知財求人 - 知財ポータルサイト「IP Force」
特許7428239メモリ処理装置、メモリ検証装置、メモリ更新装置、メモリ保護システム、方法及びプログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-01-29
(45)【発行日】2024-02-06
(54)【発明の名称】メモリ処理装置、メモリ検証装置、メモリ更新装置、メモリ保護システム、方法及びプログラム
(51)【国際特許分類】
G06F 12/14 20060101AFI20240130BHJP
G06F 21/79 20130101ALI20240130BHJP
【ＦＩ】
G06F12/14 510A
G06F21/79
【請求項の数】
17
(21)【出願番号】P 2022516561
(86)(22)【出願日】2020-04-23
(86)【国際出願番号】 JP2020017420
(87)【国際公開番号】W WO2021214922
(87)【国際公開日】2021-10-28
【審査請求日】2022-10-19
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100103894
【弁理士】
【氏名又は名称】家入 健
(72)【発明者】
【氏名】向井 明子
(72)【発明者】
【氏名】峯松 一彦
(72)【発明者】
【氏名】本間 尚文
(72)【発明者】
【氏名】上野 嶺
【審査官】岸野 徹
(56)【参考文献】
【文献】特表２０１４－５２３０２０（ＪＰ，Ａ）
【文献】米国特許出願公開第２００４／０１０７３４１（ＵＳ，Ａ１）
【文献】特開２０１６－０２１２２４（ＪＰ，Ａ）
【文献】国際公開第２０１３／０６５２４１（ＷＯ，Ａ１）
【文献】米国特許出願公開第２０１９／００４３６００（ＵＳ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ １２／１４
Ｇ０６Ｆ ２１／７９
(57)【特許請求の範囲】
【請求項1】
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、
を備えるメモリ処理装置。
【請求項2】
前記ノード生成手段は、前記平文と前記タグと前記ローカルカウンタとを組み合わせて前記木構造のリーフノードを生成するリーフノード生成手段と、
前記タグと前記ローカルカウンタとを組み合わせて前記木構造の中間ノードを生成する中間ノード生成手段と、
前記タグと前記ローカルカウンタとを組み合わせて前記木構造のルートノードを生成するルートノード生成手段と、
を備える、
請求項１に記載のメモリ処理装置。
【請求項3】
前記タグ生成手段は、前記部分更新可能タグを出力可能なメッセージ認証コードに前記ナンス及び複数の前記子ノードの前記定数を入力し、認証暗号に前記ナンス及び前記平文を入力することによって、検証対象の暗号文及び前記タグを生成し、前記リーフノード生成手段は、前記暗号文と前記タグと前記ローカルカウンタとを組み合わせて前記リーフノードを生成する、
請求項２に記載のメモリ処理装置。
【請求項4】
前記部分更新可能タグを出力可能なメッセージ認証コードは、検証対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果の排他的論理和を取ることで認証用タグを生成する部分更新可能タグを出力可能なメッセージ認証コードであり、前記認証暗号は、暗号化対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力と出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して暗号文を生成し、平文ブロックを用いて平文のチェックサムを算出し、前記チェックサムを、ブロック暗号の入力及び出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して認証用タグを生成する認証暗号である、
請求項３に記載のメモリ処理装置。
【請求項5】
前記部分更新可能タグを出力可能なメッセージ認証コードは、検証対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にブロック毎に異なる定数を入力する形の暗号化手法により暗号化し、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスを入力する形の暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果とナンスの暗号化結果との排他的論理和を取ることで認証用タグを生成する部分更新可能タグを出力可能なメッセージ認証コードであり、前記認証暗号は、暗号化対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスとブロック毎に異なる定数とを入力する形の暗号化手法により暗号化して暗号文を生成し、平文ブロックを用いて平文のチェックサムを算出し、前記チェックサムを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスとブロック毎に異なる定数とを入力する形の暗号化手法により暗号化して認証用タグを生成する認証暗号である、
請求項３に記載のメモリ処理装置。
【請求項6】
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、
を備えるメモリ検証装置。
【請求項7】
前記タグ検証手段は、前記木構造において、検証対象の暗号文が含まれる前記リーフノードから前記ルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有のメモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成し、前記ナンスと前記暗号文と前記検証に用いられるタグとを認証暗号に入力して、前記平文が改ざんされていないかを検証することにより、前記暗号文が改ざんされていないかを検証する、請求項６に記載のメモリ検証装置。
【請求項8】
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、
を備えるメモリ更新装置。
【請求項9】
前記メモリ検証手段は、前記木構造において、更新対象の暗号文が含まれる前記リーフノードから前記ルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有のメモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成し、前記ナンスと前記暗号文と前記検証に用いられるタグとを認証暗号に入力して、前記平文が改ざんされていないかを検証することにより、前記暗号文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、前記タグ更新手段は、前記検証結果が改ざんの検知がないことを示す場合に、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力し、前記ナンスと更新対象の平文とを認証暗号に入力することで暗号文及び更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する、
