(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2023-11-13
(45)【発行日】2023-11-21
(54)【発明の名称】情報処理装置及びプログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20231114BHJP
【ＦＩ】
G09C1/00 620Z
G09C1/00 650Z
【請求項の数】
5
(21)【出願番号】P 2019171450
(22)【出願日】2019-09-20
(65)【公開番号】P2021047371
(43)【公開日】2021-03-25
【審査請求日】2022-08-10
(73)【特許権者】
【識別番号】000005234
【氏名又は名称】富士電機株式会社
(74)【代理人】
【識別番号】100107766
【弁理士】
【氏名又は名称】伊東 忠重
(74)【代理人】
【識別番号】100070150
【弁理士】
【氏名又は名称】伊東 忠彦
(72)【発明者】
【氏名】高務 健二
【審査官】青木 重徳
(56)【参考文献】
【文献】特表２０１０－５２８５１７（ＪＰ，Ａ）
【文献】特表２０１０－５１５９４５（ＪＰ，Ａ）
【文献】特表２０１２－５２０５８９（ＪＰ，Ａ）
【文献】特開２０１７－２１６６１９（ＪＰ，Ａ）
【文献】国際公開第２０１７／２０３９９２（ＷＯ，Ａ１）
【文献】辻井 重男 ほか，暗号と情報セキュリティ，初版４刷，日本，株式会社昭晃堂，1996年02月20日，ｐ．２２９－２３４
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００
(57)【特許請求の範囲】
【請求項1】
共通鍵暗号方式に用いられる共通鍵と、前記共通鍵を用いた暗号化処理又は復号処理をWhite-Box Cryptographyによりルックアップテーブル化して、前記暗号化処理に対応する暗号化用ルックアップテーブル又は前記復号処理に対応する復号用ルックアップテーブルを作成する作成手段と、前記作成手段により作成された暗号化用ルックアップテーブル又は復号用ルックアップテーブルを、公開鍵として公開とする公開手段と、
を有し、
前記共通鍵暗号方式は、AESの暗号化処理に含まれるMixColumns処理の行列変換を１６×１６の変換行列を用いた行列変換に置換すると共に、AESの復号処理に含まれるInvMixColumns処理の逆行列変換を前記変換行列の逆行列を用いた行列変換に置換した暗号方式である、ことを特徴とする情報処理装置。
【請求項2】
前記変換行列は、０を除く低位の値を各要素とする行列であり、かつ、ｉ＋１（ただし、ｉ＝１，・・・，１５）番目の行又は列はｉ番目の行又は列を所定の方向に１つローテーションした行列である、ことを特徴とする請求項１に記載の情報処理装置。
【請求項3】
前記変換行列は、１行又は１列あたり、Ｍ（Ｍは２以上、２５４以下の偶数）を値とする１３個の要素と、Ｍ＋１を値とする３個の要素とで構成された行列である、ことを特徴とする請求項２に記載の情報処理装置。
【請求項4】
前記変換行列は、１行又は１列あたり、２を値とする１３個の要素と、３を値とする３個の要素とで構成された行列である、ことを特徴とする請求項３に記載の情報処理装置。
【請求項5】
共通鍵暗号方式に用いられる共通鍵と、前記共通鍵を用いた暗号化処理又は復号処理をWhite-Box Cryptographyによりルックアップテーブル化して、前記暗号化処理に対応する暗号化用ルックアップテーブル又は前記復号処理に対応する復号用ルックアップテーブルを作成する作成手順と、前記作成手順で作成された暗号化用ルックアップテーブル又は復号用ルックアップテーブルを、公開鍵として公開とする公開手順と、
をコンピュータに実行させ、
前記共通鍵暗号方式は、AESの暗号化処理に含まれるMixColumns処理の行列変換を１６×１６の変換行列を用いた行列変換に置換すると共に、AESの復号処理に含まれるInvMixColumns処理の逆行列変換を前記変換行列の逆行列を用いた行列変換に置換した暗号方式である、ことを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、情報処理装置及びプログラムに関する。
【背景技術】
【0002】
つながる時代の新技術に代表されるIoT（Internet of Things）では、種々様々なデバイスが通信ネットワークに接続される。これらのデバイスの多くは低コストに実現される機器でありながら、マイクロプロセッサ等を搭載してアプリケーションを実装していると共に、セキュリティ対策として各種暗号機能も実装している。
【0003】
一般的な通信路の暗号化においては、公開鍵暗号方式で認証と鍵の交換とを行った上で、この鍵を用いた共通鍵暗号方式によりデータを暗号化する場合が多い。しかしながら、低コストに実現される機器では、公開鍵暗号方式の演算処理に多くの時間を要してしまう。これに対して、公開鍵暗号方式の１つであるペアリング暗号の高速化を実現することができる多倍長整数演算装置が知られている（例えば、特許文献１参照）。
【先行技術文献】
【特許文献】
【0004】
【文献】特開２０１４－１３７４１５号公報
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかしながら、上記の従来技術では、特定の多倍長整数演算装置を機器に搭載する必要がある。また、演算量のオーダーを下げるほどの高速化は困難である。
