特許 7383985 情報処理装置、情報処理方法及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2023-11-13

(45)【発行日】2023-11-21

(54)【発明の名称】情報処理装置、情報処理方法及びプログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20231114BHJP

   G06F 21/62 20130101ALI20231114BHJP

   H04L 9/06 20060101ALI20231114BHJP

【ＦＩ】

G09C1/00 610Z

G06F21/62 309

H04L9/06 Z

【請求項の数】 7

(21)【出願番号】P 2019197634

(22)【出願日】2019-10-30

(65)【公開番号】P2021071570

(43)【公開日】2021-05-06

【審査請求日】2022-09-13

(73)【特許権者】

【識別番号】000005234

【氏名又は名称】富士電機株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(72)【発明者】

【氏名】高務 健二

【審査官】青木 重徳

(56)【参考文献】

【文献】特表２０１７－５０１４４５（ＪＰ，Ａ）

【文献】特表２０１８－５０８０４４（ＪＰ，Ａ）

【文献】特許第６２２２２８５（ＪＰ，Ｂ１）

【文献】堀田 智彦 ほか，ホワイトボックスＡＥＳ実装の改良，情報処理学会研究報告 コンピュータセキュリティ（ＣＳＥＣ），日本，情報処理学会 ［ｏｎｌｉｎｅ］，2017年02月23日，Vol.2017-CSEC-76 No.3，ｐ．１－８

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

Ｇ０６Ｆ ２１／６２

Ｈ０４Ｌ ９／０６

(57)【特許請求の範囲】

【請求項1】

ビットの並べ替えと乱数の排他的論理和演算とガロア体上の積算とが含まれる難読化変換を含むWhite-Box AESの演算処理をデータに対して行った演算結果が格納されたルックアップテーブルを参照して、入力されたデータに対する演算結果を取得する取得手段、を有することを特徴とする情報処理装置。

【請求項2】

前記演算処理には、互いに異なる複数の前記難読化変換が含まれる、ことを特徴とする請求項１に記載の情報処理装置。

【請求項3】

前記演算処理には、AddRoundKey処理とSubBytes処理と排他的論理和演算を除くMixColumns処理とが含まれ、
前記取得手段は、入力されたデータのうち、ShiftRows処理によって選択されたデータに対する演算結果をそれぞれ取得する、ことを特徴とする請求項１又は２に記載の情報処理装置。

【請求項4】

ｒ＋１（ただし、ｒ≧１）ラウンド目における前記演算処理には、ｒラウンド目における前記難読化変換の逆変換が含まれる、ことを特徴とする請求項３に記載の情報処理装置。

【請求項5】

前記取得手段により取得された演算結果に対して排他的論理和演算を行って、次のラウンドに入力されるデータを作成する演算手段を更に有することを特徴とする請求項４に記載の情報処理装置。

【請求項6】

ビットの並べ替えと乱数の排他的論理和演算とガロア体上の積算とが含まれる難読化変換を含むWhite-Box AESの演算処理をデータに対して行った演算結果が格納されたルックアップテーブルを参照して、入力されたデータに対する演算結果を取得する取得手順、をコンピュータが実行することを特徴とする情報処理方法。

【請求項7】

ビットの並べ替えと乱数の排他的論理和演算とガロア体上の積算とが含まれる難読化変換を含むWhite-Box AESの演算処理をデータに対して行った演算結果が格納されたルックアップテーブルを参照して、入力されたデータに対する演算結果を取得する取得手順、をコンピュータに実行させることを特徴とするプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、情報処理装置、情報処理方法及びプログラムに関する。

【背景技術】

【0002】

つながる時代の新技術に代表されるＩｏＴ（Internet of Things）では、種々様々なデバイスが通信ネットワークに接続される。これらのデバイスの多くは低コストで実現される機器でありながら、マイクロプロセッサ等を搭載してアプリケーションを実装していると共に、セキュリティ対策として各種暗号機能も実装している。

