場合、初期ベクトル生成部１０１ｃは、初期ベクトルＮに対して、ｎ－ｋビットのデータにするためのパディングを行う。
【0140】
マスク生成部１０２ｃは、上記の式（１１）に基づいてマスク系列Φを算出し出力する。上記のように、ガロア体の乗法群の原始元をσと表記する。
一方、第三の実施形態では、Δは、式（２１）のように示される。
一方、第三の実施形態では、Δは、式（２１）のように示される。
【0141】
【数21】
【0142】
Ａ｜｜Ｂは文字列Ａ、Ｂを結合することを示す。Ｎは初期ベクトル生成部１０１ｃが出力する初期ベクトルを示す。Ｋは秘密鍵を示す。Ｐは鍵なし暗号学的置換を示す。
【0143】
マスク生成部１０２ｃのマスク系列生成部１０２ｃ－１が、マスク系列Φを生成する。
また、マスク生成部１０２ｃは、上記の式（１２）に基づいてマスクδを算出し出力する。
マスク生成部１０２ｃのタグ用マスク生成部１０２ｃ－２が、マスクδを生成する。
また、マスク生成部１０２ｃは、上記の式（１２）に基づいてマスクδを算出し出力する。
マスク生成部１０２ｃのタグ用マスク生成部１０２ｃ－２が、マスクδを生成する。
【0144】
第一暗号化部１０３ｃは、平文入力部１００が出力する平文Ｍを、マスク生成部１０２ｃが出力するマスク系列Φを用いて暗号化する。
第三の実施形態では、第二の実施形態の場合と同様、平文入力部１００が出力する平文Ｍが、ｍ－１個のｎビットブロックＭ［１］、Ｍ［２］、…、Ｍ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＭ［ｍ］の連結で表されるものとする。第一暗号化部１０３ｃは、１≦ｉ≦ｍなるＭ［ｉ］を、マスク系列Φの元Φ（ｉ）を用いて暗号化する。第一暗号化部１０３ｃは、その暗号化に、ｎビット入出力の鍵なし暗号学的置換の入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
第三の実施形態では、第二の実施形態の場合と同様、平文入力部１００が出力する平文Ｍが、ｍ－１個のｎビットブロックＭ［１］、Ｍ［２］、…、Ｍ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＭ［ｍ］の連結で表されるものとする。第一暗号化部１０３ｃは、１≦ｉ≦ｍなるＭ［ｉ］を、マスク系列Φの元Φ（ｉ）を用いて暗号化する。第一暗号化部１０３ｃは、その暗号化に、ｎビット入出力の鍵なし暗号学的置換の入力と出力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。
【0145】
そして第一暗号化部１０３ｃは、Ｍ［ｉ］の暗号化結果であるＣ［ｉ］を得て、ｍ－１個のｎビットブロックＣ［１］、Ｃ［２］、…、Ｃ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＣ［ｍ］からなる暗号文Ｃを生成する。例えば、第一暗号化部１０３ｃは、１≦ｉ＜ｍに対するＭ［ｉ］を、鍵なし暗号学的置換Ｐ、マスク値Φ（ｉ）を用いて、式（２２）のように暗号化する。
【0146】
【数22】
【0147】
次いで、第一暗号化部１０３ｃは、Ｍ［ｍ］を、上記の式（１８）のように暗号化する。
ただし、第三の実施形態では、Ｐａｄｎは、ｎビット固定値Ｆｉｘ、および、マスク値Φ（ｍ）を用いて、式（２３）のように示される。
ただし、第三の実施形態では、Ｐａｄｎは、ｎビット固定値Ｆｉｘ、および、マスク値Φ（ｍ）を用いて、式（２３）のように示される。
【0148】
【数23】
【0149】
第二暗号化部１０５ｃは、第一計算部１０４が出力するチェックサムＳＵＭを、マスク生成部１０２ｃが出力するマスクδを用いて暗号化する。第二暗号化部１０５ｃは、チェックサムＳＵＭの暗号化に、ｎビット入出力の鍵なし暗号学的置換の入力のみにおいて、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号を用いる。第二暗号化部１０５ｃは、チェックサムＳＵＭを、式（２４）のように暗号化する。
【0150】
【数24】
【0151】
第二暗号化部１０５ｃは、得られたｎビット値Ｔａｇｎを適当な分割関数によって、２つのｎ／２ビット値Ｔａｇ１とＴａｇ２に分割する。第二暗号化部１０５ｃは、ｎ’＝ｎのときはＴ＝Ｔａｇ１とし、ｎ’≠ｎのときはＴ＝Ｔａｇ２として、ｎ／２ビットの値のタグＴを生成する。例えば、分割関数は、ｎ’＝ｎのときは式（２５）とすればよい。
【0152】
【数25】
【0153】
ｍｓｂｎ／２（・）は、上位ｎ／２ビットを出力する関数である。
分割関数は、ｎ’≠ｎのときは式（２６）とすればよい。
分割関数は、ｎ’≠ｎのときは式（２６）とすればよい。
【0154】
【数26】
【0155】
ｌｓｂｎ／２（・）は、下位ｎ／２ビットを出力する関数である。
【0156】
図１０は、認証暗号化装置１０ｃが行う暗号化の演算例の概略を示す図である。図１０は、第一暗号化部１０３ｃ、第一計算部１０４および第二暗号化部１０５ｃが行う演算例の概略を示している。
上述したように、第一暗号化部１０３ｃは、１≦ｉ＜ｍに対するＭ［ｉ］を、上記の式（２２）のように暗号化する。
「Ｐ」は、鍵なしの暗号学的置換を示す。
上述したように、第一暗号化部１０３ｃは、１≦ｉ＜ｍに対するＭ［ｉ］を、上記の式（２２）のように暗号化する。
「Ｐ」は、鍵なしの暗号学的置換を示す。
【0157】
認証暗号化装置１０の説明で上述したように、第一計算部１０４は、全平文ブロックの排他的論理和をチェックサムＳＵＭとして算出する。最終ブロックがｎビットに満たない場合、第一計算部１０４は、適当なパディングを最終ブロックに適用した上で排他的論理和をとる。
「０ｎ」は、各ビットの値が全て「０」であるｎビットのデータを示す。「Ｐａｄ ＸＯＲ Ｃ［ｍ］０＊」は、Ｃ［ｍ］をビット値「０」でパディングした値とＰａｄの排他的論理和をとることを示す。
「０ｎ」は、各ビットの値が全て「０」であるｎビットのデータを示す。「Ｐａｄ ＸＯＲ Ｃ［ｍ］０＊」は、Ｃ［ｍ］をビット値「０」でパディングした値とＰａｄの排他的論理和をとることを示す。
【0158】