【0006】
本発明の実施形態は、上記の点に鑑みてなされたもので、公開鍵暗号の演算量を削減することを目的とする。
【課題を解決するための手段】
【0007】
上記目的を達成するための、本実施形態に係る情報処理装置は、共通鍵暗号方式に用いられる共通鍵と、前記共通鍵を用いた暗号化処理又は復号処理をWhite-Box Cryptographyによりルックアップテーブル化して、前記暗号化処理に対応する暗号化用ルックアップテーブル又は前記復号処理に対応する復号用ルックアップテーブルを作成する作成手段と、前記作成手段により作成された暗号化用ルックアップテーブル又は復号用ルックアップテーブルを、公開鍵として公開とする公開手段と、を有することを特徴とする。
【発明の効果】
【0008】
公開鍵暗号の演算量を削減することができる。
【図面の簡単な説明】
【0009】
【図1】本実施形態に係る暗号システムの機能構成の一例を示す図である。
【図2A】暗号システムの利用形態の一例を説明するための図（その１）である。
【図2B】暗号システムの利用形態の一例を説明するための図（その２）である。
【図3】本実施形態に係る暗号システムのハードウェア構成の一例を示す図である。
【図4】本実施形態に係る公開鍵作成処理の一例を示すフローチャートである。
【図5】MixColumns処理の置換の一例を説明するための図である。
【図6】拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列の一例を示す図（実施例１）である。
【図7】拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列の一例を示す図（実施例２）である。
【発明を実施するための形態】
【0010】
以下、本発明の実施形態について説明する。本実施形態では、WBC（White-Box Cryptography）を用いて共通鍵暗号方式により公開鍵暗号方式を実現することで、公開鍵暗号の演算量を削減する暗号システム１０について説明する。ここで、本実施形態に係る暗号システム１０は、一例として、一般的なマイクロプロセッサ等が搭載された組み込みシステム（Embedded System）であるものとする。組み込みシステムは、例えば、産業用機器や家電製品等に内蔵され、特定の機能を実現するシステムである。具体的には、例えば、HEMS（Home Energy Management System）に利用されるスマートメーター等に対して、本実施形態に係る暗号システム１０を組み込むことが可能である。
【0011】
ただし、本実施形態に係る暗号システム１０は、組み込みシステムに限られず、例えば、PC（Personal Computer）やスマートフォン、タブレット端末等の各種端末又は装置であってもよい。
【0012】
【0013】
図１に示すように、本実施形態に係る暗号システム１０は、公開鍵作成部１０１と、暗号化部１０２と、復号部１０３と、記憶部１０４とを有する。
【0014】
記憶部１０４は、共通鍵暗号方式に用いられる共通鍵を、公開鍵暗号方式の秘密鍵１０００として記憶する。ここで、本実施形態では、一例として、共通鍵暗号方式はAES（Advanced Encryption Standard）であるものとする。なお、記憶部１０４には、秘密鍵１０００以外にも、任意の情報（例えば、暗号化対象となる平文、秘密鍵１０００を用いた電子署名の付与対象となるデータ等）が記憶されていてもよい。
【0015】
公開鍵作成部１０１は、記憶部１０４に記憶されている秘密鍵１０００（つまり、共通鍵暗号方式の共通鍵）を用いた共通鍵暗号方式の暗号化処理用にWBCによりルックアップテーブル（LUT：Lookup table）化した暗号化用ルックアップテーブルを作成する。本実施形態では、この暗号化用ルックアップテーブルを、公開鍵暗号方式によって平文を暗号化する際の公開鍵として扱うことで、公開鍵暗号方式を実現する。以降では、公開鍵作成部１０１により作成された暗号化用ルックアップテーブルを公開暗号化鍵２０００とも表す。
【0016】
また、公開鍵作成部１０１は、記憶部１０４に記憶されている秘密鍵１０００（つまり、共通鍵暗号方式の共通鍵）を用いた共通鍵暗号方式の復号処理用にWBCによりルックアップテーブル化した復号用ルックアップテーブルを作成する。本実施形態では、この復号用ルックアップテーブルを、公開鍵暗号方式を応用した電子署名を行う際の公開鍵として扱うことで、公開鍵暗号方式を実現する。以降では、公開鍵作成部１０１により作成された復号用ルックアップテーブルを公開復号鍵３０００とも表す。
【0017】
なお、WBCでは、共通鍵や各種固定値等と暗号化処理又は復号処理とを合成することで暗号化用ルックアップテーブル又は復号用ルックアップテーブルが作成される。このとき、WBCの耐解読性により、暗号化用ルックアップテーブル及び復号用ルックアップテーブルから共通鍵を推測することは困難である。また、暗号化処理と復号処理とでは処理内容が異なるため、暗号化用ルックアップテーブルと復号用ルックアップテーブルとは互いに異なり、暗号化用ルックアップテーブルから復号用ルックアップテーブルを算出したり、復号用ルックアップテーブルから暗号化用ルックアップテーブルを算出したりすることはできない。
【0018】