請求項８に記載のメモリ更新装置。
【請求項10】
メモリを保護するために構成される木構造の各ノードに、ノード固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、
を備えるメモリ保護システム。
【請求項11】
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入手することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入手することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、
をさらに備える請求項１０に記載のメモリ保護システム。
【請求項12】
コンピュータが、
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当て、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成し、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成する、
メモリ処理方法。
【請求項13】
コンピュータが、
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証する、
メモリ検証方法。
【請求項14】
コンピュータが、
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新し、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する、
メモリ更新方法。
【請求項15】
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるステップと、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するステップと、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するステップと、
をコンピュータに実行させるプログラム。
【請求項16】
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するステップと、
をコンピュータに実行させるプログラム。
【請求項17】
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するステップと、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するステップと、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するステップと、
をコンピュータに実行させるプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、メモリ処理装置、メモリ検証装置、メモリ更新装置、メモリ保護システム、方法及びプログラムに関する。
【背景技術】
【0002】
様々なデバイスがネットワークに接続している昨今、デバイスの格納データの改ざん検知や秘匿などのメモリ保護技術が重要となっている。この技術に関連し、特許文献１、特許文献２、特許文献３、非特許文献１及び非特許文献２は、メモリ保護のために、対象メモリをリーフノードとした木構造を構成している。
【先行技術文献】
【特許文献】
【0003】
【文献】米国特許第４３０９５６９号明細書
【文献】米国特許第７４５１３１０号明細書
【文献】米国特許第９０７６０１９号明細書
【非特許文献】
【0004】
【文献】Shay Gueron: A Memory Encryption Engine Suitable for General Purpose Processors. IACR Cryptology ePrint Archive 2016: 204 (2016)
【文献】Intel SGX Tutorial (Reference Number: 332680-002) presented at ISCA 2015
【発明の概要】
【発明が解決しようとする課題】
【0005】
上記の特許文献１にかかる技術では、木構造におけるハッシュ生成等について処理の並列化が不可能であるため、効率的な処理を行うことができないおそれがあるという課題がある。そして、上記の特許文献２、特許文献３、非特許文献１及び非特許文献２にかかる技術によって、この課題が解決され得る。しかしながら、並列化が可能になったとはいえ、メモリの読み出しや書き込みはより高速であることが望ましい。
【0006】
本開示の目的は、このような課題を解決するためになされたものであり、メモリ保護のために木構造を用いる構成において、メモリの書き込み時に必要な処理量を削減することが可能なメモリ処理装置、メモリ検証装置、メモリ更新装置、メモリ保護システム、方法及びプログラムを提供することにある。
【課題を解決するための手段】
【0007】
本開示にかかるメモリ処理装置は、メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、を備える。
【0008】
本開示にかかるメモリ検証装置は、メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、を備える。
【0009】
本開示にかかるメモリ更新装置は、メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、を備える。
【0010】
本開示にかかるメモリ保護システムは、メモリを保護するために構成される木構造の各ノードに、ノード固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、を備える。
【0011】
本開示にかかるメモリ処理方法は、メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当て、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成し、前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成する。
【0012】
本開示にかかるメモリ検証方法は、メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証する。
【0013】
本開示にかかるメモリ更新方法は、メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新し、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する。
【0014】
本開示にかかるプログラムは、メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるステップと、前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するステップと、前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するステップと、をコンピュータに実行させる。