上述したように、第二暗号化部１０５ｃは、チェックサムＳＵＭを式（２４）のように暗号化し、得られたＴａｇｎに式（２５）または式（２６）等の分割関数を適用してタグＴを生成する。
「パディング無」は、平文最終ブロックＭ［ｍ］がｎビットの場合の分割関数を示す。「パディング有」は、平文最終ブロックＭ［ｍ］がｎビット未満の場合の分割関数を示す。
「パディング無」は、平文最終ブロックＭ［ｍ］がｎビットの場合の分割関数を示す。「パディング有」は、平文最終ブロックＭ［ｍ］がｎビット未満の場合の分割関数を示す。
【0159】
［認証復号装置の構成の説明］
図１１は、第三の実施形態の認証復号装置の構成例を示すブロック図である。図１１に示されるように、認証復号装置２０ｃは、暗号文入力部２００と、初期ベクトル入力部２０１と、マスク生成部２０２ｃと、復号部２０３ｃと、第二計算部２０４と、第三暗号化部２０５ｃと、タグ検査部２０６と、平文出力部２０７と、を備える。マスク生成部２０２ｃは、マスク系列生成部２０２ｃ－１と、タグ用マスク生成部２０２ｃ－２とを備える。
図１１は、第三の実施形態の認証復号装置の構成例を示すブロック図である。図１１に示されるように、認証復号装置２０ｃは、暗号文入力部２００と、初期ベクトル入力部２０１と、マスク生成部２０２ｃと、復号部２０３ｃと、第二計算部２０４と、第三暗号化部２０５ｃと、タグ検査部２０６と、平文出力部２０７と、を備える。マスク生成部２０２ｃは、マスク系列生成部２０２ｃ－１と、タグ用マスク生成部２０２ｃ－２とを備える。
【0160】
図１１の各部のうち、図４の各部に対応して同様の機能を有する部分には同一の符号（２００、２０１、２０４、２０６、２０７）を付して説明を省略する。認証復号装置２０ｃでは、マスク生成部２０２ｃ、復号部２０３ｃ、第三暗号化部２０５ｃの各々が行う演算が、認証復号装置２０（図４）の場合と異なる。それ以外の点では、認証復号装置２０ｂは、認証復号装置２０と同様である。
【0161】
マスク生成部２０２ｃは、認証暗号化装置１０ｃ（図９）におけるマスク生成部１０２ｃと同様である。マスク系列生成部２０２ｃ－１は、マスク系列生成部１０２ｃ－１と同様である。タグ用マスク生成部２０２ｃ－２は、タグ用マスク生成部１０２ｃ－２と同様である。
【0162】
復号部２０３ｃは、第一暗号化部１０３ｃが行う暗号化の逆演算による復号を行う。
第三暗号化部２０５ｃは、第二暗号化部１０５ｃと同じである。
第三暗号化部２０５ｃは、タグ生成部の例に該当する。
第三暗号化部２０５ｃは、第二暗号化部１０５ｃと同じである。
第三暗号化部２０５ｃは、タグ生成部の例に該当する。
【0163】
［効果の説明］
以上のように、マスク系列生成部１０２ｃ－１は、秘密鍵と初期ベクトルとの結合の鍵なし暗号学的置換と、秘密鍵と初期ベクトルとの結合との排他的論理をとって得られる基本マスクを用いてマスク系列を生成する。タグ用マスク生成部１０２ｃ－２は、基本マスクを用いてタグ生成用のマスクを生成する。第一暗号化部１０３ｃは、鍵なし暗号学的置換をプリミティブとして用いて平文ブロックを暗号化する。第二暗号化部１０５ｃは、鍵なし暗号学的置換をプリミティブとして用いてタグを生成する。
以上のように、マスク系列生成部１０２ｃ－１は、秘密鍵と初期ベクトルとの結合の鍵なし暗号学的置換と、秘密鍵と初期ベクトルとの結合との排他的論理をとって得られる基本マスクを用いてマスク系列を生成する。タグ用マスク生成部１０２ｃ－２は、基本マスクを用いてタグ生成用のマスクを生成する。第一暗号化部１０３ｃは、鍵なし暗号学的置換をプリミティブとして用いて平文ブロックを暗号化する。第二暗号化部１０５ｃは、鍵なし暗号学的置換をプリミティブとして用いてタグを生成する。
【0164】
第三の実施形態における認証暗号化装置と認証復号装置は、第一の実施形態における認証暗号化装置と認証復号装置と同様の効果を持ち、またその効果は同様の理由によって得られる。また、一般に認証暗号において第二暗号化部にあたる構成部分では、平文の最終ブロックＭ［ｍ］がパディング処理を施されているかどうかによってTweakableブロック暗号のＴｗｅａｋの場合分けを行う必要がある。しかし第三の実施形態ではタグ長がｎ／２ビットであるため、認証暗号化装置の第二暗号化部において分割関数を用いることで場合分けを実現できる。Ｔｗｅａｋの場合分けよりも、暗号化によって得られたｎビットを２つに分割して場合分けを行う方が、より効率的である。
【0165】
＜第四の実施形態＞
第四の実施形態では、プリミティブ、Tweakableブロック暗号、タグ長のいずれも特定のものに制限されない例について説明する。第四の実施形態では、平文の暗号化の方法、および、タグ生成のための暗号化の方法として、例えばＯＣＢまたはＯＰＰを用いることができる。
第四の実施形態では、プリミティブ、Tweakableブロック暗号、タグ長のいずれも特定のものに制限されない例について説明する。第四の実施形態では、平文の暗号化の方法、および、タグ生成のための暗号化の方法として、例えばＯＣＢまたはＯＰＰを用いることができる。
【0166】
［認証暗号化装置の構成の説明］
図１２は、第四の実施形態の認証暗号化装置の構成例を示すブロック図である。図１２に示されるように、認証暗号化装置３０は、平文入力部３００と、初期ベクトル生成部３０１と、マスク生成部３０２と、第一暗号化部３０３と、第一計算部３０４と、第二暗号化部３０５と、暗号文出力部３０６とを備える。マスク生成部３０２は、マスク系列生成部３０２－１と、タグ用マスク生成部３０２－２とを備える。
図１２は、第四の実施形態の認証暗号化装置の構成例を示すブロック図である。図１２に示されるように、認証暗号化装置３０は、平文入力部３００と、初期ベクトル生成部３０１と、マスク生成部３０２と、第一暗号化部３０３と、第一計算部３０４と、第二暗号化部３０５と、暗号文出力部３０６とを備える。マスク生成部３０２は、マスク系列生成部３０２－１と、タグ用マスク生成部３０２－２とを備える。
【0167】
平文入力部３００は、暗号化の対象となる平文Ｍの入力を受け付ける。用いるプリミティブの入出力長をｎビットとして、平文入力部３００は、ｍ≦ｎ－２なるｍ－１個のｎビットブロックＭ［１］、Ｍ［２］、…、Ｍ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＭ［ｍ］から構成される平文Ｍの入力を受け付ける。