ここで、本実施形態に係る暗号システム１０は、公開暗号化鍵２０００又は公開復号鍵３０００のいずれか一方のみを作成してもよいし、公開暗号化鍵２０００及び公開復号鍵３０００の両方を作成してもよい。ただし、公開暗号化鍵２０００及び公開復号鍵３０００の両方を作成する場合は、公開暗号化鍵２０００を作成する場合と公開復号鍵３０００を作成する場合とで異なる共通鍵を用いる。
【0019】
暗号化部１０２は、公開鍵暗号方式を応用した電子署名を行う際に、記憶部１０４に記憶されている秘密鍵１０００と電子署名の付与対象のデータとを用いて、電子署名付きデータを作成する。なお、電子署名付きデータは、この電子署名付きデータを受信した他の暗号システム１０によって公開復号鍵３０００を用いて検証される。
【0020】
また、暗号化部１０２は、他の暗号システム１０で作成された公開暗号化鍵を用いて平文を暗号化し、暗号文を作成する。なお、他の暗号システム１０で作成された公開暗号化鍵は、例えば、記憶部１０４に記憶されている。
【0021】
復号部１０３は、記憶部１０４に記憶されている秘密鍵１０００を用いて、公開暗号化鍵２０００で暗号化された暗号文を復号する。なお、この暗号文は、他の暗号システム１０によって公開暗号化鍵２０００を用いて暗号化されたデータである。
【0022】
また、復号部１０３は、他の暗号システム１０で作成された公開復号鍵を用いて電子署名付きデータを検証する。なお、他の暗号システム１０で作成された公開復号鍵は、例えば、記憶部１０４に記憶されている。
【0023】
【0024】
＜暗号システム１０の利用形態＞
ここで、暗号システム１０の利用形態の一例として、２台の暗号システム１０間で公開鍵暗号方式により暗号化通信を行う場合の利用形態と、２台の暗号システム１０間で公開鍵暗号方式を応用した電子署名付きデータの通信を行う場合の利用形態とについてそれぞれ説明する。以降では、これら２台の暗号システム１０の一方を「暗号システム１０－１」、他方を「暗号システム１０－２」と表す。また、公開暗号化鍵２０００及び公開復号鍵３０００は暗号システム１０－１により作成されたものであるとする（つまり、公開暗号化鍵２０００及び公開復号鍵３０００は、暗号システム１０－１の秘密鍵１０００を用いて作成されたものであるとする。）。
ここで、暗号システム１０の利用形態の一例として、２台の暗号システム１０間で公開鍵暗号方式により暗号化通信を行う場合の利用形態と、２台の暗号システム１０間で公開鍵暗号方式を応用した電子署名付きデータの通信を行う場合の利用形態とについてそれぞれ説明する。以降では、これら２台の暗号システム１０の一方を「暗号システム１０－１」、他方を「暗号システム１０－２」と表す。また、公開暗号化鍵２０００及び公開復号鍵３０００は暗号システム１０－１により作成されたものであるとする（つまり、公開暗号化鍵２０００及び公開復号鍵３０００は、暗号システム１０－１の秘密鍵１０００を用いて作成されたものであるとする。）。
【0025】
まず、暗号システム１０－１と暗号システム１０－２との間で公開鍵暗号方式により暗号化通信を行う場合の利用形態について、図２Ａを参照しながら説明する。図２Ａは、暗号システム１０の利用形態の一例を説明するための図（その１）である。
【0026】
図２Ａに示すように、暗号システム１０－２の暗号化部１０２は、公開暗号化鍵２０００を用いて平文Ｐ１を暗号化することで暗号文Ｃ１を作成し、暗号システム１０－１に送信する。そして、暗号システム１０－１の復号部１０３は、暗号文Ｃ１を受信すると、秘密鍵１０００を用いて暗号文Ｃ１を復号することで平文Ｐ１を作成する。
【0027】
このように、暗号システム１０－２で公開暗号化鍵２０００を用いて暗号化された暗号文Ｃ１が、暗号システム１０－１で秘密鍵１０００を用いて復号される。このとき、本実施形態では、共通鍵暗号方式としてAESを採用しているため、暗号システム１０－２ではAESでの暗号化処理と同等の演算量で暗号化を行うことができる。なお、暗号システム１０－１での復号に要する演算量は、通常のAESによる復号処理の演算量と同様である。
【0028】
次に、暗号システム１０－１と暗号システム１０－２との間で公開鍵暗号方式を応用した電子署名付きデータの通信を行う場合の利用形態について、図２Ｂを参照しながら説明する。図２Ｂは、暗号システム１０の利用形態の一例を説明するための図（その２）である。
【0029】
図２Ｂに示すように、暗号システム１０－１の暗号化部１０２は、秘密鍵１０００を用いて電子署名の付与対象のデータＤ１から電子署名付きデータＤ２を作成し、暗号システム１０に送信する。なお、暗号システム１０－１の暗号化部１０２は、例えば、データＤ１のハッシュ値を秘密鍵１０００で暗号化することで電子署名を作成し、この電子署名をデータＤ１に付与すること電子署名付きデータＤ２を作成する。
【0030】
そして、暗号システム１０－２の復号部１０３は、電子署名付きデータＤ２を受信すると、公開復号鍵３０００を用いて電子署名付きデータＤ２を検証し、検証結果Ｄ３を作成する。なお、暗号システム１０－２の復号部１０３は、例えば、公開復号鍵３０００を用いて電子署名付きデータＤ２に含まれる電子署名を復号することができるか否かを検証すると共に、当該電子署名を復号することで得られたハッシュ値と電子署名付きデータＤ２に含まれるデータ部分のハッシュ値とが一致するか否かを検証することで、検証結果Ｄ２を作成する。
【0031】