【0015】
本開示にかかるプログラムは、メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するステップと、をコンピュータに実行させる。
【0016】
本開示にかかるプログラムは、メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するステップと、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するステップと、前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するステップと、をコンピュータに実行させる。
【発明の効果】
【0017】
本開示によれば、メモリ保護のために木構造を用いる構成において、メモリの書き込み時に必要な処理量を削減することが可能なメモリ処理装置、メモリ検証装置、メモリ更新装置、メモリ保護システム、方法及びプログラムを提供できる。
【図面の簡単な説明】
【0018】
【図1】メモリ保護システムの構成例を示すブロック図である。
【図2】メモリ構造初期化装置の構成例を示すブロック図である。
【図3】メモリ検証装置の構成例を示すブロック図である。
【図4】メモリ更新装置の構成例を示すブロック図である。
【図5】メモリ構造初期化装置の動作を示すフローチャートである。
【図6】メモリ検証装置の動作を示すフローチャートである。
【図7】メモリ更新装置の動作を示すフローチャートである。
【図8】第１の実施形態にかかるメモリ保護システムが構成する木構造の例を示す図である。
【図9】第１の実施形態にかかるメモリ検証装置におけるタグ検証部によって生成されるパスの例を示す図である。
【図10】Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣの例を示す図である。
【図11】第２の実施形態にかかるメモリ保護システムが構成する木構造の例を示す図である。
【図12】第３の実施形態にかかるメモリ保護システムが構成する木構造の例を示す図である。
【図13】第４の実施形態にかかるメモリ保護システムで用いられるＭＡＣの演算の概略を示す図である。
【図14】第４の実施形態にかかるメモリ保護システムで用いられるＡＥの演算の概略を示す図である。
【図15】第５の実施形態にかかるメモリ保護システムで用いられるＭＡＣの演算の概略を示す図である。
【図16】第５の実施形態にかかるメモリ保護システムで用いるＡＥの演算の概略を示す図である。
【図17】第６の実施形態にかかるメモリ処理装置の構成を示す図である。
【図18】各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。
【発明を実施するための形態】
【0019】
（本開示にかかる実施形態の概要）
本開示の実施の形態の説明に先立って、本開示にかかる実施の形態の概要について説明する。なお、以下、本開示の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
本開示の実施の形態の説明に先立って、本開示にかかる実施の形態の概要について説明する。なお、以下、本開示の実施形態を説明するが、以下の実施形態は請求の範囲にかかる発明を限定するものではない。また、実施形態の中で説明されている特徴の組み合わせの全てが発明の解決手段に必須であるとは限らない。
【0020】
ＩｏＴ（Internet of Things）機器など、様々なデバイスがネットワークに接続している昨今、デバイスへの攻撃は、そのデバイスを踏み台にネットワークを経由することで、より大規模な攻撃に繋がる可能性がある。したがって、デバイスの格納データの改ざん検知や秘匿などのメモリ保護技術は、そのデバイスだけでなく、デバイスと繋がるネットワーク上の安全性を保つ上で重要である。
【0021】
加えて近年、不揮発性メモリの需要が増加しており、電源を遮断している間もメモリが攻撃に晒される可能性が高まっているという背景からも、更に、メモリ保護技術は、重要となっている。一方、メモリ保護技術においては、近年のメモリの大容量化に伴い、大規模データのごく一部分にアクセスする場合に、アクセス部分のみの改ざん検知を効率的に行うことが求められる。
【0022】
また、メモリ保護技術においては、メモリ上にＯｎ－ｃｈｉｐとＯｆｆ－ｃｈｉｐという２つの領域を仮定する。Ｏｎ－ｃｈｉｐは、セキュアな領域である。したがって、Ｏｎ－ｃｈｉｐに格納されたデータに対する、攻撃者による盗聴及び改ざんは不可能である。一方、Ｏｆｆ－ｃｈｉｐはセキュアではない領域である。したがって、Ｏｆｆ－ｃｈｉｐに格納されたデータに対する、攻撃者による盗聴及び改ざんは可能である。例えば、Ｏｎ－ｃｈｉｐはＣＰＵ（Central Processing Unit）内のメモリ等により実現され、Ｏｆｆ－ｃｈｉｐは主記憶装置又は補助記憶装置等により実現される。ここで、Ｏｆｆ－ｃｈｉｐと比較してＯｎ－ｃｈｉｐの実現コストの方が圧倒的に大きいため、より少ないＯｎ－ｃｈｉｐで、大規模データの一部分の改ざん検知を行いたいという課題がある。
【0023】
この課題を解決するメモリ保護技術の例として、特許文献１、特許文献２、特許文献３、非特許文献１及び非特許文献２にかかる技術が挙げられる。上述したように、特許文献１、特許文献２、特許文献３、非特許文献１及び非特許文献２は、メモリ保護のために、対象メモリをリーフノードとした木構造を構成している。ここで、木構造を構成するにあたって用いられる要素技術として、メッセージ認証コード（Message Authentication Code；ＭＡＣ）及び認証暗号（Authenticated Encryption；ＡＥ）が挙げられる。
【0024】
メッセージ認証コード（ＭＡＣ）とは、通信を行う二者間で事前に共有された秘密鍵を用いて、平文メッセージに対して、改ざん検知用の認証タグ計算を行う技術である。通信路にＭＡＣを適用することにより、平文メッセージに対する不正な改ざんの検知が可能となる。木構造を用いたメモリ保護技術においては、Ｏｎ－ｃｈｉｐに秘密鍵を格納し、Ｏｆｆ－ｃｈｉｐに平文メッセージと認証タグとを格納することで、平文メッセージの改ざん検知を行うことができる。
【0025】
認証暗号（ＡＥ）とは、通信を行う二者間で事前に共有された秘密鍵を用いて、平文メッセージに対して、暗号化及び改ざん検知用の認証タグ計算を行う技術である。通信路に認証暗号を適用することにより、盗聴に対する内容の秘匿と、暗号文に対する不正な改ざんの検知とが可能となり、結果として通信内容に対して強力な保護が実現される。木構造を用いたメモリ保護技術においては、ＭＡＣと同様に、Ｏｎ－ｃｈｉｐに秘密鍵を格納し、Ｏｆｆ－ｃｈｉｐに暗号文と認証タグとを格納することで、平文メッセージの秘匿と改ざん検知とを行うことができる。
【0026】