平文入力部３００が、平文Ｍの入力を受け付ける方法は、特定の方法に限定されない。例えば平文入力部３００が、キーボードなどの文字入力装置を備え、平文Ｍを入力するユーザ操作を受け付けるようにしてもよい。あるいは、平文入力部３００が、他の装置から平文Ｍを受信するようにしてもよい。
平文入力部３００が、平文Ｍの入力を受け付ける方法は、特定の方法に限定されない。例えば平文入力部３００が、キーボードなどの文字入力装置を備え、平文Ｍを入力するユーザ操作を受け付けるようにしてもよい。あるいは、平文入力部３００が、他の装置から平文Ｍを受信するようにしてもよい。
【0168】
初期ベクトル生成部３０１は、過去に生成した値とは異なる初期ベクトルを生成する。初期ベクトル生成部３０１は、認証暗号化装置１０（図２）における初期ベクトル生成部１０１と同じである。
マスク生成部３０２は、平文入力部３００が出力する平文Ｍと、初期ベクトル生成部３０１が出力する初期ベクトルＮと、秘密鍵Ｋを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを出力する。マスク生成部３０２は、マスク生成部１０２と同じである。マスク系列生成部３０２－１は、マスク系列生成部１０２－１と同じである。タグ用マスク生成部３０２－２は、タグ用マスク生成部１０２－２と同じである。
例えば、基本マスク値Δは、次のように実現できる。用いるプリミティブがブロック暗号Ｅの場合は、Δは上記の式（１０）のようにすることができる。
一方、用いるプリミティブが鍵なし暗号学的置換Ｐの場合は、Δは上記の式（２１）のようにすることができる。
マスク系列生成部３０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部１０２－２は、タグ用マスク生成手段の例に該当する。
マスク生成部３０２は、平文入力部３００が出力する平文Ｍと、初期ベクトル生成部３０１が出力する初期ベクトルＮと、秘密鍵Ｋを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを出力する。マスク生成部３０２は、マスク生成部１０２と同じである。マスク系列生成部３０２－１は、マスク系列生成部１０２－１と同じである。タグ用マスク生成部３０２－２は、タグ用マスク生成部１０２－２と同じである。
例えば、基本マスク値Δは、次のように実現できる。用いるプリミティブがブロック暗号Ｅの場合は、Δは上記の式（１０）のようにすることができる。
一方、用いるプリミティブが鍵なし暗号学的置換Ｐの場合は、Δは上記の式（２１）のようにすることができる。
マスク系列生成部３０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部１０２－２は、タグ用マスク生成手段の例に該当する。
【0169】
第一暗号化部３０３は、マスク生成部３０２が出力するマスク系列Φを用いて、平文入力部３００が出力する平文Ｍを暗号化する。第一暗号化部３０３は、第一暗号化部１０３と同じである。
第一暗号化部３０３は、第一暗号化手段の例に該当する。
第一計算部３０４は、平文入力部３００が出力する平文Ｍと、マスク生成部３０２が出力するマスク系列Φから、排他的論理和によってｎビットのチェックサムＳＵＭを求める。つまりチェックサムＳＵＭは、式（２７）のように示される。
第一暗号化部３０３は、第一暗号化手段の例に該当する。
第一計算部３０４は、平文入力部３００が出力する平文Ｍと、マスク生成部３０２が出力するマスク系列Φから、排他的論理和によってｎビットのチェックサムＳＵＭを求める。つまりチェックサムＳＵＭは、式（２７）のように示される。
【0170】
【数27】
【0171】
もし平文最終ブロックがｎビットに満たない場合は、適当なパディングを最終ブロックに適用した上でＸＯＲをとればよい。
第一計算部３０４は、チェックサム計算手段の例に該当する。
第二暗号化部３０５は、第一計算部３０４が出力するＳＵＭを、マスク生成部３０２が出力するマスクδを用いて暗号化する。このとき、ＳＵＭの暗号化には、ｎビット入出力のプリミティブの入力および出力のうち少なくとも入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号ＴＥを用いる。そしてＳＵＭは、式（２８）のように暗号化される。
第一計算部３０４は、チェックサム計算手段の例に該当する。
第二暗号化部３０５は、第一計算部３０４が出力するＳＵＭを、マスク生成部３０２が出力するマスクδを用いて暗号化する。このとき、ＳＵＭの暗号化には、ｎビット入出力のプリミティブの入力および出力のうち少なくとも入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号ＴＥを用いる。そしてＳＵＭは、式（２８）のように暗号化される。
【0172】
【数28】
【0173】
そして、第二暗号化部３０５は、得られたＴａｇｎを適当な短縮関数によってｔ≦ｎなるｔビットに変換し、タグＴを生成する。
第二暗号化部３０５は、第二暗号化手段の例に該当する。
第二暗号化部３０５は、第二暗号化手段の例に該当する。
【0174】
図１３は、認証暗号化装置３０が行う暗号化の演算例の概略を示す図である。図１３は、第一暗号化部３０３、第一計算部３０４および第二暗号化部３０５が行う演算例の概略を示している。
上述したように、第一暗号化部３０３は、第一の実施形態の第一暗号化部１０３と同様である。第一暗号化部３０３は、１≦ｉ＜ｍに対するＭ［ｉ］を、上記の式（１３）のように暗号化する。
上述したように、第一暗号化部３０３は、第一の実施形態の第一暗号化部１０３と同様である。第一暗号化部３０３は、１≦ｉ＜ｍに対するＭ［ｉ］を、上記の式（１３）のように暗号化する。
【0175】
上述したように、第一計算部３０４は、式２７に基づいてチェックサムＳＵＭを算出する。最終ブロックＭ［ｍ］がｎビットに満たない場合、第一計算部１０４は、適当なパディングを最終ブロックに適用し、さらにΦ（ｍ）との排他的論理和をとった上で、Ｍ［１］からＭ［ｍ－１］に基づく演算結果との排他的論理和をとる。