このように、暗号システム１０－１で秘密鍵１０００を用いて作成された電子署名付きデータＤ２が、暗号システム１０－２で公開復号鍵３０００を用いて復号される。このとき、本実施形態では、共通鍵暗号方式としてAESを採用しているため、暗号システム１０－２ではAESの復号処理と同等の演算量で電子署名の復号を行うことができる。なお、暗号システム１０－１での暗号化に要する演算量は、通常のAESによる暗号化処理の演算量と同様である。
【0032】
【0033】
図３に示すように、本実施形態に係る暗号システム１０は、プロセッサ２０１と、メモリ装置２０２と、Ｉ／Ｆ２０３とを有する。これら各ハードウェアは、それぞれがバス２０４を介して通信可能に接続されている。
【0034】
プロセッサ２０１は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の演算装置である。暗号システム１０が有する各機能部（公開鍵作成部１０１、暗号化部１０２及び復号部１０３）は、メモリ装置２０２に格納された１以上のプログラムがプロセッサ２０１に実行させる処理により実現される。
【0035】
メモリ装置２０２は、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種の記憶装置である。暗号システム１０が有する記憶部１０４は、例えば、メモリ装置２０２により実現される。
【0036】
Ｉ／Ｆ２０３は、暗号システム１０にデータを入力したり、暗号システム１０からデータを出力したりするためのインタフェースである。
【0037】
本実施形態に係る暗号システム１０は、図３に示すハードウェア構成を有することにより、各種処理を実現することができる。なお、図３に示すハードウェア構成は一例であって、本実施形態に係る暗号システム１０は、他のハードウェア構成を有していてもよい。例えば、本実施形態に係る暗号システム１０は、複数のプロセッサ２０１を有していてもよいし、複数のメモリ装置２０２を有していてもよい。
【0038】
＜公開鍵作成処理＞
次に、本実施形態に係る暗号システム１０が公開暗号化鍵２０００及び公開復号鍵３０００の少なくとも一方を作成する場合の公開鍵作成処理について、図４を参照しながら説明する。図４は、本実施形態に係る公開鍵作成処理の一例を示すフローチャートである。なお、以降では、一例として、公開暗号化鍵２０００及び公開復号鍵３０００の両方を作成する場合について説明する。
次に、本実施形態に係る暗号システム１０が公開暗号化鍵２０００及び公開復号鍵３０００の少なくとも一方を作成する場合の公開鍵作成処理について、図４を参照しながら説明する。図４は、本実施形態に係る公開鍵作成処理の一例を示すフローチャートである。なお、以降では、一例として、公開暗号化鍵２０００及び公開復号鍵３０００の両方を作成する場合について説明する。
【0039】
まず、暗号システム１０の公開鍵作成部１０１は、記憶部１０４に記憶されている秘密鍵１０００を入力する（ステップＳ１０１）。なお、上述したように、公開暗号化鍵２０００を作成するための秘密鍵１０００と、公開復号鍵３０００を作成するための秘密鍵１０００とはそれぞれ異なる秘密鍵を入力する。以降では、これらの秘密鍵を区別するため、公開暗号化鍵２０００を作成するための秘密鍵１０００を「秘密鍵１０００Ａ」、公開復号鍵３０００を作成するための秘密鍵１０００を「秘密鍵１０００Ｂ」と表す。
【0040】
次に、暗号システム１０の公開鍵作成部１０１は、上記のステップＳ１０１で入力した秘密鍵１０００Ａを用いた共通鍵暗号方式の暗号化処理をWBCによりルックアップテーブル化して、暗号化用ルックアップテーブルを作成する。同様に、暗号システム１０の公開鍵作成部１０１は、上記のステップＳ１０１で入力した秘密鍵１０００Ｂを用いた共通鍵暗号方式の復号処理をWBCによりルックアップテーブル化して、復号用ルックアップテーブルを作成する（ステップＳ１０２）。
【0041】
最後に、暗号システム１０の公開鍵作成部１０１は、上記のステップＳ１０２で作成した暗号化用ルックアップテーブルを公開暗号化鍵２０００として公開する。同様に、暗号システム１０の公開鍵作成部１０１は、上記のステップＳ１０２で作成した復号用ルックアップテーブルを公開復号鍵３０００として公開する（ステップＳ１０３）。
【0042】
なお、公開鍵作成部１０１は、公開暗号化鍵２０００や公開復号鍵３０００を任意の方法で公開すればよい。例えば、公開鍵作成部１０１は、公開暗号化鍵２０００や公開復号鍵３０００を通信相手の機器（他の暗号システム１０）に送信することで公開してもよいし、通信相手の機器がアクセス可能なＤＢ（データベース）サーバ等に格納することで公開してもよい。
【0043】
以上により、公開暗号化鍵２０００及び公開復号鍵３０００の少なくとも一方が公開鍵として公開され、本実施形態に係る暗号システム１０は、この公開鍵を用いた公開鍵暗号方式（又は、公開鍵暗号方式を応用した電子署名）を実現することができる。しかも、本実施形態は共通鍵暗号方式としてAESを採用しているため、この公開鍵を用いた公開鍵暗号方式はAESと同等の演算量で暗号化及び復号を行うことができる。
【0044】