ここで、上述したように、特許文献１にかかる技術では、木構造におけるハッシュ生成等について処理の並列化が不可能であるという課題がある。そして、特許文献２、特許文献３、非特許文献１及び非特許文献２にかかる技術によって、この課題が解決され得る。しかしながら、上記の２つの特許文献と２つの非特許文献によって並列化が可能になったとはいえ、メモリの読み出しや書き込みはより高速であることが望ましい。更に、昨今のメモリ大容量化に伴い、木構造における分岐数が増える可能性が考えられる。そして分岐数が増えると、木構造の各ノードで必要な処理量が増大する、このため、並列化可能である特許文献２、特許文献３、非特許文献１及び非特許文献２の木構造においても、メモリの読み出しと書き込みに必要な処理量が更に増大するおそれがあると考えられる。一方、本実施の形態においては、以下に説明するように、上記のような課題を解決し、メモリの書き込み時に必要な処理量を削減することが可能となる。
【0027】
（第１の実施形態）
以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。
以下、実施の形態について、図面を参照しながら説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。
【0028】
第１の実施形態では、メモリ保護システムで構成される木構造が、分岐数が２であり、深さがｄの場合の例について説明する。つまり、第１の実施形態におけるリーフノードの数は、２＾ｄ個となる。また、ルートノードの深さは０、リーフノードの深さはｄと定義する。本システムにおいて、ノードの個数及び各ノードのデータ量は、予め定められていると仮定する。
【0029】
図１は、メモリ保護システム１の構成例を示すブロック図である。メモリ保護システム１は、例えばコンピュータである。なお、メモリ保護システム１は、中央演算装置においてソフトウェアプログラムを実行することで、図１に示す各構成要素を実現してもよい。また、メモリ保護システム１において実現される各構成要素は、個々の装置、又は機能部もしくは電子回路として実現してもよい。このことは、後述する他の実施形態についても同様である。
【0030】
図１に示すように、第１の実施形態にかかるメモリ保護システム１は、メモリ構造初期化装置１０と、メモリ検証装置２０と、メモリ更新装置３０と、を備える。メモリ構造初期化装置１０、メモリ検証装置２０およびメモリ更新装置３０は、物理的に一体であってもよいし、別個であってもよい。また、図２～図４を用いて後述する各装置の構成要素が、別の装置で実現されてもよい。メモリ保護システム１は、メモリの改ざん検知を行う。
【0031】
なお、後述する他の実施形態で参照する場合、メモリ保護システム１は、メモリ保護システム１ａ，１ｂ，１ｃ，１ｄと表記され得る。同様に、後述する他の実施形態で参照する場合、メモリ構造初期化装置１０は、メモリ構造初期化装置１０ａ，１０ｂ，１０ｃ，１０ｄと表記され得る。同様に、後述する他の実施形態で参照する場合、メモリ検証装置２０は、メモリ検証装置２０ａ，２０ｂ，２０ｃ，２０ｄと表記され得る。同様に、後述する他の実施形態で参照する場合、メモリ更新装置３０は、メモリ更新装置３０ａ，３０ｂ，３０ｃ，３０ｄと表記され得る。なお、図２～図４で示す構成要素についても同様である。
【0032】
図２は、メモリ構造初期化装置１０の構成例を示すブロック図である。図３は、メモリ検証装置２０の構成例を示すブロック図である。図４は、メモリ更新装置３０の構成例を示すブロック図である。また、図５は、メモリ構造初期化装置１０の処理手順の例を示すフローチャートである。図６は、メモリ検証装置２０の処理手順の例を示すフローチャートである。図７は、メモリ更新装置３０の処理手順の例を示すフローチャートである。図２～図７については後述する。
【0033】
メモリ保護システム１において、メモリ構造初期化装置１０は、改ざん検知を行いたい平文（平文メッセージ）を入力として、初期状態の木構造と木構造における各ノードのメモリアドレス集合とを出力する。ただし、平文は２＾ｄ個の平文ブロックの結合で表す。つまり、以下の式１が成り立つ。
（式１）
Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［２＾ｄ］
ここで、Ｍは平文を示し、Ｍ［］は平文ブロックを示す。また、「｜｜」は連結を表す。また、１つの平文ブロックはＢｌｏｃｋビットと定義する。
（式１）
Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［２＾ｄ］
ここで、Ｍは平文を示し、Ｍ［］は平文ブロックを示す。また、「｜｜」は連結を表す。また、１つの平文ブロックはＢｌｏｃｋビットと定義する。
【0034】
メモリ検証装置２０は、改ざんをチェックしたい平文ブロックの格納場所と木構造、および木構造における各ノードのメモリアドレスを入力として、そのメモリが改ざんされているか否かを検証する。メモリ更新装置３０は、更新したい平文ブロックの格納場所とその更新内容、木構造、および木構造における各ノードのメモリアドレスを入力とする。そして、メモリ更新装置３０は、更新後の木構造、または、改ざんを検知したことを表すエラーメッセージを出力する。
【0035】
【0036】
また、メモリ保護システム１は、要素技術として、後述の特定の性質を持つようなメッセージ認証コード（ＭＡＣ）を用いる。ここでは基本的なＭＡＣについて記述する。秘密鍵Ｋを用いたＭＡＣ関数ＭＡＣ＿Ｋは、ナンスＮ、および平文Ｍを入力として、認証タグＴａｇを出力する。つまり、メモリ保護システム１は、以下の式２で表される計算を行う。
（式２）
ＭＡＣ＿Ｋ（Ｎ，Ｍ）＝Ｔａｇ
（式２）
ＭＡＣ＿Ｋ（Ｎ，Ｍ）＝Ｔａｇ
【0037】
また、メモリ保護システム１は、検証を行いたいナンスＮ’、平文Ｍ’、および認証タグＴａｇ’に対しては、ＭＡＣ＿Ｋ（Ｎ’，Ｍ’）を計算し、その計算結果とＴａｇ’の一致／不一致を検証する。もし両者が一致していればナンスＮ’と平文Ｍ’は改ざんされていないと判断され、不一致であれば改ざんされていると判断される。つまり、メモリ保護システム１は、以下の式３で表される計算を行う。
（式３）
ＭＡＣ＿Ｋ（Ｎ’，Ｍ’）＝Ｔａｇ’’
メモリ保護システム１は、Ｔａｇ’’＝Ｔａｇ’であれば改ざんなし、Ｔａｇ’’≠Ｔａｇ’であれば改ざんありと判定できる。
（式３）
ＭＡＣ＿Ｋ（Ｎ’，Ｍ’）＝Ｔａｇ’’
メモリ保護システム１は、Ｔａｇ’’＝Ｔａｇ’であれば改ざんなし、Ｔａｇ’’≠Ｔａｇ’であれば改ざんありと判定できる。
【0038】
ここで、第１の実施形態で用いるＭＡＣは、部分更新可能タグを出力できる、部分更新可能ＭＡＣである。つまり、第１の実施形態で用いるＭＡＣの出力タグは、部分更新可能である。ここで、ＭＡＣの出力タグが部分更新可能であるとは、ＭＡＣの入力のナンスと平文の一部分のみが更新された場合に、変更後のナンスと平文の全体を参照することなく、タグの更新を行うことができるということを指す。つまり、入力の変更が一部分であれば、部分更新可能ＭＡＣを用いることによって、通常のＭＡＣよりもタグ更新を効率的に行うことができる。そのような部分更新可能ＭＡＣを「Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣ」と呼ぶ。
【0039】
Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣは、式２及び式３で示した通常のＭＡＣ処理に加えて、部分更新可能タグを更新する処理を行う。ナンスＮ、及び平文Ｍ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ］に対するタグをＴａｇとし、ナンスＮを新たなナンスＮ’に更新し、かつ１＜＝ｉ＜＝ｍに対してＭ［ｉ］をＭ’［ｉ］に更新する場合の新たなタグＴａｇ’を求めると仮定する。このとき、秘密鍵Ｋを用いたＩｎｃｒｅｍｅｎｔａｌ ＭＡＣにおけるタグ更新を以下の式４で定義する。
（式４）
ＩｎｃＭＡＣ＿Ｋ（（１，ｉ），（Ｎ，Ｍ［ｉ］），（Ｎ’，Ｍ’［ｉ］），Ｔａｇ）＝Ｔａｇ’
（式４）
ＩｎｃＭＡＣ＿Ｋ（（１，ｉ），（Ｎ，Ｍ［ｉ］），（Ｎ’，Ｍ’［ｉ］），Ｔａｇ）＝Ｔａｇ’
【0040】
上記式４の第１引数（１，ｉ）のｉは、平文の更新部位を示す部分であり、平文ブロックのインデックスでもよいし、その他、更新箇所を特定できるような数字であればよい。更新箇所がナンスのみの場合は、以下の式５のように定義する。
（式５）
ＩｎｃＭＡＣ＿Ｋ（（１，∞），（Ｎ，∞），（Ｎ’，∞），Ｔａｇ）＝Ｔａｇ’
（式５）
ＩｎｃＭＡＣ＿Ｋ（（１，∞），（Ｎ，∞），（Ｎ’，∞），Ｔａｇ）＝Ｔａｇ’
【0041】
図１０は、Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣの例を示す図である。例えば、Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣの実現例として、図１０のＰＭＡＣ（Parallelizable MAC）が挙げられる。図１０において、Ｅ＿Ｋ（ＥＫ）は秘密鍵Ｋを用いたｎビット入出力のブロック暗号Ｅを表しており、これはＡＥＳ（Advanced Encryption Standard）などにより実現される。ＡＥＳの場合はｎ＝１２８である。図１０は、平文ＭをＰＭＡＣで処理し、認証タグＴａｇを導出する方法を表している。但し、Ｍはｍ個のｎビット平文ブロックＭ［１］，・・・，Ｍ［ｍ］の連結によって表されるとし、０＾ｎ（０ｎ）は０をｎ個並べたビット列と定義する。
【0042】
ＰＭＡＣがＩｎｃｒｅｍｅｎｔａｌ ＭＡＣであることの根拠を以下に示す。まず、平文Ｍ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ］に対し、ＰＭＡＣ＿Ｋ（Ｍ）を計算することで認証タグＴａｇを得る。次に、平文Ｍのうち、Ｍ［ｍ－１］のみをＭ’［ｍ－１］という異なる値に更新し、更新後のタグを求めたいと仮定する。このとき、Ｉｎｃｒｅｍｅｎｔａｌ性を持たない通常のＭＡＣであれば、Ｍ’＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ－２］｜｜Ｍ’［ｍ－１］｜｜Ｍ［ｍ］とし、ＰＭＡＣ＿Ｋ（Ｍ’）を計算することにより更新後のタグＴａｇ’を得ることができるが、ＴａｇとＴａｇ’の導出にかかる計算量は同じとなる。一方、Ｉｎｃｒｅｍｅｎｔａｌ性を持つＰＭＡＣの場合は、以下の式６のようにしてＴａｇ’を求めることができる。
（式６）
Δ＝３＾２・Ｅ＿Ｋ（０＾ｎ）
Σ＝Ｄ＿Ｋ（Ｔａｇ）
Σ’＝Σ＋Ｅ＿Ｋ（Ｍ［ｍ－１］＋２＾｛ｍ－１｝Δ）＋Ｅ＿Ｋ（Ｍ’［ｍ－１］＋２＾｛ｍ－１｝Δ）
Ｔａｇ’＝Ｅ＿Ｋ（Σ’）
（式６）
Δ＝３＾２・Ｅ＿Ｋ（０＾ｎ）
Σ＝Ｄ＿Ｋ（Ｔａｇ）
Σ’＝Σ＋Ｅ＿Ｋ（Ｍ［ｍ－１］＋２＾｛ｍ－１｝Δ）＋Ｅ＿Ｋ（Ｍ’［ｍ－１］＋２＾｛ｍ－１｝Δ）
Ｔａｇ’＝Ｅ＿Ｋ（Σ’）
【0043】
但し、「＋」は排他的論理和（ＸＯＲ）を表し、Ｄ＿Ｋは秘密鍵Ｋを用いたＥ＿Ｋの逆関数を表す。また、「・」は有限体ＧＦ（２＾ｎ）上の乗算を表す。上記の計算方法を用いると、平文ブロックの数によらないで、暗号化４回分の計算量のみでタグの更新ができ、効率的であると言える。
【0044】
［メモリ構造初期化装置の構成の説明］
図２は、メモリ構造初期化装置１０の構成例を示すブロック図である。図２に示すように、第１の実施形態にかかるメモリ構造初期化装置１０は、平文入力部１００と、メモリアドレス割り当て部１０１と、部分更新可能タグ生成部１０２と、を備える。また、メモリ構造初期化装置１０は、リーフノード生成部１０３と、中間ノード生成部１０４と、ルートノード生成部１０５と、木構造出力部１０６と、メモリアドレス出力部１０７と、を備える。
図２は、メモリ構造初期化装置１０の構成例を示すブロック図である。図２に示すように、第１の実施形態にかかるメモリ構造初期化装置１０は、平文入力部１００と、メモリアドレス割り当て部１０１と、部分更新可能タグ生成部１０２と、を備える。また、メモリ構造初期化装置１０は、リーフノード生成部１０３と、中間ノード生成部１０４と、ルートノード生成部１０５と、木構造出力部１０６と、メモリアドレス出力部１０７と、を備える。
【0045】
平文入力部１００は、平文入力手段としての機能を有する。メモリアドレス割り当て部１０１は、メモリアドレス割り当て手段としての機能を有する。部分更新可能タグ生成部１０２は、タグ生成手段としての機能を有する。リーフノード生成部１０３は、リーフノード生成手段としての機能を有する。中間ノード生成部１０４は、中間ノード生成手段としての機能を有する。ルートノード生成部１０５は、ルートノード生成手段としての機能を有する。
木構造出力部１０６は、木構造出力手段としての機能を有する。メモリアドレス出力部１０７は、メモリアドレス出力手段としての機能を有する。
木構造出力部１０６は、木構造出力手段としての機能を有する。メモリアドレス出力部１０７は、メモリアドレス出力手段としての機能を有する。
【0046】
メモリ構造初期化装置１０は、例えばコンピュータである。なお、メモリ構造初期化装置１０は、中央演算装置においてソフトウェアプログラムを実行することで、図２に示す各構成要素を実現してもよい。また、メモリ構造初期化装置１０において実現される各構成要素は、個々の装置、又は機能部もしくは電子回路として実現してもよい。このことは、後述する他の実施形態についても同様である。
【0047】
平文入力部１００は、保護対象となる平文Ｍの入力を受け付ける。平文入力部１００は、受け付けた平文Ｍを部分更新可能タグ生成部１０２に出力する。ここで、平文入力部１００が平文Ｍの入力を受け付ける方法は、特定の方法に限定されない。例えば、平文入力部１００が、キーボードなどの文字入力装置を備え、平文Ｍを入力するユーザ操作を受け付けるようにしてもよい。あるいは、平文入力部１００が、他の装置から平文Ｍを受信するようにしてもよい。
【0048】
メモリアドレス割り当て部１０１は、木構造の各ノードに、ノード固有のメモリアドレス情報を割り当てる。そして、メモリアドレス割り当て部１０１は、メモリアドレス情報を、部分更新可能タグ生成部１０２及びメモリアドレス出力部１０７に出力する。ここで、ノードの個数及び各ノードのデータ量は予め定められているため、各ノードの中身の情報を定義する前にメモリアドレスを割り当てることが可能である。また、メモリアドレス情報は、その性質上、各ノードに対して一意に定まるものである。つまり、メモリアドレス情報は、各ノードに対して固有である。
【0049】
ここで、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝２＾｛ｉ｝のとき、深さｉでｊ＿ｉ番目のノードに割り当てるメモリアドレスを、ａｄｄ（ｉ，ｊ＿ｉ）で表す。そして、木構造の全てのノードに割り当てられたメモリアドレス情報を、以下の式７のように記述する。