【0176】
上述したように、第二暗号化部３０５は、ＳＵＭを式（２８）のように暗号化する。このとき、上述したように、第二暗号化部３０５は、ＳＵＭの暗号化に、プリミティブの入力および出力のうち少なくとも入力において、マスク値を用いた排他的論理和の演算を行うことで実現されるTweakableブロック暗号ＴＥを用いる。図１３では、第二暗号化部３０５が、プリミティブの入力および出力の両方で、排他的論理和の演算を行う場合の例を示している。
【0177】
認証暗号化装置３０が行う暗号化の演算の変形例の概略を示す図である。図１４は、図１３の演算の変形例を示している。
図１４の演算では、第一計算部３０４がＳＵＭの計算の際に、Φ（ｉ）の排他的論理和をとることに代えて、第二暗号化部３０５が、マスクδと、Φ（１）からΦ（ｍ）との排他的論理和をとっている。
図１４の演算では、第一計算部３０４がＳＵＭの計算の際に、Φ（ｉ）の排他的論理和をとることに代えて、第二暗号化部３０５が、マスクδと、Φ（１）からΦ（ｍ）との排他的論理和をとっている。
【0178】
[認証復号装置の構成の説明]
図１５は、第四の実施形態の認証復号装置の構成例を示すブロック図である。
図１５に示されるように、認証復号装置４０は、暗号文入力部４００と、初期ベクトル入力部４０１と、マスク生成部４０２と、復号部４０３と、第二計算部４０４と、第三暗号化部４０５と、タグ検査部４０６と、平文出力部４０７と、を備える。マスク生成部４０２は、マスク系列生成部４０２－１と、タグ用マスク生成部４０２－２とを備える。
図１５は、第四の実施形態の認証復号装置の構成例を示すブロック図である。
図１５に示されるように、認証復号装置４０は、暗号文入力部４００と、初期ベクトル入力部４０１と、マスク生成部４０２と、復号部４０３と、第二計算部４０４と、第三暗号化部４０５と、タグ検査部４０６と、平文出力部４０７と、を備える。マスク生成部４０２は、マスク系列生成部４０２－１と、タグ用マスク生成部４０２－２とを備える。
【0179】
暗号文入力部４００は、用いるプリミティブの入出力長をｎビットとしたとき、ｍ≦ｎ－２なるｍ－１個のｎビットブロックＣ［１］、Ｃ［２］、…、Ｃ［ｍ－１］と、ｎ’≦ｎなるｎ’ビットブロックＣ［ｍ］からなる暗号文ＣとタグＴを入力する。これは例えばキーボードなどの文字入力装置により実現される。
【0180】
初期ベクトル入力部４０１は、対象となる初期ベクトルＮを入力する。初期ベクトル入力部４０１は、第一の実施形態の認証復号装置における初期ベクトル入力部２０１と同じである。
マスク生成部４０２は、暗号文入力部４００が出力する暗号文Ｃと、初期ベクトル入力部４０１が出力する初期ベクトルＮと、秘密鍵Ｋを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを出力する。マスク生成部４０２は、第四の実施形態の認証暗号化装置におけるマスク生成部３０２と同じである。マスク系列生成部４０２－１は、マスク系列生成部３０２－１と同じである。タグ用マスク生成部４０２－２は、タグ用マスク生成部３０２－２と同じである。
マスク系列生成部４０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部４０２－２は、タグ用マスク生成手段の例に該当する。
マスク生成部４０２は、暗号文入力部４００が出力する暗号文Ｃと、初期ベクトル入力部４０１が出力する初期ベクトルＮと、秘密鍵Ｋを用いて、ガロア体の乗法群の原始元の累乗によって生成されるマスク系列Φとマスクδを出力する。マスク生成部４０２は、第四の実施形態の認証暗号化装置におけるマスク生成部３０２と同じである。マスク系列生成部４０２－１は、マスク系列生成部３０２－１と同じである。タグ用マスク生成部４０２－２は、タグ用マスク生成部３０２－２と同じである。
マスク系列生成部４０２－１は、マスク系列生成手段の例に該当する。タグ用マスク生成部４０２－２は、タグ用マスク生成手段の例に該当する。
【0181】
復号部４０３は、マスク生成部４０２が出力するマスク系列Φを用いて、暗号文入力部４００が出力する暗号文Ｃを復号し、平文Ｍを出力する。復号部４０３は、第一の実施形態の認証復号装置における復号部２０３と同じである。
復号部４０３は、復号手段の例に該当する。
復号部４０３は、復号手段の例に該当する。
【0182】
第二計算部４０４は、復号部４０３が出力する平文Ｍと、マスク生成部４０２が出力するマスク系列Φから、簡易な計算によってｎビットのチェックサムＳＵＭを求める。第二計算部４０４は、第四の実施形態における第一計算部３０４と同じである。
第二計算部４０４は、チェックサム計算手段の例に該当する。
第二計算部４０４は、チェックサム計算手段の例に該当する。
【0183】
第三暗号化部４０５は、第二計算部４０４が出力するＳＵＭを、マスク生成部４０２が出力するマスクδを用いて暗号化し、タグＴ‘を出力する。第三暗号化部４０５は、第四の実施形態の認証暗号化装置における第二暗号化部３０５と同じである。
第三暗号化部４０５は、タグ生成手段の例に該当する。
第三暗号化部４０５は、タグ生成手段の例に該当する。
【0184】
タグ検査部４０６は、暗号文入力部４００が出力するタグＴと、第三暗号化部４０５が出力するタグＴ’を比較する。ＴとＴ’が一致した場合にＢ＝ＡＣＫ、一致しない場合にＢ＝ＮＣＫと設定し、検証結果Ｂを出力する。タグ検査部４０６は、第一の実施形態の認証復号装置におけるタグ検査部２０６と同じである。
タグ検査部４０６は、タグ検査手段の例に該当する。
タグ検査部４０６は、タグ検査手段の例に該当する。
【0185】
平文出力部４０７は、復号部４０３が出力する平文Ｍと、タグ検査部４０６が出力する検証結果Ｂを入力とし、Ｂ＝ＡＣＫの場合は平文Ｍを、Ｂ＝ＮＣＫの場合はエラーメッセージ⊥をコンピュータディスプレイやプリンターなどへ出力する。平文出力部４０７は、第一の実施形態の認証復号装置における平文出力部２０７と同じである。
【0186】
［効果の説明］
以上のように、第一計算部３０４は、平文ブロックの各々およびマスク系列の要素の各々の排他的論理和によるチェックサムを算出する。