このため、例えば、RSA（Rivest-Shamir-Adleman cryptosystem）等の公開鍵暗号方式と比べて、暗号化及び復号する際の演算量を大幅に削減することができる。より具体的には、例えば、AES128に対してRSA3076の相対的な演算時間は約２２０倍であることが知られているため、共通鍵暗号方式としてAES128を用いた場合、この共通鍵暗号方式により実現される公開鍵暗号方式では、RSA3076と比べてその演算時間を約１／２２０に削減することができる。同様に、例えば、AES256に対してRSA15360の相対的な演算時間は約２２６倍であることが知られているため、共通鍵暗号方式としてAES256を用いた場合、この共通鍵暗号方式により実現される公開鍵暗号方式では、RSA15360と比べてその演算時間を約１／２２６に削減することができる。
【0045】
＜AESの拡張＞
ここで、本実施形態では共通鍵暗号方式としてAESを採用しているが、共通鍵暗号方式により実現される公開鍵暗号方式のセキュリティをより高めるためにAESを拡張する方法について説明する。本実施形態では、この拡張されたAESを「拡張AES」と表す。共通鍵暗号方式として、AESの代わりに拡張AESを用いることで、この共通鍵暗号方式により実現される公開鍵暗号方式のセキュリティをより高めることが可能となる。
ここで、本実施形態では共通鍵暗号方式としてAESを採用しているが、共通鍵暗号方式により実現される公開鍵暗号方式のセキュリティをより高めるためにAESを拡張する方法について説明する。本実施形態では、この拡張されたAESを「拡張AES」と表す。共通鍵暗号方式として、AESの代わりに拡張AESを用いることで、この共通鍵暗号方式により実現される公開鍵暗号方式のセキュリティをより高めることが可能となる。
【0046】
まず、図５に示すように、AESのｎ（ｎは０以上の整数）ラウンド目の１つのサブラウンドでは、ｎラウンド目の中間ベクタの所定の４バイト（＝３２ビット）のデータを入力として、ShiftRows処理とAddRoundKey処理とSubByte処理とMixColumns処理とが行われ、ｎ＋１ラウンド目の中間ベクタの所定の４バイトのデータが出力される。このようなサブラウンドが４回繰り返されることで、ｎラウンド目の処理が終了する。なお、このとき、MixColumns処理では、４×４の行列演算が１サブラウンドあたり１回行われる。
【0047】
そして、０ラウンド目に入力される中間ベクタは平文であり、最終ラウンドで出力される中間ベクタが暗号文である。
【0048】
上述したように、公開暗号化鍵２０００は暗号化用ルックアップテーブルであるため、この公開暗号化鍵２０００とｎ＋１ラウンド目の中間ベクタとを用いて、ｎラウンド目の中間ベクタを探索することが可能である。このとき、１サブラウンドで４バイトのデータから４バイトのデータが得られるため、この探索コストは、ｎ＋１ラウンド目の中間ベクタに含まれるMixColumns処理の単位である４バイトのデータ、つまり３２ビットである。したがって、共通鍵暗号方式にAESを採用した場合、探索コストが３２ビットの探索を繰り返すことで、暗号文から平文を特定することが可能となる。
【0049】
そこで、図５に示すように、AESのMixColumns処理を、１６×１６の行列演算が１ラウンドあたり１回行われる拡張MixColumns処理に置換する。MixColumns処理が拡張MixColumns処理に置換されたAESが「拡張AES」である。この拡張AESでは、１ラウンドで１６バイトのデータから１６バイトのデータが得られるため、この探索コストは、１６バイト（＝１２８ビット）である。したがって、共通鍵暗号方式として拡張AESを採用することで、現実的な演算時間内で暗号文から平文を特定することが不可能となり、この共通鍵暗号方式により実現される公開鍵暗号方式のセキュリティをより高めることが可能となる。
【0050】
ここで、図５では説明の便宜上、暗号化処理におけるMixColumns処理を拡張MixColumns処理に置換したが、拡張AESでは、復号処理におけるInvMixColumns処理も同様に拡張InvMixColumns処理に置換される。拡張InvMixColumns処理でも、１６×１６の行列演算が１ラウンドあたり１回行われる。
【0051】
なお、拡張AESはAESと同等の構造を有しているため、その暗号強度はAESと同等である。また、拡張MixColumns処理の演算量は、行列演算に用いられる変換行列のサイズが４×４から１６×１６になるため、４倍となる。
【0052】
＜拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列＞
ここで、拡張MixColumns処理に用いられる変換行列と、拡張InvMixColumns処理に用いられる逆変換行列の具体例について説明する。なお、以降では、変換行列及び逆変換行列の各要素を１６進数で表現するものとする。
ここで、拡張MixColumns処理に用いられる変換行列と、拡張InvMixColumns処理に用いられる逆変換行列の具体例について説明する。なお、以降では、変換行列及び逆変換行列の各要素を１６進数で表現するものとする。
【0053】
まず、基本的な条件として、ｎ＋１ラウンド目の中間ベクタに含まれる各１バイトデータに関与するデータ（つまり、ｎラウンド目の中間ベクタ）を１６バイトとするため、変換行列の各要素には「００」は使用しないことが望ましい。
【0054】