（式７）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，２＾ｄ－１），ａｄｄ（ｄ，２＾ｄ））
（式７）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，２＾ｄ－１），ａｄｄ（ｄ，２＾ｄ））
【0050】
ここで、「ａｄｄ（０，１）」は、ルートノードのメモリアドレスに対応する。また、「ａｄｄ（ｄ，１），・・・，ａｄｄ（ｄ，２＾ｄ）」は、複数のリーフノードのメモリアドレスに対応する。なお、その他は中間ノードのメモリアドレスに対応する。
【0051】
部分更新可能タグ生成部１０２は、平文入力部１００が出力する平文Ｍと、メモリアドレス割り当て部１０１が出力するメモリアドレス集合Ａｄｄと、秘密鍵Ｋとを用いて、改ざん検知用の部分更新可能タグを生成する。部分更新可能タグ生成にはＩｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いるとする。まず、部分更新可能タグ生成部１０２は、リーフノードで用いるタグとして、以下の式８で表されるデータを生成する。
（式８）
ＴａｇＬｅａｆ＝（（Ｍ［１］，Ｔａｇ（ｄ，１）），（Ｍ［２］，Ｔａｇ（ｄ，２）），・・・，（Ｍ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
Ｔａｇ（ｄ，ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），Ｍ［ｉ］）
１＜＝ｉ＜＝２＾ｄ
（式８）
ＴａｇＬｅａｆ＝（（Ｍ［１］，Ｔａｇ（ｄ，１）），（Ｍ［２］，Ｔａｇ（ｄ，２）），・・・，（Ｍ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
Ｔａｇ（ｄ，ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），Ｍ［ｉ］）
１＜＝ｉ＜＝２＾ｄ
【0052】
但し、ａ｜｜ｂはビット列ａとビット列ｂとの連結を表す。また、ＣＴＲは各ノードに格納されるローカルカウンタ値のビット長であり、「０＾｛ＣＴＲ－１｝」は０がＣＴＲ－１個連結したビット列を表す。ＣＴＲの値は予め決定されていると仮定する。
【0053】
次に、部分更新可能タグ生成部１０２は、中間ノードで用いるタグとして、以下の式９で表されるデータを生成する。なお、ＩｎｃＭＡＣ＿Ｋは、秘密鍵Ｋを用いたＩｎｃｒｅｍｅｎｔａｌ ＭＡＣの関数である。ＩｎｃＭＡＣ＿Ｋは、更新箇所（１，ｉ），更新前のナンスと平文（Ｎ，Ｍ［ｉ］），更新後のナンスと平文（Ｎ’，Ｍ’［ｉ］），更新前のタグＴａｇを入力とする。
（式９）
ＴａｇＩｎｔｅｒ＝（Ｔａｇ（１，１），・・・，Ｔａｇ（ｄ－１，２＾｛ｄ－１｝））
Ｔａｇ（１，１）＝ＭＡＣ＿Ｋ（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），（０＾｛ＣＴＲ－１｝｜｜１）｜｜（０＾｛ＣＴＲ－１｝｜｜１））
Ｔａｇ（ｉ，ｊ＿ｉ）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（ｉ，ｊ＿ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝２＾ｉ，（ｉ，ｊ＿ｉ）≠（１，１）
（式９）
ＴａｇＩｎｔｅｒ＝（Ｔａｇ（１，１），・・・，Ｔａｇ（ｄ－１，２＾｛ｄ－１｝））
Ｔａｇ（１，１）＝ＭＡＣ＿Ｋ（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），（０＾｛ＣＴＲ－１｝｜｜１）｜｜（０＾｛ＣＴＲ－１｝｜｜１））
Ｔａｇ（ｉ，ｊ＿ｉ）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（ｉ，ｊ＿ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝２＾ｉ，（ｉ，ｊ＿ｉ）≠（１，１）
【0054】
次に、部分更新可能タグ生成部１０２は、ルートノードで用いるタグとして、以下の式１０で表されるデータを生成する。
（式１０）
ＴａｇＲｏｏｔ＝（Ｔａｇ（０，１））
Ｔａｇ（０，１）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（０，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
（式１０）
ＴａｇＲｏｏｔ＝（Ｔａｇ（０，１））
Ｔａｇ（０，１）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（０，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
【0055】
式８，式９，式１０から、各ノードに対応するタグは、自ノードのメモリアドレスと後述するローカルカウンタ値との連結をナンスとし、子ノードの複数のローカルカウンタ値の連結を平文とし、そのナンスと平文を入力としたＭＡＣの計算結果である。つまり、各ノードに対応するタグは、自ノードのメモリアドレスと定数との連結をナンスとし、子ノードの複数の定数の連結を平文とし、そのナンスと平文を入力としたＭＡＣの計算結果である。
【0056】
そして、部分更新可能タグ生成部１０２は、タグ集合ＴａｇＬｅａｆをリーフノード生成部１０３に出力する。また、部分更新可能タグ生成部１０２は、タグ集合ＴａｇＩｎｔｅｒを中間ノード生成部１０４に出力する。また、部分更新可能タグ生成部１０２は、タグ集合ＴａｇＲｏｏｔをルートノード生成部１０５に出力する。
【0057】
リーフノード生成部１０３は、部分更新可能タグ生成部１０２が出力するタグ集合ＴａｇＬｅａｆを用いて、木構造のリーフノードを生成する。１＜＝ｉ＜＝２＾ｄのとき、ｉ番目のリーフノードは、以下の式１１で示すように生成される。
（式１１）
（ｃｔｒ（ｄ，ｉ），Ｍ［ｉ］，Ｔａｇ（ｄ，ｉ））
（式１１）
（ｃｔｒ（ｄ，ｉ），Ｍ［ｉ］，Ｔａｇ（ｄ，ｉ））
【0058】
但し、ｃｔｒ（ｄ，ｉ）は、深さｄにおけるｉ番目のリーフノードのカウンタ値を表しており、当該ノードが更新されるたびに１が足される。ここでは、全てのｉに対してｃｔｒ（ｄ，ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
【0059】
また、全てのリーフノードを以下の式１２のように記述する。
（式１２）
Ｌｅａｆ＝（（ｃｔｒ（ｄ，１），Ｍ［１］，Ｔａｇ（ｄ，１）），・・・，（ｃｔｒ（ｄ，２＾ｄ），Ｍ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
また、リーフノード生成部１０３は、生成されたリーフノード集合Ｌｅａｆを木構造出力部１０６に出力する。
（式１２）
Ｌｅａｆ＝（（ｃｔｒ（ｄ，１），Ｍ［１］，Ｔａｇ（ｄ，１）），・・・，（ｃｔｒ（ｄ，２＾ｄ），Ｍ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
また、リーフノード生成部１０３は、生成されたリーフノード集合Ｌｅａｆを木構造出力部１０６に出力する。
【0060】