第四の実施形態における認証暗号化装置と認証復号装置は、第一の実施形態における認証暗号化装置と認証復号装置と同様の効果を持つ。しかし、効果が得られる理由は第一の実施形態や第二の形態と異なるため、以下でその理由を述べる。第一の実施形態では、既存方式で用いられている安全性証明方法を変更することにより、特別元を定義することなくスペシャルマスクを決定できていたが、本実施形態では、既存方式で用いられている安全性証明方法を変更せず、処理するデータ量に制限を付けることで安全性を証明することができる。ガロア体ＧＦ（２＾ｎ）の原始元をσとしたとき、既存方式で用いられている安全性証明方法によれば、式（２９）で定めるマスク関数が単射であれば、安全性が証明できる。
以上のように、第一計算部３０４は、平文ブロックの各々およびマスク系列の要素の各々の排他的論理和によるチェックサムを算出する。
第四の実施形態における認証暗号化装置と認証復号装置は、第一の実施形態における認証暗号化装置と認証復号装置と同様の効果を持つ。しかし、効果が得られる理由は第一の実施形態や第二の形態と異なるため、以下でその理由を述べる。第一の実施形態では、既存方式で用いられている安全性証明方法を変更することにより、特別元を定義することなくスペシャルマスクを決定できていたが、本実施形態では、既存方式で用いられている安全性証明方法を変更せず、処理するデータ量に制限を付けることで安全性を証明することができる。ガロア体ＧＦ（２＾ｎ）の原始元をσとしたとき、既存方式で用いられている安全性証明方法によれば、式（２９）で定めるマスク関数が単射であれば、安全性が証明できる。
【0187】
【数29】
【0188】
平文処理で用いるマスクは、式（３０）のように示される。
【0189】
【数30】
【0190】
タグ生成ブロックで用いられるマスクは、式（３１）のように示される。
【0191】
【数31】
【0192】
ただし、（ＧＦ（２ｎ））＊はＧＦ（２ｎ）の乗法群を表す。そしてここで、ガロア体の定義より、その乗法群の基底は式（３２）のようであるとしてよい。
【0193】
【数32】
【0194】
つまり、任意の（ＧＦ（２＾ｎ））＊の元は１、σ１、σ２、…、σｎ－１の線形和によって表せる。このことから、上記のマスク関数は単射であることが容易に分かる。
本実施形態では、平文処理ブロック、つまり認証暗号化装置における第一暗号化部および認証復号装置における復号部でマスク値Φ（ｉ）＝σｉが用いられており、上記のマスク関数と同様である。一方、タグ生成ブロック、つまり認証暗号化装置における第二暗号化部および認証復号装置における第三暗号化部ではマスク値δ＝σｍ＋１が用いられており、一見上記のマスク関数と異なるように見える。
本実施形態では、平文処理ブロック、つまり認証暗号化装置における第一暗号化部および認証復号装置における復号部でマスク値Φ（ｉ）＝σｉが用いられており、上記のマスク関数と同様である。一方、タグ生成ブロック、つまり認証暗号化装置における第二暗号化部および認証復号装置における第三暗号化部ではマスク値δ＝σｍ＋１が用いられており、一見上記のマスク関数と異なるように見える。
【0195】
しかし、認証暗号化装置における第一計算部および認証復号装置における第二計算部では、チェックサムＳＵＭにマスク系列Φの元全ての排他的論理和が含まれるように計算されている。排他的論理和は可換であるため、これより本実施形態においてタグ生成ブロックで用いるマスク値は、式（３３）と表記することができる。
【0196】
【数33】
【0197】
つまり、本実施形態で用いているマスクは、上記の式（２９）のマスク関数と同視することができる。これにより、本実施形態は認証暗号として安全であることが証明できる。つまり、既存方式では、用いるマスク関数の単射性を有限体上の離散対数問題を解くことでしか証明できなかった。これに対し、本実施形態では、マスク関数の定義域を制限することにより、有限体上の離散対数問題を解くことなく、数学的にマスク関数の単射を容易に示すことができる。
【0198】
また、第二、第三の実施形態と同様に、既存方式のＯＣＢやＯＰＰと比較して、安全性が損なわれることはない。暗復号処理に関する効率面においては、第四の実施形態における認証暗号化装置と認証復号装置は、マスク関数のみ参照すると、タグを生成する際に平文処理で用いたマスクを全て用いている。そのため、一見すると暗復号処理に用いるメモリサイズ（ステートサイズと呼ばれる）が増えてしまうように思われる。
【0199】
しかし、図９の例や、第四の実施形態の構成の説明で述べたように、ＳＵＭを計算する際に、平文ブロックと一緒にマスク値もＸＯＲするようにすればよいため、ステートサイズは既存方式と変わらない。そして特別元によるマスクの計算（ＯＣＢにおいては３倍算）が不要となり、原始元の計算のみ（２倍算のみ）でマスクが計算できるため、既存方式よりも本方式の方が効率的であると言える。
【0200】
＜第五の実施形態＞
図１６は、第五の実施形態の認証暗号化装置の構成例を示す図である。図１６に示すように、認証暗号化装置５０は、マスク系列生成部５０１と、タグ用マスク生成部５０２と、第一暗号化部５０３と、チェックサム計算部５０４と、第二暗号化部５０５とを備える。
図１６は、第五の実施形態の認証暗号化装置の構成例を示す図である。図１６に示すように、認証暗号化装置５０は、マスク系列生成部５０１と、タグ用マスク生成部５０２と、第一暗号化部５０３と、チェックサム計算部５０４と、第二暗号化部５０５とを備える。
【0201】
マスク系列生成部５０１は、マスク系列生成手段の例に該当する。タグ用マスク生成部５０２は、タグ用マスク生成手段の例に該当する。第一暗号化部５０３は、第一暗号化手段の例に該当する。チェックサム計算部５０４は、チェックサム計算手段の例に該当する。第二暗号化部５０５は、第二暗号化手段の例に該当する。
【0202】
かかる構成で、マスク系列生成部５０１は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成部５０２は、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。第一暗号化部５０３は、プリミティブの入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する。チェックサム計算部５０４は、平文ブロックを用いて平文のチェックサムを算出する。第二暗号化部５０５は、プリミティブの入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。