【0003】

ＡＥＳ（Advanced Encryption Standard）等の共通鍵暗号方式では、共通鍵（以下、「暗号鍵」又は単に「鍵」とも表す。）の漏洩や解読を防止することがセキュリティ要件の１つである。暗号鍵の漏洩や解読を防止するための手法の１つとして、ホワイトボックス実装（White-Box Cryptography）が知られている（例えば、特許文献１）。

【0004】

なお、関連技術として、ホワイトボックス実装に用いられるルックアップテーブルのデータサイズを小さくしたり、ホワイトボックス実装により暗号鍵を難読化したりする技術が知られている（例えば、特許文献２～４）。

【先行技術文献】

【特許文献】

【0005】

【文献】特開２０１４－１８００６１号公報

【文献】特開２０１７－４４７５７号公報

【文献】特開２０１７－１６７３９０号公報

【文献】特開２０１７－２１６６１９号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

しかしながら、汎用コンピュータ等の演算性能は日々向上しており、従来のホワイトボックス実装における暗号鍵の解読リスクも日々高まっている。

【0007】

開示の技術は、上記の点に鑑みてなされたもので、ホワイトボックス実装の暗号鍵解読に対するセキュリティを向上させることを目的とする。

【課題を解決するための手段】

【0008】

一態様における情報処理装置は、ビットの並べ替えと乱数の排他的論理和演算とガロア体上の積算とが含まれる難読化変換を含む演算処理をデータに対して行った演算結果が格納されたルックアップテーブルを参照して、入力されたデータに対する演算結果を取得する取得手段、を有することを特徴とする。

【発明の効果】

【0009】

ホワイトボックス実装の暗号鍵解読に対するセキュリティを向上させることができる。

【図面の簡単な説明】

【0010】

【図1】暗号化の１ラウンド目における１サブラウンド目の処理の一例を示す図である。

【図2】暗号化の２ラウンド目以降のラウンドにおける１サブラウンド目の処理の一例を示す図である。

【図3】本実施形態に係る暗号システムの機能構成の一例を示す図である。

【図4】本実施形態に係る暗号システムのハードウェア構成の一例を示す図である。

【図5】本実施形態に係る暗号化の１サブラウンドあたりの処理の流れを示す図である。

【図6】ｒ＋１ラウンド目の難読化変換の変形例を示す図である。

【図7】ｒ＋１ラウンド目の難読化変換の逆変換の変形例を示す図である。

【発明を実施するための形態】

【0011】

以下、本発明の実施形態について説明する。本実施形態では、ホワイトボックス実装（White-Box Cryptography）による暗号化において、ルックアップテーブル化される演算処理に難読化成分を追加することで、暗号鍵解読に対するセキュリティを向上させることができる暗号システム１０について説明する。ここで、本実施形態に係る暗号システム１０は、一般的なマイクロプロセッサ等が搭載された組み込みシステム（Embedded System）であるものとする。組み込みシステムは、例えば、産業用機器や家電製品等に内蔵され、特定の機能を実現するシステムである。具体的には、例えば、ＨＥＭＳ（Home Energy Management System）に利用されるスマートメーター等に対して、本実施形態に係る暗号システム１０を組み込むことが可能である。

【0012】

ただし、本実施形態に係る暗号システム１０は、組み込みシステムに限られず、例えば、ＰＣ（Personal Computer）やスマートフォン、タブレット端末等の各種端末又は装置であってもよい。

【0013】

＜理論的構成＞
まず、本実施形態に係る暗号化の理論的構成について説明する。本実施形態では、一例として、暗号方式としてＡＥＳ（Advanced Encryption Standard）を採用する。ただし、本実施形態は、ＡＥＳ以外であっても、ホワイトボックス実装される任意の共通鍵暗号方式に適用可能である。

【0014】

ＡＥＳをホワイトボックス実装したWhite-Box AESでは、各ラウンドで、鍵（暗号鍵）を用いた演算処理と、この演算処理の前後に追加した逆変換処理及び変換処理（ただし、１ラウンド目の場合は演算処理の後に変換処理のみが追加される。）との処理結果をルックアップテーブルで実現している。この変換処理を追加することにより鍵が難読化され、ルックアップテーブルから鍵が解読されることを防止している。