中間ノード生成部１０４は、部分更新可能タグ生成部１０２が出力するタグ集合ＴａｇＩｎｔｅｒを用いて、木構造の中間ノードを生成する。また、１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝２＾ｉのとき、深さｉにおけるｊ＿ｉ番目の中間ノードは以下の式１３で示すように生成される。
（式１３）
（ｃｔｒ（ｉ，ｊ＿ｉ），Ｔａｇ（ｉ，ｊ＿ｉ））
但し、全てのｉ，ｊ＿ｉに対してｃｔｒ（ｉ，ｊ＿ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
（式１３）
（ｃｔｒ（ｉ，ｊ＿ｉ），Ｔａｇ（ｉ，ｊ＿ｉ））
但し、全てのｉ，ｊ＿ｉに対してｃｔｒ（ｉ，ｊ＿ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
【0061】
また、全ての中間ノードを以下の式１４のように記述する。
（式１４）
Ｉｎｔｅｒ＝（（ｃｔｒ（１，１），Ｔａｇ（１，１）），（ｃｔｒ（１，２），Ｔａｇ（１，２）），・・・，（ｃｔｒ（ｄ－１，２＾｛ｄ－１｝），Ｔａｇ（ｄ－１，２＾｛ｄ－１｝）））
また、中間ノード生成部１０４は、生成された中間ノード集合Ｉｎｔｅｒを木構造出力部１０６に出力する。
（式１４）
Ｉｎｔｅｒ＝（（ｃｔｒ（１，１），Ｔａｇ（１，１）），（ｃｔｒ（１，２），Ｔａｇ（１，２）），・・・，（ｃｔｒ（ｄ－１，２＾｛ｄ－１｝），Ｔａｇ（ｄ－１，２＾｛ｄ－１｝）））
また、中間ノード生成部１０４は、生成された中間ノード集合Ｉｎｔｅｒを木構造出力部１０６に出力する。
【0062】
ルートノード生成部１０５は、部分更新可能タグ生成部１０２が出力するタグＴａｇＲｏｏｔを用いて、木構造のルートノードを生成する。ルートノードは以下の式１５で示すように生成される。但し、ｃｔｒ（０，１）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
（式１５）
Ｒｏｏｔ＝（ｃｔｒ（０，１），Ｔａｇ（０，１））
また、ルートノード生成部１０５は、生成されたルートノードＲｏｏｔを木構造出力部１０６に出力する。
（式１５）
Ｒｏｏｔ＝（ｃｔｒ（０，１），Ｔａｇ（０，１））
また、ルートノード生成部１０５は、生成されたルートノードＲｏｏｔを木構造出力部１０６に出力する。
【0063】
木構造出力部１０６は、リーフノード生成部１０３が出力するリーフノード集合Ｌｅａｆと、中間ノード生成部１０４が出力する中間ノード集合Ｉｎｔｅｒと、ルートノード生成部１０５が出力するルートノードＲｏｏｔとを連結する。そして、木構造出力部１０６は、連結されたデータ列を、コンピュータディスプレイやプリンタなどへ出力する。
メモリアドレス出力部１０７は、メモリアドレス割り当て部１０１が出力するメモリアドレスＡｄｄをコンピュータディスプレイやプリンタなどへ出力する。
メモリアドレス出力部１０７は、メモリアドレス割り当て部１０１が出力するメモリアドレスＡｄｄをコンピュータディスプレイやプリンタなどへ出力する。
【0064】
［メモリ検証装置の構成の説明］
図３は、メモリ検証装置２０の構成例を示すブロック図である。図３に示すように、第１の実施形態にかかるメモリ検証装置２０は、木構造入力部２００と、メモリアドレス入力部２０１と、検証箇所入力部２０２と、タグ検証部２０３と、検証結果出力部２０４と、を備える。
図３は、メモリ検証装置２０の構成例を示すブロック図である。図３に示すように、第１の実施形態にかかるメモリ検証装置２０は、木構造入力部２００と、メモリアドレス入力部２０１と、検証箇所入力部２０２と、タグ検証部２０３と、検証結果出力部２０４と、を備える。
【0065】
木構造入力部２００は、木構造入力手段としての機能を有する。メモリアドレス入力部２０１は、メモリアドレス入力手段としての機能を有する。検証箇所入力部２０２は、検証箇所入力手段としての機能を有する。タグ検証部２０３は、タグ検証手段としての機能を有する。検証結果出力部２０４は、検証結果出力手段としての機能を有する。
【0066】
メモリ検証装置２０は、例えばコンピュータである。なお、メモリ検証装置２０は、中央演算装置においてソフトウェアプログラムを実行することで、図３に示す各構成要素を実現してもよい。また、メモリ検証装置２０において実現される各構成要素は、個々の装置、又は機能部もしくは電子回路として実現してもよい。このことは、後述する他の実施形態についても同様である。
【0067】
木構造入力部２００は、検証対象となるメモリを保護するための木構造Ｔｒｅｅの入力を受け付ける。そして、木構造入力部２００は、木構造Ｔｒｅｅをタグ検証部２０３に出力する。ここで、Ｔｒｅｅは、リーフノード集合Ｌｅａｆ、中間ノード集合Ｉｎｔｅｒ、及び、ルートノードＲｏｏｔにより構成される。Ｔｒｅｅは、木構造出力部１０６によって出力された、リーフノード集合Ｌｅａｆと中間ノード集合ＩｎｔｅｒとルートノードＲｏｏｔとが連結されたデータ列であってもよい。
【0068】
メモリアドレス入力部２０１は、検証対象となるメモリを保護するための木構造に割り当てられているメモリアドレス集合Ａｄｄの入力を受け付ける。そして、メモリアドレス入力部２０１は、メモリアドレス集合Ａｄｄをタグ検証部２０３に出力する。なお、Ａｄｄは以下の式１６のように記述される。
（式１６）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，２＾ｄ－１），ａｄｄ（ｄ，２＾ｄ））
但し、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝２＾｛ｉ｝のとき、深さｉにおいてｊ＿ｉ番目のノードのメモリアドレスを、ａｄｄ（ｉ，ｊ＿ｉ）で表す。
（式１６）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，２＾ｄ－１），ａｄｄ（ｄ，２＾ｄ））
但し、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝２＾｛ｉ｝のとき、深さｉにおいてｊ＿ｉ番目のノードのメモリアドレスを、ａｄｄ（ｉ，ｊ＿ｉ）で表す。
【0069】
検証箇所入力部２０２は、メモリの検証箇所ＣｈｅｃｋＮｏｄｅの入力を受け付ける。そして、検証箇所入力部２０２は、検証箇所ＣｈｅｃｋＮｏｄｅをタグ検証部２０３に出力する。但し、ＣｈｅｃｋＮｏｄｅは、１以上２＾ｄ以下の数値であり、検証箇所がリーフノードのＣｈｅｃｋＮｏｄｅ番目であることを表す。
【0070】
タグ検証部２０３は、木構造Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、検証箇所ＣｈｅｃｋＮｏｄｅと、秘密鍵Ｋを用いて、ＣｈｅｃｋＮｏｄｅによって指定されるメモリが改ざんされていないか検証する。そして、タグ検証部２０３は、検証結果を検証結果出力部２０４に出力する。まず、タグ検証部２０３は、ＣｈｅｃｋＮｏｄｅ番目のリーフノードからルートノードまでのパスＰａｔｈを生成する。ここで、パスＰａｔｈとは、当該リーフノードからルートノードまでのノードの道のりを示すもので、以下の式１７で表される。
（式１７）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