これにより、認証暗号化装置５０では、第二暗号化部５０５がチェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
これにより、認証暗号化装置５０では、第二暗号化部５０５がチェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
【0203】
＜第六の実施形態＞
図１７は、第六の実施形態の認証復号装置の構成例を示す図である。図１７に示すように、認証復号装置６０は、マスク系列生成部６０１と、タグ用マスク生成部６０２と、復号部６０３と、チェックサム計算部６０４と、タグ生成部６０５と、タグ検査部６０６とを備える。
図１７は、第六の実施形態の認証復号装置の構成例を示す図である。図１７に示すように、認証復号装置６０は、マスク系列生成部６０１と、タグ用マスク生成部６０２と、復号部６０３と、チェックサム計算部６０４と、タグ生成部６０５と、タグ検査部６０６とを備える。
【0204】
マスク系列生成部６０１と、マスク系列生成手段の例に該当する。タグ用マスク生成部６０２は、タグ用マスク生成手段の例に該当する。復号部６０３は、復号手段の例に該当する。チェックサム計算部６０４は、チェックサム算出手段の例に該当する。タグ生成部６０５は、タグ生成手段の例に該当する。タグ検査部６０６は、タグ検査手段の例に該当する。
【0205】
かかる構成で、マスク系列生成部６０１は、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成部６０２は、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。復号部６０３は、復号関数の入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する。チェックサム計算部６０４は、平文ブロックを用いて平文のチェックサムを算出する。タグ生成部６０５は、復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。タグ検査部６０６は、タグを用いて復号部による復号結果の受理または不受理を決定する。
これにより認証復号装置６０では、タグ生成部６０５がチェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
これにより認証復号装置６０では、タグ生成部６０５がチェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
【0206】
＜第七の実施形態＞
図１８は、第七の実施形態の認証暗号化方法における処理手順の例を示すフローチャートである。
図１８の認証暗号化方法は、マスク系列生成工程（ステップＳ１０１）と、タグ用マスク生成工程（ステップＳ１０２）と、平文暗号化工程（ステップＳ１０３）と、チェックサム算出工程（ステップＳ１０４）と、タグ生成工程（ステップＳ１０５）とを含む。
図１８は、第七の実施形態の認証暗号化方法における処理手順の例を示すフローチャートである。
図１８の認証暗号化方法は、マスク系列生成工程（ステップＳ１０１）と、タグ用マスク生成工程（ステップＳ１０２）と、平文暗号化工程（ステップＳ１０３）と、チェックサム算出工程（ステップＳ１０４）と、タグ生成工程（ステップＳ１０５）とを含む。
【0207】
マスク系列生成工程（ステップＳ１０１）では、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成工程（ステップＳ１０２）では、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。平文暗号化工程（ステップＳ１０３）では、プリミティブの入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、平文を暗号化する。チェックサム算出工程（ステップＳ１０４）では、平文ブロックを用いて平文のチェックサムを算出する。タグ生成工程（ステップＳ１０５）では、プリミティブの入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。
図１８の認証暗号化方法によれば、チェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
図１８の認証暗号化方法によれば、チェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
【0208】
＜第八の実施形態＞
図１９は、第八の実施形態の認証復号方法における処理手順の例を示すフローチャートである。
図１９の認証復号方法は、マスク系列生成工程（ステップＳ２０１）と、タグ用マスク生成工程（ステップＳ２０２）と、暗号文復号工程（ステップＳ２０３）と、チェックサム算出工程（ステップＳ２０４）と、タグ生成工程（ステップＳ２０５）と、タグ検査工程（ステップＳ２０６）とを含む。
図１９は、第八の実施形態の認証復号方法における処理手順の例を示すフローチャートである。
図１９の認証復号方法は、マスク系列生成工程（ステップＳ２０１）と、タグ用マスク生成工程（ステップＳ２０２）と、暗号文復号工程（ステップＳ２０３）と、チェックサム算出工程（ステップＳ２０４）と、タグ生成工程（ステップＳ２０５）と、タグ検査工程（ステップＳ２０６）とを含む。
【0209】