【0015】

また、White-Box AESでは、各ラウンドでのルックアップテーブルの参照処理と、このラウンドの次のラウンドでのルックアップテーブルの参照処理との間に排他的論理和の演算処理がある。このため、上記の変換処理及び逆変換処理は、排他的論理和の演算前後でも変換・逆変換の関係が成り立つ必要がある。なお、排他的論理和の演算前後でも変換・逆変換の関係が成り立つ変換処理及び逆変換処理として、例えば、上記の特許文献２～４には、乱数を用いたビットの並び替えや乱数の排他的論理和が記載されている。

【0016】

本実施形態では、変換処理及び逆変換処理として、乱数を用いたビットの並び替え及び乱数の排他的論理和に加えて、ガロア体（Galois field）上の積算（乗算）を追加する。これにより、本実施形態では、鍵をより高い強度で難読化することができるため、ホワイトボックス実装のセキュリティを向上させることが可能となる。

【0017】

なお、ＡＥＳでは、１６バイトのデータに対する処理を１つのラウンドとして、鍵のビット長に応じた回数のラウンドを繰り返し実行することで、データを暗号化する。また、１つのラウンドでは、４バイトに対する処理を１つのサブラウンドとして、４回のサブラウンドを実行する。以降では、ラウンドを表すインデックスをｒ（ただし、ｒ≧０）、サブラウンドを表すインデックスをｓ（ただし、ｓ≧０）とする。

【0018】

（１ラウンド目）
まず、本実施形態に係るWhite-Box AESによる暗号化の１ラウンド目（つまり、ｒ＝０である場合）の処理について説明する。暗号化の１ラウンド目では、１６バイトの平文を入力として、１６バイトの１ラウンド目の中間値を出力する。なお、１６バイトのデータ（平文や中間値等）のｄバイト目の１バイトデータを「ｄ－１」で表す。

【0019】

以降では、一例として、暗号化の１ラウンド目の１サブラウンド目（つまり、ｓ＝０である場合）の処理について、図１を参照しながら説明する。図１は、暗号化の１ラウンド目における１サブラウンド目の処理の一例を示す図である。

【0020】

図１に示すように、１ラウンド目の１サブラウンド目では、例えば、１６バイトの平文のうち、「０」、「５」、「１０」及び「１５」のデータが選択され、これらの選択されたデータ（つまり、４バイトのデータ）に対して処理が行われる。この４バイトのデータを選択する処理は、ShiftRows処理と呼ばれる。なお、ShiftRows処理では、２サブラウンド目で１サブラウンド目とは異なる４バイトのデータが選択され、３サブラウンド目で１～２サブラウンド目とは異なる４バイトのデータが選択され、４サブラウンド目で１～３サブラウンド目とは異なる４バイトのデータが選択される。具体的には、例えば、２サブラウンド目では「４」、「９」、「１４」及び「３」のデータが選択され、３サブラウンドでは「８」、「１３」、「２」及び「７」のデータが選択され、４サブラウンドでは「１２」、「１」、「６」及び「１１」のデータが選択される。以降では、ShiftRows処理で選択された４バイトのデータのうちの１バイトのデータを「選択データ」とも表す。

【0021】

このとき、本実施形態に係るWhite-Box AESの１ラウンド目では、選択データ（図１に示す例では、「０」、「５」、「１０」及び「１５」のデータ）のそれぞれに対するAddRoundKey処理と、SubBytes処理と、排他的論理和演算を除くMixColumns処理と、１ラウンド目の難読化変換とをルックアップテーブル（ＬＵＴ：Lookup Table）により実現する。なお、MixColumns処理は、SubBytes処理の出力結果に対してガロア体上の積算（図１中では、ガロア体上の積算は「×」で表されている。）を４回行って４バイトのデータを出力する処理と、難読化変換の処理結果に対して排他的論理和演算を行って４バイトのデータを出力する処理とで構成される。