また、AESと同様に、変換行列のｉ＋１（ｉ＝１，・・・，１５）行目の行は、ｉ行目の行を所定の方向（右又は左のいずれか）に１つローテーションしたものであるとする。つまり、例えば、所定の方向が右方向であり、ｉ行目の行が［ａ１，ａ２，・・・，ａ１６］と表される場合、ｉ＋１行目の行は［ａ１６，ａ１，・・・，ａ１５］と表される。なお、このことは、変換行列のｊ＋１（ｊ＝１，・・・，１５）列目の列は、ｊ列目の列を所定の方向（上又は下のいずれか）に１つローテーションしたものである、と言い換えることができる。
【0055】
なお、逆変換行列は、変換行列の逆行列で表される。また、逆変換行列も、ｉ＋１（ｉ＝１，・・・，１５）行目の行はｉ行目の行を所定の方向に１つローテーションしたものとなる。
【0056】
（実施例１）
拡張MixColumns処理に用いられる変換行列と拡張InvMixColumns処理に用いられる逆変換行列との実施例１を図６に示す。図６は、拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列の一例を示す図（実施例１）である。
拡張MixColumns処理に用いられる変換行列と拡張InvMixColumns処理に用いられる逆変換行列との実施例１を図６に示す。図６は、拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列の一例を示す図（実施例１）である。
【0057】
拡張MixColumns処理はガロア体上の既約多項式に基づいた行列演算であるため、共通鍵暗号方式としてＣＰＵ等のプロセッサ２０１で演算する場合、積算する値によって演算のステップ数が変化する（つまり、積算する値を２進数にした際のビット１の最下位からの距離の和に比例する。）。このため、拡張MixColumns処理に用いられる変換行列の各要素は、できるだけ低位な値（つまり、各要素の値が小さい）の方が、演算のステップ数が少なくて済む。
【0058】
そこで、図６に示すように、実施例１は、変換行列の各要素を「０１」、「０２」、「０３」で構成した例である。ただし、実施例１では、逆変換行列の各要素は低位な値とならず、乱雑な値で構成される。
【0059】
（実施例２）
拡張MixColumns処理に用いられる変換行列と拡張InvMixColumns処理に用いられる逆変換行列との実施例２を図７に示す。図７は、拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列の一例を示す図（実施例２）である。
拡張MixColumns処理に用いられる変換行列と拡張InvMixColumns処理に用いられる逆変換行列との実施例２を図７に示す。図７は、拡張MixColumns処理及び拡張InvMixColumns処理に用いられる行列の一例を示す図（実施例２）である。
【0060】
実施例２は、拡張AESの共通鍵を使用して演算する箇所を小さいプログラムサイズでも高速に暗号化及び復号を行えるようにするため、拡張MixColumns処理に用いられる変換行列の各要素を、最も演算のステップ数が少ない「０２」とそれに次ぐ「０３」とで構成したものである。図７に示すように、この変換行列は、１行あたり「０２」が１３個、「０３」が３個で構成されている。このとき、図７に示すように、この変換行列の逆行列（つまり、逆変換行列）も、１行あたり「０２」が１３個、「０３」が３個で構成された行列となる。このため、実施例２では、拡張InvMixColumns処理でも、演算のステップ数を少なくすることができる。
【0061】
また、後述するように、実施例２における変換行列及び逆変換行列を拡張MixColumns処理及び拡張InvMixColumns処理にそれぞれ用いることで、演算結果を再利用することができるため、暗号化及び復号の演算量を削減することが可能となる。
【0062】
なお、実施例２では、「０２」と「０３」とを用いて変換行列を構成したが、これに限られず、例えば、「０２」の代わりに「Ｘ」（Ｘは「０２」～「ＦＥ」の間の任意の偶数）を用いると共に、「０３」の代わりに「Ｘ＋１」を用いて変換行列を構成してもよい。ただし、Ｘ＝「０２」とした場合が最も演算のステップ数が少ないため、Ｘ＝「０２」とした場合が暗号化及び復号の演算量を最も削減することが可能となる。
【0063】
＜拡張MixColumns処理及び拡張InvMixColumns処理での行列演算＞
ここで、拡張MixColumns処理及び拡張InvMixColumns処理での行列演算について説明する。拡張MixColumns処理への入力をｘ、拡張MixColumns処理からの出力をｙとして、それぞれ以下で表すものとする。
ここで、拡張MixColumns処理及び拡張InvMixColumns処理での行列演算について説明する。拡張MixColumns処理への入力をｘ、拡張MixColumns処理からの出力をｙとして、それぞれ以下で表すものとする。
【0064】
ｘ＝（ｘ０，ｘ１，・・・，ｘ１５），ｘｉ∈｛０，・・・，２５５｝
ｙ＝（ｙ０，ｙ１，・・・，ｙ１５），ｙｉ∈｛０，・・・，２５５｝
なお、このとき、拡張InvMixColumns処理からの出力はｘ、拡張InvMixColumns処理への入力はｙで表される。
ｙ＝（ｙ０，ｙ１，・・・，ｙ１５），ｙｉ∈｛０，・・・，２５５｝
なお、このとき、拡張InvMixColumns処理からの出力はｘ、拡張InvMixColumns処理への入力はｙで表される。
【0065】
また、拡張MixColumns処理に用いられる変換行列を
【0066】
【数1】
【0067】
同様に、拡張InvMixColumns処理に用いられる逆変換行列を