マスク系列生成工程（ステップＳ２０１）では、初期ベクトル、秘密鍵、および、定数に基づいて定められる基本マスクと、ガロア体の乗法群の原始元の、平文ブロック毎に異なる指数による累乗との、ガロア体上での乗算を要素とするマスク系列を生成する。タグ用マスク生成工程（ステップＳ２０２）では、基本マスクと、ガロア体の乗法群の原始元の、マスク系列の何れの要素における指数とも異なる指数による累乗との、ガロア体上での乗算による、タグ生成用のマスクを生成する。暗号文復号工程（ステップＳ２０３）では、復号関数の入力および出力のそれぞれで、マスク系列の要素を用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、暗号ブロックを平文ブロックに復号する。チェックサム算出工程（ステップＳ２０４）では、平文ブロックを用いて平文のチェックサムを算出する。タグ生成工程（ステップＳ２０５）では、復号関数の逆関数である暗号化関数の入力および出力のうち少なくとも入力において、タグ生成用のマスクを用いた排他的論理和の演算を行うツイーカブルブロック暗号を用いて、チェックサムを暗号化して認証用のタグを生成する。タグ検査工程（ステップＳ２０６）では、タグを用いて復号結果の受理または不受理を決定する。
図１９の認証復号方法によれば、チェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
図１９の認証復号方法によれば、チェックサムの暗号化に用いるマスクを、有限体上の離散対数問題を解くことなく生成できる。
【0210】
図２０は、少なくとも１つの実施形態に係るコンピュータの構成を示す概略ブロック図である。
図２０に示す構成で、コンピュータ７００は、ＣＰＵ（Central Processing Unit）７１０と、主記憶装置７２０と、補助記憶装置７３０と、インタフェース７４０とを備える。
図２０に示す構成で、コンピュータ７００は、ＣＰＵ（Central Processing Unit）７１０と、主記憶装置７２０と、補助記憶装置７３０と、インタフェース７４０とを備える。
【0211】
上記の認証暗号化装置１０、１０ｂ、１０ｃ、３０、５０、認証復号装置２０、２０ｂ、２０ｃ、４０、６０のうち何れか１つ以上が、コンピュータ７００に実装されてもよい。その場合、上述した各処理部の動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って上記処理を実行する。また、ＣＰＵ７１０は、プログラムに従って、上述した各記憶部に対応する記憶領域を主記憶装置７２０に確保する。
【0212】
認証暗号化装置１０がコンピュータ７００に実装される場合、初期ベクトル生成部１０１と、マスク生成部１０２と、第一暗号化部１０３と、第一計算部１０４と、第二暗号化部１０５との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0213】
平文入力部１００による平文の入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
暗号文出力部１０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
暗号文出力部１０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0214】
認証暗号化装置１０ｂがコンピュータ７００に実装される場合、初期ベクトル生成部１０１と、マスク生成部１０２ｂと、第一暗号化部１０３ｂと、第一計算部１０４と、第二暗号化部１０５ｂとの動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0215】
平文入力部１００による平文の入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
暗号文出力部１０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
暗号文出力部１０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0216】
認証暗号化装置１０ｃがコンピュータ７００に実装される場合、初期ベクトル生成部１０１ｃと、マスク生成部１０２ｃと、第一暗号化部１０３ｃと、第一計算部１０４と、第二暗号化部１０５ｃとの動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0217】
平文入力部１００による平文の入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
暗号文出力部１０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
暗号文出力部１０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0218】
認証暗号化装置３０がコンピュータ７００に実装される場合、初期ベクトル生成部３０１と、マスク生成部３０２と、第一暗号化部３０３と、第一計算部３０４と、第二暗号化部３０５との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0219】
平文入力部３００による平文の入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
暗号文出力部３０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
暗号文出力部３０６による暗号文およびタグの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0220】
認証復号装置２０がコンピュータ７００に実装される場合、初期ベクトル入力部２０１と、マスク生成部２０２と、復号部２０３と、第二計算部２０４と、第三暗号化部２０５と、タグ検査部２０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0221】
暗号文入力部２００による暗号文およびタグの入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
平文出力部２０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
平文出力部２０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0222】