【0022】

ここで、図１における各記号は以下を意味する。

【0023】

Ｔ：ｊ＝０，１，２，３に対して添字をｓ，ｊ，ｒとして、ｒ＋１ラウンド目のｓ＋１サブラウンド目におけるｊ番目の選択データに対するルックアップテーブル
ｋ：添字をｔ（ただし、ｔ＝１６ｒ＋４ｓ＋５ｊ）として、平文のｄ（ただし、ｄは、ｔを１６で割った余り）バイト目の選択データに対する鍵成分
ＳＢｏｘ（・）：SubBytes処理を実行する関数。なお、図中では、「ＳＢｏｘ（）」と表記している。

【0024】

Ｓｏｒｔ（・，ｈ）：８ビットのデータとパラメータｈとを入力として、このデータの各ビット値を並べ替えて８ビットのデータを出力する関数。なお、図中では、「Ｓｏｒｔ（ｈ）」と表記している。

【0025】

ｈ：８ビットのデータを８ビットのデータに並べ替える際の組み合わせを表すパラメータ。また、添字は、MixColumns処理に含まれる積算のインデックスｍ＝０，１，２，３に対して添字をｓ，ｍ，ｒとして、ｒ＋１ラウンド目のｓ＋１サブラウンド目におけるMixColumns処理のｍ番目の積算に対応するパラメータであることを表す。なお、８ビットのデータを並べ替える際の組み合わせ数は８！であるため、ｈは１６（≒Ｌｏｇ_２（８！））ビットデータで表される。したがって、Ｓｏｒｔ（・，ｈ）のセキュリティ強度は１６ビット強度である。

【0026】

ｉ：Ｓｏｒｔ（・，ｈ）の処理結果に対して排他的論理和で演算される乱数。また、添字は、ｓ，ｍ，ｊ，ｒとして、ｒ＋１ラウンド目のｓ＋１サブラウンド目におけるｊ番目の選択データに対するMixColumns処理のｍ番目の積算に対応する乱数であることを表す。なお、ｉは８ビットデータである。したがって、ｉのセキュリティ強度は８ビット強度である。

【0027】

ｕ：ｉを排他的論理和で演算した結果に対して積算される値（ただし、ｕ≠０、かつ、逆元ｕ^－１が存在する値）。なお、ｕは８ビットデータである。ここで、ガロア体上の積算は既約多項式上での乗算に相当し、既約多項式上での乗算では、その演算過程で常数（つまり、既約多項式の定数部分）を用いるため、常数に応じた結果が得られる。他方で、逆元ｕ^－１が存在するためには既約多項式の常数は特定の値である必要があり、利用可能な常数の種類は３０種類（≒２^５）である。このため、ｕのセキュリティ強度は８＋５＝１３ビット強度である。

【0028】

以上により、難読化した鍵（つまり、MixColumns処理の排他的論理和演算の対象となるデータ）のセキュリティ強度は、１６＋８＋１３＝３７ビット強度となる。上述したように、本実施形態に係るWhite-Box AESの１ラウンド目では、選択データに対するAddRoundKey処理と、SubBytes処理と、排他的論理和演算を除くMixColumns処理と、難読化変換とをルックアップテーブルにより実現する。

【0029】

したがって、８ビットの任意のデータをａとした場合、ルックアップテーブルＴ_{ｓ，ｊ，０}には、以下の式（１）によって演算された演算結果（つまり、データａに対して、AddRoundKey処理と、SubBytes処理と、排他的論理和演算を除くMixColumns処理と、１ラウンド目の難読化変換とを行った演算結果）が格納されている。

【0030】

【数1】

ここで、
（ｃ_０，０，ｃ_１，０，ｃ_２，０，ｃ_３，０）＝（２，１，１，３），
（ｃ_０，１，ｃ_１，１，ｃ_２，１，ｃ_３，１）＝（３，２，１，１），
（ｃ_０，２，ｃ_１，２，ｃ_２，２，ｃ_３，２）＝（１，３，２，１），
（ｃ_０，３，ｃ_１，３，ｃ_２，３，ｃ_３，３）＝（１，１，３，２）
である。以降では、ルックアップテーブルＴに格納されている演算結果を「演算値」とも表す。なお、この演算値は８ビットデータである。