【0068】
【数2】
【0069】
このとき、拡張MixColumns処理では、以下の式（１）により行列演算（変換）を行う。
【0070】
【数3】
【0071】
【数4】
【0072】
ここで、上記の実施例１における変換行列を用いた場合、拡張MixColumns処理では、
ｙ０＝３・ｘ０＋３・ｘ１＋２・ｘ２＋２・ｘ３＋３・ｘ４＋２・ｘ５＋３・ｘ６＋１・ｘ７＋１・ｘ８＋２・ｘ９＋１・ｘ１０＋２・ｘ１１＋３・ｘ１２＋１・ｘ１３＋２・ｘ１４＋１・ｘ１５
ｙ１＝１・ｘ０＋３・ｘ１＋３・ｘ２＋２・ｘ３＋２・ｘ４＋３・ｘ５＋２・ｘ６＋３・ｘ７＋１・ｘ８＋１・ｘ９＋２・ｘ１０＋１・ｘ１１＋２・ｘ１２＋３・ｘ１３＋１・ｘ１４＋２・ｘ１５
・・・
と計算される。
ｙ０＝３・ｘ０＋３・ｘ１＋２・ｘ２＋２・ｘ３＋３・ｘ４＋２・ｘ５＋３・ｘ６＋１・ｘ７＋１・ｘ８＋２・ｘ９＋１・ｘ１０＋２・ｘ１１＋３・ｘ１２＋１・ｘ１３＋２・ｘ１４＋１・ｘ１５
ｙ１＝１・ｘ０＋３・ｘ１＋３・ｘ２＋２・ｘ３＋２・ｘ４＋３・ｘ５＋２・ｘ６＋３・ｘ７＋１・ｘ８＋１・ｘ９＋２・ｘ１０＋１・ｘ１１＋２・ｘ１２＋３・ｘ１３＋１・ｘ１４＋２・ｘ１５
・・・
と計算される。
【0073】
また、上記の実施例１における逆変換行列を用いた場合、拡張InvMixColumns処理では、
ｘ０＝Ｆ９・ｙ０＋ＢＦ・ｙ１＋１１・ｙ２＋ＤＡ・ｙ３＋ＢＦ・ｙ４＋ＤＡ・ｙ５＋ＤＡ・ｙ６＋３２・ｙ７＋３２・ｙ８＋３２・ｙ９＋９Ｃ・ｙ１０＋９Ｃ・ｙ１１＋Ｆ９・ｙ１２＋５７・ｙ１３＋ＤＡ・ｙ１４＋Ｆ９・ｙ１５
ｘ１＝Ｆ９・ｙ０＋Ｆ９・ｙ１＋ＢＦ・ｙ２＋１１・ｙ３＋ＤＡ・ｙ４＋ＢＦ・ｙ５＋ＤＡ・ｙ６＋ＤＡ・ｙ７＋３２・ｙ８＋３２・ｙ９＋３２・ｙ１０＋９Ｃ・ｙ１１＋９Ｃ・ｙ１２＋Ｆ９・ｙ１３＋５７・ｙ１４＋ＤＡ・ｙ１５
・・・
と計算される。このように、実施例１では、拡張InvMixColumns処理において、高位の値（例えば、「Ｆ９」等）との演算が、１バイトの出力を得るために１６回（すなわち、１６バイトの出力を得るためには２５６回）行われる。このため、実施例２と比較して、演算ステップのステップ数が多くなる。
ｘ０＝Ｆ９・ｙ０＋ＢＦ・ｙ１＋１１・ｙ２＋ＤＡ・ｙ３＋ＢＦ・ｙ４＋ＤＡ・ｙ５＋ＤＡ・ｙ６＋３２・ｙ７＋３２・ｙ８＋３２・ｙ９＋９Ｃ・ｙ１０＋９Ｃ・ｙ１１＋Ｆ９・ｙ１２＋５７・ｙ１３＋ＤＡ・ｙ１４＋Ｆ９・ｙ１５
ｘ１＝Ｆ９・ｙ０＋Ｆ９・ｙ１＋ＢＦ・ｙ２＋１１・ｙ３＋ＤＡ・ｙ４＋ＢＦ・ｙ５＋ＤＡ・ｙ６＋ＤＡ・ｙ７＋３２・ｙ８＋３２・ｙ９＋３２・ｙ１０＋９Ｃ・ｙ１１＋９Ｃ・ｙ１２＋Ｆ９・ｙ１３＋５７・ｙ１４＋ＤＡ・ｙ１５
・・・
と計算される。このように、実施例１では、拡張InvMixColumns処理において、高位の値（例えば、「Ｆ９」等）との演算が、１バイトの出力を得るために１６回（すなわち、１６バイトの出力を得るためには２５６回）行われる。このため、実施例２と比較して、演算ステップのステップ数が多くなる。
【0074】
次に、上記の実施例２における変換行列を用いた場合、拡張MixColumns処理では、
ｙ０＝２・ｘ０＋２・ｘ１＋２・ｘ２＋２・ｘ３＋２・ｘ４＋２・ｘ５＋２・ｘ６＋３・ｘ７＋２・ｘ８＋２・ｘ９＋２・ｘ１０＋２・ｘ１１＋３・ｘ１２＋２・ｘ１３＋２・ｘ１４＋３・ｘ１５＝２・（ｘ０＋ｘ１＋・・・＋ｘ１５）＋ｘ７＋ｘ１２＋ｘ１５
ｙ１＝３・ｘ０＋２・ｘ１＋２・ｘ２＋２・ｘ３＋２・ｘ４＋２・ｘ５＋２・ｘ６＋２・ｘ７＋３・ｘ８＋２・ｘ９＋２・ｘ１０＋２・ｘ１１＋２・ｘ１２＋３・ｘ１３＋２・ｘ１４＋２・ｘ１５＝２・（ｘ０＋ｘ１＋・・・＋ｘ１５）＋ｘ０＋ｘ８＋ｘ１３
・・・
と計算される。このように、各ｙ０～ｙ１５の計算には２・（ｘ０＋ｘ１＋・・・＋ｘ１５）が含まれるため、２・（ｘ０＋ｘ１＋・・・＋ｘ１５）の演算結果を再利用することができる。
ｙ０＝２・ｘ０＋２・ｘ１＋２・ｘ２＋２・ｘ３＋２・ｘ４＋２・ｘ５＋２・ｘ６＋３・ｘ７＋２・ｘ８＋２・ｘ９＋２・ｘ１０＋２・ｘ１１＋３・ｘ１２＋２・ｘ１３＋２・ｘ１４＋３・ｘ１５＝２・（ｘ０＋ｘ１＋・・・＋ｘ１５）＋ｘ７＋ｘ１２＋ｘ１５
ｙ１＝３・ｘ０＋２・ｘ１＋２・ｘ２＋２・ｘ３＋２・ｘ４＋２・ｘ５＋２・ｘ６＋２・ｘ７＋３・ｘ８＋２・ｘ９＋２・ｘ１０＋２・ｘ１１＋２・ｘ１２＋３・ｘ１３＋２・ｘ１４＋２・ｘ１５＝２・（ｘ０＋ｘ１＋・・・＋ｘ１５）＋ｘ０＋ｘ８＋ｘ１３
・・・
と計算される。このように、各ｙ０～ｙ１５の計算には２・（ｘ０＋ｘ１＋・・・＋ｘ１５）が含まれるため、２・（ｘ０＋ｘ１＋・・・＋ｘ１５）の演算結果を再利用することができる。
【0075】
また、上記の実施例２における逆変換行列を用いた場合、拡張InvMixColumns処理では、
ｘ０＝２・ｙ０＋２・ｙ１＋２・ｙ２＋２・ｙ３＋３・ｙ４＋２・ｙ５＋２・ｙ６＋３・ｙ７＋２・ｙ８＋２・ｙ９＋２・ｙ１０＋２・ｙ１１＋２・ｙ１２＋２・ｙ１３＋２・ｙ１４＋３・ｙ１５＝２・（ｙ０＋ｙ１＋・・・＋ｙ１５）＋ｙ４＋ｙ７＋ｙ１５
ｘ１＝３・ｙ０＋２・ｙ１＋２・ｙ２＋２・ｙ３＋２・ｙ４＋３・ｙ５＋２・ｙ６＋２・ｙ７＋３・ｙ８＋２・ｙ９＋２・ｙ１０＋２・ｙ１１＋２・ｙ１２＋２・ｙ１３＋２・ｙ１４＋２・ｙ１５＝２・（ｙ０＋ｙ１＋・・・＋ｙ１５）＋ｙ０＋ｙ５＋ｙ８
・・・
と計算される。このように、各ｘ０～ｘ１５の計算には２・（ｙ０＋ｙ１＋・・・＋ｙ１５）が含まれるため、２・（ｙ０＋ｙ１＋・・・＋ｙ１５）の演算結果を再利用することができる。