認証復号装置２０ｂがコンピュータ７００に実装される場合、初期ベクトル入力部２０１と、マスク生成部２０２ｂと、復号部２０３ｂと、第二計算部２０４と、第三暗号化部２０５ｂと、タグ検査部２０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0223】
暗号文入力部２００による暗号文およびタグの入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
平文出力部２０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
平文出力部２０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0224】
認証復号装置２０ｃがコンピュータ７００に実装される場合、初期ベクトル入力部２０１と、マスク生成部２０２ｃと、復号部２０３ｃと、第二計算部２０４と、第三暗号化部２０５ｃと、タグ検査部２０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0225】
暗号文入力部２００による暗号文およびタグの入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
平文出力部２０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
平文出力部２０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0226】
認証復号装置４０がコンピュータ７００に実装される場合、初期ベクトル入力部４０１と、マスク生成部４０２と、復号部４０３と、第二計算部４０４と、第三暗号化部４０５と、タグ検査部４０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0227】
暗号文入力部４００による暗号文およびタグの入力の受付は、インタフェース７４０が、例えば通信機能またはユーザ操作受付機能等の入力機能を有し、ＣＰＵ７１０の制御に従って入力処理を行うことで実行される。
平文出力部４０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
平文出力部４０７による平文またはエラーメッセージの出力は、インタフェース７４０が、例えば通信機能または表示機能等の出力機能を有し、ＣＰＵ７１０の制御に従って出力処理を行うことで実行される。
【0228】
認証暗号化装置５０がコンピュータ７００に実装される場合、マスク系列生成部５０１と、タグ用マスク生成部５０２と、第一暗号化部５０３と、チェックサム計算部５０４と、第二暗号化部５０５との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0229】
認証復号装置６０がコンピュータ７００に実装される場合、マスク系列生成部６０１と、タグ用マスク生成部６０２と、復号部６０３と、チェックサム計算部６０４と、タグ生成部６０５と、タグ検査部６０６との動作は、プログラムの形式で補助記憶装置７３０に記憶されている。ＣＰＵ７１０は、プログラムを補助記憶装置７３０から読み出して主記憶装置７２０に展開し、当該プログラムに従って各部の動作を実行する。
【0230】
なお、認証暗号化装置１０、１０ｂ、１０ｃ、３０、５０、認証復号装置２０、２０ｂ、２０ｃ、４０、６０の全部または一部の機能を実現するためのプログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピュータシステムに読み込ませ、実行することにより各部の処理を行ってもよい。ここでいう「コンピュータシステム」とは、ＯＳ（オペレーティングシステム）や周辺機器等のハードウェアを含む。
「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Read Only Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ（Read Only Memory）、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。
【0231】
以上、本発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計変更等も含まれる。
【産業上の利用可能性】
【0232】
本発明の実施形態は、認証暗号化装置、認証復号装置、認証暗号化方法、認証復号方法および記録媒体に適用してもよい。
【符号の説明】
【0233】
１０、１０ｂ、１０ｃ、３０ 認証暗号化装置
１００、３００ 平文入力部
１０１、３０１ 初期ベクトル生成部
１０２、１０２ｂ、１０２ｃ、３０２ マスク生成部
１０３、１０３ｂ、１０３ｃ、３０３ 第一暗号化部
１０４、３０４ 第一計算部
１０５、１０５ｂ、１０５ｃ、３０５ 第二暗号化部
１０６、３０６ 暗号文出力部
２０、２０ｂ、２０ｃ、４０ 認証復号装置
２００、４００ 暗号文入力部
２０１、４０１ 初期ベクトル入力部
２０２、２０２ｂ、２０２ｃ、４０２ マスク生成部
２０３、２０３ｂ、２０３ｃ、４０３ 復号部
２０４、４０４ 第二計算部
２０５、２０５ｂ、２０５ｃ、４０５ 第三暗号化部
２０６、４０６ タグ検査部
２０７、４０７ 平文出力部
１００、３００ 平文入力部
１０１、３０１ 初期ベクトル生成部
１０２、１０２ｂ、１０２ｃ、３０２ マスク生成部
１０３、１０３ｂ、１０３ｃ、３０３ 第一暗号化部
１０４、３０４ 第一計算部
１０５、１０５ｂ、１０５ｃ、３０５ 第二暗号化部
１０６、３０６ 暗号文出力部
２０、２０ｂ、２０ｃ、４０ 認証復号装置
２００、４００ 暗号文入力部
２０１、４０１ 初期ベクトル入力部
２０２、２０２ｂ、２０２ｃ、４０２ マスク生成部
２０３、２０３ｂ、２０３ｃ、４０３ 復号部
２０４、４０４ 第二計算部
２０５、２０５ｂ、２０５ｃ、４０５ 第三暗号化部
２０６、４０６ タグ検査部
２０７、４０７ 平文出力部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】