【0031】

（ｒ＋１ラウンド目）
次に、本実施形態に係るWhite-Box AESによる暗号化の２ラウンド目以降のラウンド（つまり、ｒ≧１である場合）の処理について説明する。暗号化の２ラウンド目以降のラウンドでは、１つ前のラウンドで出力された中間値を入力として、１６バイトの中間値を出力する。

【0032】

以降では、一例として、暗号化のｒ＋１ラウンド目の１サブラウンド目（つまり、ｓ＝０である場合）の処理について、図２を参照しながら説明する。図２は、暗号化の２ラウンド目以降のラウンドにおける１サブラウンド目の処理の一例を示す図である。

【0033】

図２に示すように、ｒ＋１ラウンド目の１サブラウンド目では、例えば、ｒラウンド目の中間値のうち、「０」、「５」、「１０」及び「１５」のデータのそれぞれがShiftRows処理により選択データとして選択され、これらの選択データに対して処理が行われる。

【0034】

このとき、本実施形態に係るWhite-Box AESでは、選択データ（図２に示す例では、「０」、「５」、「１０」及び「１５」のデータ）のそれぞれに対する逆変換と、AddRoundKey処理と、SubBytes処理と、排他的論理和演算を除くMixColumns処理と、ｒ＋１ラウンド目の難読化変換とをルックアップテーブルにより実現する。なお、逆変換は、ｒラウンド目の難読化変換の逆変換である。

【0035】

ここで、図２における各記号は以下を意味する。なお、Ｔ、ｋ、ＳＢｏｘ（・）、Ｓｏｒｔ（・，ｈ）、ｈ、ｉ及びｕは、図１と同様である。ただし、ｒラウンド目の難読化変換の逆変換におけるｉは、ｒラウンド目の難読化変換におけるｉから決定される。具体的には、ｒラウンド目の難読化変換の逆変換におけるｉ_{ｓ，ｊ，４，ｒ－１}は、ｒラウンド目の難読化変換におけるｉ_{ｓ，ｊ，０，ｒ－１}とｉ_{ｓ，ｊ，１，ｒ－１}とｉ_{ｓ，ｊ，２，ｒ－１}とｉ_{ｓ，ｊ，３，ｒ－１}との排他的論理和である。

【0036】

ｕ^－１：同一添字のｕの逆元。

【0037】

Ｒｖｒｓ（・，ｈ）：同一添字のｈをパラメータとしたＳｏｒｔ（・，ｈ）の逆変換。なお、図中では、「Ｒｖｒｓ（ｈ）」と表記している。

【0038】

以上により、１ラウンド目と同様に、難読化した鍵（つまり、MixColumns処理の排他的論理和演算の対象となるデータ）のセキュリティ強度は、ｒラウンド目の難読化変換に対する逆変換のセキュリティ強度（３７ビット強度）と、ｒ＋１ラウンド目の難読化変換のセキュリティ強度（３７ビット強度）とを合計して７４ビット強度となる。上述したように、本実施形態に係るWhite-Box AESのｒ＋１ラウンド目（ただし、ｒ≧１）では、ｒラウンド目の難読化変換の逆変換と、AddRoundKey処理と、SubBytes処理と、排他的論理和演算を除くMixColumns処理と、ｒ＋１ラウンド目の難読化変換とをルックアップテーブルにより実現する。

【0039】

したがって、８ビットの任意のデータをａとした場合、ルックアップテーブルＴ_{ｓ，ｊ，ｒ}には、以下の式（２）で計算されるａ´を用いて以下の式（３）によって演算された演算結果（つまり、データａに対して、ｒラウンド目の難読化変換の逆変換と、AddRoundKey処理と、SubBytes処理と、排他的論理和演算を除くMixColumns処理と、ｒ＋１ラウンド目の難読化変換とを行った演算結果）が演算値として格納されている。