ｘ０＝２・ｙ０＋２・ｙ１＋２・ｙ２＋２・ｙ３＋３・ｙ４＋２・ｙ５＋２・ｙ６＋３・ｙ７＋２・ｙ８＋２・ｙ９＋２・ｙ１０＋２・ｙ１１＋２・ｙ１２＋２・ｙ１３＋２・ｙ１４＋３・ｙ１５＝２・（ｙ０＋ｙ１＋・・・＋ｙ１５）＋ｙ４＋ｙ７＋ｙ１５
ｘ１＝３・ｙ０＋２・ｙ１＋２・ｙ２＋２・ｙ３＋２・ｙ４＋３・ｙ５＋２・ｙ６＋２・ｙ７＋３・ｙ８＋２・ｙ９＋２・ｙ１０＋２・ｙ１１＋２・ｙ１２＋２・ｙ１３＋２・ｙ１４＋２・ｙ１５＝２・（ｙ０＋ｙ１＋・・・＋ｙ１５）＋ｙ０＋ｙ５＋ｙ８
・・・
と計算される。このように、各ｘ０～ｘ１５の計算には２・（ｙ０＋ｙ１＋・・・＋ｙ１５）が含まれるため、２・（ｙ０＋ｙ１＋・・・＋ｙ１５）の演算結果を再利用することができる。
【0076】
したがって、実施例２では、拡張MixColumns処理及び拡張InvMixColumns処理で１６バイトの出力を得る際に、低位な２倍の積算しか出現せず、その回数もそれぞれ１回である。このため、拡張MixColumns処理及び拡張InvMixColumns処理で１６バイトの出力を得る際に、その演算量が大幅に削減される。
【0077】
＜演算量の比較＞
AESと実施例１と実施例２とで行列変換及び逆行列変換における演算量（積算の演算回数と加算の演算回数）を以下の表１に示す。
AESと実施例１と実施例２とで行列変換及び逆行列変換における演算量（積算の演算回数と加算の演算回数）を以下の表１に示す。
【0078】
【表1】
【0079】
AESでは（変換行列又は逆変換行列の１行あたりの１以外の個数）×（行数）×（１ラウンドあたりの変換又は逆変換の回数）で演算量を算出している。また、実施例２では、（変換行列又は逆変換行列の１行あたりの１以外の個数）×（行数）で演算量を算出している。上記の表１に示すように、実施例１では、拡張MixColumns処理及び拡張InvMixColumns処理における演算量が、AESのMixColumns処理及びInvMixColumns処理における演算量よりも多くなる。
【0080】
一方で、実施例２では、演算結果の再利用により、積算の演算回数は１回、加算の演算回数は行列変換及び逆行列変換共に６３回である。なお、加算の演算回数は、行列変換の場合、演算結果が再利用される部分（つまり、２・（ｘ０＋ｘ１＋・・・＋ｘ１５））の加算回数（＝１５回）と、ｙ０～ｙ１５のそれぞれで当該部分以外の加算回数（＝３回×１６）との和となる。逆行列変換についても同様である。
【0081】
このため、実施例２を適用した拡張AESでは、AES及び実施例１を適用した拡張AESと比べて、その演算量を大幅に削減することが可能である。
【0082】
＜まとめ＞
以上のように、本実施形態に係る暗号システム１０は、WBCを用いて共通鍵暗号方式の処理（共通鍵を用いた暗号化処理、共通鍵を用いた復号処理）をルックアップテーブル化することで、この共通鍵暗号方式により公開鍵暗号方式を実現することができる。このとき、この公開鍵暗号方式は、当該共通鍵暗号方式と同様以下の演算量で実現することができるため、従来の公開鍵暗号方式と比較して大幅な演算量の削減が可能になる。更に、共通鍵暗号方式として拡張AESを採用し、上記の実施例２で示した変換行列及び逆変換行列を用いた拡張MixColumns処理及び拡張InvMixColumns処理で各ラウンドを構成することで、より高いセキュリティを実現しつつ、更なる演算量の削減を実現することができる。
以上のように、本実施形態に係る暗号システム１０は、WBCを用いて共通鍵暗号方式の処理（共通鍵を用いた暗号化処理、共通鍵を用いた復号処理）をルックアップテーブル化することで、この共通鍵暗号方式により公開鍵暗号方式を実現することができる。このとき、この公開鍵暗号方式は、当該共通鍵暗号方式と同様以下の演算量で実現することができるため、従来の公開鍵暗号方式と比較して大幅な演算量の削減が可能になる。更に、共通鍵暗号方式として拡張AESを採用し、上記の実施例２で示した変換行列及び逆変換行列を用いた拡張MixColumns処理及び拡張InvMixColumns処理で各ラウンドを構成することで、より高いセキュリティを実現しつつ、更なる演算量の削減を実現することができる。
【0083】
なお、WBCには様々な方式あり、拡張AESに対してどの方式のWBCを用いてルックアップテーブル化するかによって、総テーブルサイズが異なる。一例として、AES128を拡張した拡張AES128と、AES192を拡張した拡張AES192と、AES256を拡張した拡張AES256とのそれぞれに対して従来技術のWBCでルックアップテーブル化した場合の総テーブルサイズを以下の表２に示す。なお、単位はByteである。
【0084】
【表2】
【0085】
本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更等が可能である。
【符号の説明】
【0086】
１０ 暗号システム
１０１ 公開鍵作成部
１０２ 暗号化部
１０３ 復号部
１０４ 記憶部
２０１ プロセッサ
２０２ メモリ装置
２０３ Ｉ／Ｆ
１０００ 秘密鍵
２０００ 公開暗号化鍵
３０００ 公開復号鍵
１０１ 公開鍵作成部
１０２ 暗号化部
１０３ 復号部
１０４ 記憶部
２０１ プロセッサ
２０２ メモリ装置
２０３ Ｉ／Ｆ
１０００ 秘密鍵
２０００ 公開暗号化鍵
３０００ 公開復号鍵
【図1】
【図2A】
【図2B】
【図3】
【図4】
【図5】
【図6】
【図7】