【0040】

【数2】

【0041】

【数3】

また、上述したように、ｉ_{ｓ，ｊ，４，ｒ－１}は、以下の式（４）によって決定される。

【0042】

【数4】

なお、
（ｃ_０，０，ｃ_１，０，ｃ_２，０，ｃ_３，０）＝（２，１，１，３），
（ｃ_０，１，ｃ_１，１，ｃ_２，１，ｃ_３，１）＝（３，２，１，１），
（ｃ_０，２，ｃ_１，２，ｃ_２，２，ｃ_３，２）＝（１，３，２，１），
（ｃ_０，３，ｃ_１，３，ｃ_２，３，ｃ_３，３）＝（１，１，３，２）
である。

【0043】

なお、上記の図２はｒ＋１ラウンド目が最終ラウンドでない場合（つまり、ｒ＋１ラウンド目が中間ラウンドである場合）の処理を示している。最終ラウンドでは、図２のMixColumns処理と難読化変換とは実行されない。すなわち、最終ラウンドでは、最終ラウンドの１つ前のラウンドでの難読化変換の逆変換と、AddRoundKey処理と、SubBytes処理とが実行される。そして、最終ラウンドで出力される中間値が暗号文となる。したがって、本実施形態に係るWhite-Box AESの最終ラウンドでは、最終ラウンドの１つ前のラウンドでの難読化変換の逆変換とAddRoundKey処理とSubBytes処理とがルックアップテーブルにより実現される。なお、最終ラウンドでは、最初のラウンド（ｒ＝０のラウンド）と同様に、セキュリティ強度は３７ビット強度である。

【0044】

＜機能構成＞
次に、本実施形態に係る暗号システム１０の機能構成について、図３を参照しながら説明する。図３は、本実施形態に係る暗号システム１０の機能構成の一例を示す図である。

【0045】

図３に示すように、本実施形態に係る暗号システム１０は、選択部１０１と、テーブル参照部１０２と、排他的論理和演算部１０３と、記憶部１０４とを有する。

【0046】

記憶部１０４には、ルックアップテーブルＴ_{ｓ，ｊ，ｒ}が記憶されている。なお、記憶部１０４には、暗号化に用いる種々のデータ（例えば、平文、中間値、暗号文等）が記憶されてもよい。

【0047】

選択部１０１は、ｒ＝０の場合は、サブラウンド毎に平文から選択データを選択する。また、選択部１０１は、ｒ≧１の場合は、サブラウンド毎にｒラウンド目の中間値から選択データを選択する。

【0048】

テーブル参照部１０２は、記憶部１０４に記憶されているルックアップテーブルＴ_{ｓ，ｊ，ｒ}を参照して、選択データに対応する演算値を取得する。ここで、上記の式（１）及び式（２）に示すように、１つの選択データ（つまり、１バイトのデータ）から４つの演算値が取得される。すなわち、MixColumns処理に含まれる積算のインデックスｍ＝０，１，２，３の各々に対応する演算値が取得される。

【0049】

排他的論理和演算部１０３は、ｒ＋１（ただし、ｒ≧０）ラウンドにおけるサブラウンド毎に、互いに対応する演算値の排他的論理和を演算する。

【0050】

具体的には、排他的論理和演算部１０３は、ｒ＋１ラウンドにおけるｓ＋１サブラウンドにおいて、ｊ＝０番目の選択データのｍ＝０に対応する演算値と、ｊ＝１番目の選択データのｍ＝０に対応する演算値と、ｊ＝２番目の選択データのｍ＝０に対応する演算値と、ｊ＝３番目の選択データのｍ＝０に対応する演算値との排他的論理和を演算して、ｒ＋１ラウンド目の中間値の４ｓ＋１バイト目のデータとする。同様に、排他的論理和演算部１０３は、ｒ＋１ラウンドにおけるｓ＋１サブラウンドにおいて、ｊ＝０番目の選択データのｍ＝１に対応する演算値と、ｊ＝１番目の選択データのｍ＝１に対応する演算値と、ｊ＝２番目の選択データのｍ＝１に対応する演算値と、ｊ＝３番目の選択データのｍ＝１に対応する演算値との排他的論理和を演算して、ｒ＋１ラウンド目の中間値の４ｓ＋２バイト目のデータとする。以降も同様に、排他的論理和演算部１０３は、ｒ＋１ラウンドにおけるｓ＋１サブラウンドにおいて、ｊ＝０番目の選択データのｍ＝２に対応する演算値と、ｊ＝１番目の選択データのｍ＝２に対応する演算値と、ｊ＝２番目の選択データのｍ＝２に対応する演算値と、ｊ＝３番目の選択データのｍ＝２に対応する演算値との排他的論理和を演算して、ｒ＋１ラウンド目の中間値の４ｓ＋３バイト目のデータとする。同様に、排他的論理和演算部１０３は、ｒ＋１ラウンドにおけるｓ＋１サブラウンドにおいて、ｊ＝０番目の選択データのｍ＝３に対応する演算値と、ｊ＝１番目の選択データのｍ＝３に対応する演算値と、ｊ＝２番目の選択データのｍ＝３に対応する演算値と、ｊ＝３番目の選択データのｍ＝３に対応する演算値との排他的論理和を演算して、ｒ＋１ラウンド目の中間値の４ｓ＋４バイト目のデータとする。これにより、ｒ＋１（ただし、ｒ≧０）ラウンド目の中間値が得られる。

【0051】

＜ハードウェア構成＞
次に、本実施形態に係る暗号システム１０のハードウェア構成について、図４を参照しながら説明する。図４は、本実施形態に係る暗号システム１０のハードウェア構成の一例を示す図である。

【0052】

図４に示すように、本実施形態に係る暗号システム１０は、プロセッサ２０１と、メモリ装置２０２と、Ｉ／Ｆ２０３とを有する。これら各ハードウェアは、それぞれがバス２０４を介して通信可能に接続されている。

【0053】

プロセッサ２０１は、例えば、ＣＰＵ（Central Processing Unit）やＭＰＵ（Micro Processing Unit）等の各種演算装置である。本実施形態に係る暗号システム１０が有する各機能部（選択部１０１、テーブル参照部１０２及び排他的論理和演算部１０３）は、メモリ装置２０２に格納された１以上のプログラムがプロセッサ２０１に実行させる処理により実現される。

【0054】

メモリ装置２０２は、例えば、ＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）、フラッシュメモリ等の各種記憶装置である。本実施形態に係る暗号システム１０が有する記憶部１０４は、例えば、メモリ装置２０２を用いて実現可能である。

【0055】

Ｉ／Ｆ２０３は、暗号システム１０にデータを入力したり、暗号システム１０からデータを出力したりするためのインタフェースである。

【0056】

本実施形態に係る暗号システム１０は、図４に示すハードウェア構成を有することにより、各種処理を実現することができる。なお、図４に示すハードウェア構成は一例であって、本実施形態に係る暗号システム１０は、複数のプロセッサ２０１を有していてもよいし、複数のメモリ装置２０２を有していてもよい。

【0057】

＜処理の流れ＞
次に、本実施形態に係る暗号化の処理の流れについて説明する。上述したように、本実施形態に係るWhite-Box AESは、鍵のビット長に応じた回数のラウンドを繰り返し実行することで、データ（平文）を暗号化する。また、１つのラウンドは、４つのサブラウンドで構成されている。そこで、以降では、暗号化のｒ＋１（ただし、ｒ≧０）ラウンド目のｓ＋１（ただし、ｓ≧０）サブラウンド目の処理の流れについて、図５を参照しながら説明する。図５は、本実施形態に係る暗号化の１サブラウンドあたりの処理の流れを示す図である。

【0058】

まず、選択部１０１は、ｒ＋１ラウンド目のｓ＋１ラウンド目における選択データを選択する（ステップＳ１０１）。ここで、選択部１０１は、ｒ＝０である場合は１６バイトの平文から４つの選択データを選択し、ｒ≧１である場合は１６バイトのｒラウンド目の中間値から４つの選択データを選択する。なお、上述したように、選択データは１バイトのデータである。

【0059】

次に、テーブル参照部１０２は、上記のステップＳ１０１で選択された選択データ毎に、記憶部１０４に記憶されているルックアップテーブルＴ_{ｓ，ｊ，ｒ}を参照して、当該選択データに対応する演算値を取得する（ステップＳ１０２）。

【0060】

そして、排他的論理和演算部１０３は、上記のステップＳ１０２でルックアップテーブルＴ_{ｓ，ｊ，ｒ}から取得された演算値を用いて、排他的論理和を演算する（ステップＳ１０３）。これにより、ｒ＋１ラウンド目の中間値が得られる。

【0061】

以上により、本実施形態に係る暗号システム１０は、ｒ＋１（ただし、ｒ≧０）ラウンド目のｓ＋１（ただし、ｓ≧０）サブラウンド目の処理を実行することができる。したがって、各ラウンドにおいて、サブラウンド毎に、上記のステップＳ１０１～ステップＳ１０３が繰り返し実行されることで、平文が暗号文に暗号化される。しかも、本実施形態に係る暗号システム１０では、上述したように、最初のラウンド及び最終ラウンドでは３７ビットのセキュリティ強度、中間ラウンドでは７４ビット強度で鍵を難読化することができる。

【0062】

なお、本実施形態では、平文を暗号化する場合について説明したが、暗号文を復号する場合については、暗号化の逆変換となるように各ラウンドを構成することで実現することができる。具体的には、ShiftRows処理の代わりにInvShiftRows処理、SubBytes処理の代わりにInvSubBytes処理、MixColumns処理の代わりにInvMixColumns処理を用いる。また、復号の１ラウンド目のAddRoundKey処理の前に暗号化の最終ラウンドにおける難読化変換の逆変換を行うようにすると共に、復号の最終ラウンドではInvMixColumns処理の排他的論理和演算の前に難読化変換を行わないようにする。これにより、暗号文を復号することが可能になる。

【0063】

＜変形例＞
最後に、本実施形態に係るWhite-Box AESの変形例について説明する。上記で説明したWhite-Box AESは３７ビットのセキュリティ強度で鍵を難読化することができるが、変形例では、複数の難読化変換を合成してルックアップテーブル化することで、更に高いセキュリティ強度で鍵を難読化する場合について説明する。

【0064】

ここで、ガロア体上の積算とビットの並べ替えとで構成される式は等価な式に変形することができない。このため、図１及び図２で説明した難読化変換をＮ（Ｎは２以上の任意の整数）回合成してルックアップテーブル化することで、３７＜Ｌ≦３７×Ｎ、かつ、３７＜Ｌ≦２５６！として、Ｌビット強度のセキュリティ強度を実現することが可能である。

【0065】

具体的には、図６に示すように、図１及び図２で説明した難読化変換をＮ回合成することで、ｒ＋１（ただし、ｒ≧０）ラウンド目の難読化変換とする。また、ｒ＋１（ただし、ｒ≧１）ラウンド目の逆変換については、ｒ＋１ラウンド目の難読化変換の逆変換となるように、図２で説明した難読化変換の逆変換をＮ回合成する。なお、ｎ＝１，・・・，Ｎとして、ｉ等には各ｎでそれぞれ異なる乱数が用いられる（ただし、一部のｉが互いに同一値であってもよい。）。

【0066】

これにより、Ｌビット強度のセキュリティ強度を実現することが可能となる。特に、Ｎ≧４とすることで、ＮＩＣＴ（National Institute of Information and Communications Technology）等で２０３１年以降に求められているセキュリティ強度（１２８ビット）を満たすことが可能となる。

【0067】

本発明は、具体的に開示された上記の実施形態に限定されるものではなく、特許請求の範囲から逸脱することなく、種々の変形や変更、他の技術との組み合わせ等が可能である。

【符号の説明】

【0068】

１０ 暗号システム
１０１ 選択部
１０２ テーブル参照部
１０３ 排他的論理和演算部
１０４ 記憶部
２０１ プロセッサ
２０２ メモリ装置
２０３ Ｉ／Ｆ
２０４ バス

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】