（式１７）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
【0071】
ここで、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝２＾｛ｉ｝のとき、Ｐａｔｈの各要素（ｉ，ｊ＿ｉ）は、深さｉにおいてｊ＿ｉ番目のノードを表す。但し、ｐ＿ｄ＝ＣｈｅｃｋＮｏｄｅであり、０＜＝ｉ＜＝ｄ－１のとき、ｐ＿ｉは以下の式１８で定義される。
（式１８）
ｐ＿ｉ＝ｃｅｉｌｉｎｇ（ｐ＿｛ｉ＋１｝／２）
但し、ｃｅｉｌｉｎｇ（・）は天井関数を表す。また、ｐ＿０の値は必ず１となる。
（式１８）
ｐ＿ｉ＝ｃｅｉｌｉｎｇ（ｐ＿｛ｉ＋１｝／２）
但し、ｃｅｉｌｉｎｇ（・）は天井関数を表す。また、ｐ＿０の値は必ず１となる。
【0072】
図９は、第１の実施形態にかかるメモリ検証装置２０におけるタグ検証部２０３によって生成されるパスの例を示す図である。例えば、ｄ＝４、ＣｈｅｃｋＮｏｄｅ＝１０のとき、図９に示すように、Ｐａｔｈは以下のようになる。
Ｐａｔｈ＝（（４，１０），（３，５），（２，３），（１，２），（０，１））
Ｐａｔｈ＝（（４，１０），（３，５），（２，３），（１，２），（０，１））
【0073】
次に、タグ検証部２０３は、メモリアドレス入力部２０１の出力であるＡｄｄと、木構造入力部２００の出力であるＴｒｅｅと、秘密鍵Ｋとを用いて以下の式１９を計算する。
（式１９）
ＰａｔｈＴａｇ’＝（Ｔａｇ’（ｄ，ｐ＿ｄ），Ｔａｇ’（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ’（０，ｐ＿０））
Ｔａｇ’（ｄ，ｐ＿ｄ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），Ｍ［ｐ＿ｄ］）
Ｔａｇ’（ｉ，ｐ＿ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ），ｃｔｒ（ｉ＋１，２ｐ＿ｉ－１）｜｜ｃｔｒ（ｉ＋１，２ｐ＿ｉ））
０＜＝ｉ＜＝ｄ－１
（式１９）
ＰａｔｈＴａｇ’＝（Ｔａｇ’（ｄ，ｐ＿ｄ），Ｔａｇ’（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ’（０，ｐ＿０））
Ｔａｇ’（ｄ，ｐ＿ｄ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），Ｍ［ｐ＿ｄ］）
Ｔａｇ’（ｉ，ｐ＿ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ），ｃｔｒ（ｉ＋１，２ｐ＿ｉ－１）｜｜ｃｔｒ（ｉ＋１，２ｐ＿ｉ））
０＜＝ｉ＜＝ｄ－１
【0074】
但し、ＭＡＣ＿Ｋは、第１の実施形態におけるメモリ構造初期化装置１０の部分更新可能タグ生成部１０２で用いられている方式と実質的に同じであるので、説明を省略する。またＴａｇ’（ｉ，ｐ＿ｉ）は、ＭＡＣ関数の入力のナンス部分に当該ノードのアドレスとローカルカウンタとの連結を入力し、平文部分に当該ノードの子ノードのローカルカウンタを２個連結して入力したものである。
【0075】
次に、タグ検証部２０３は、木構造入力部２００の出力であるＴｒｅｅから、以下の式２０で表される値を取得する。
（式２０）
ＰａｔｈＴａｇ＝（Ｔａｇ（ｄ，ｐ＿ｄ），Ｔａｇ（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ（０，ｐ＿０））
（式２０）
ＰａｔｈＴａｇ＝（Ｔａｇ（ｄ，ｐ＿ｄ），Ｔａｇ（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ（０，ｐ＿０））
【0076】
そして、タグ検証部２０３は、自身が計算したＰａｔｈＴａｇ’とＴｒｅｅから取得したＰａｔｈＴａｇとが等しいか否かをチェックする。０＜＝ｉ＜＝ｄのとき、全てのｉに対して
Ｔａｇ’（ｉ，ｐ＿ｉ）＝Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３は検証結果をＡＣＫに設定する。ＡＣＫは、パスに関わるノードの情報が改ざんされていないことを示す。検証結果をＢと表記し、検証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
Ｔａｇ’（ｉ，ｐ＿ｉ）＝Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３は検証結果をＡＣＫに設定する。ＡＣＫは、パスに関わるノードの情報が改ざんされていないことを示す。検証結果をＢと表記し、検証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
【0077】
一方、０＜＝ｉ＜＝ｄのとき、あるｉに対して
Ｔａｇ’（ｉ，ｐ＿ｉ）≠Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３は、検証結果をＮＣＫに設定する。ＮＣＫは、パスに関わるノードの情報が改ざんされていることを示す。検証結果がＮＣＫであることを、Ｂ＝ＮＣＫと表記する。
Ｔａｇ’（ｉ，ｐ＿ｉ）≠Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３は、検証結果をＮＣＫに設定する。ＮＣＫは、パスに関わるノードの情報が改ざんされていることを示す。検証結果がＮＣＫであることを、Ｂ＝ＮＣＫと表記する。
【0078】
タグ検証部２０３は検証結果Ｂを検証結果出力部２０４に出力する。
検証結果出力部２０４は、タグ検証部２０３が出力する検証結果Ｂをコンピュータディスプレイやプリンタなどへ出力する。
検証結果出力部２０４は、タグ検証部２０３が出力する検証結果Ｂをコンピュータディスプレイやプリンタなどへ出力する。
【0079】
［メモリ更新装置の構成の説明］
図４は、メモリ更新装置３０の構成例を示すブロック図である。図４に示すように、第１の実施形態にかかるメモリ更新装置３０は、木構造入力部３００と、メモリアドレス入力部３０１と、更新箇所入力部３０２と、メモリ検証部３０３と、カウンタ更新部３０４と、部分更新可能タグ更新部３０５と、更新結果出力部３０６と、を備える。
図４は、メモリ更新装置３０の構成例を示すブロック図である。図４に示すように、第１の実施形態にかかるメモリ更新装置３０は、木構造入力部３００と、メモリアドレス入力部３０１と、更新箇所入力部３０２と、メモリ検証部３０３と、カウンタ更新部３０４と、部分更新可能タグ更新部３０５と、更新結果出力部３０６と、を備える。
【0080】
木構造入力部３００は、木構造入力手段としての機能を有する。メモリアドレス入力部３０１は、メモリアドレス入力手段としての機能を有する。更新箇所入力部３０２は、更新箇所入力手段としての機能を有する。メモリ検証部３０３は、メモリ検証手段としての機能を有する。カウンタ更新部３０４は、カウンタ更新手段としての機能を有する。部分更新可能タグ更新部３０５は、タグ更新手段としての機能を有する。更新結果出力部３０６は、更新結果出力手段としての機能を有する。
【0081】
メモリ更新装置３０は、例えばコンピュータである。なお、メモリ更新装置３０は、中央演算装置においてソフトウェアプログラムを実行することで、図３に示す各構成要素を実現してもよい。また、メモリ更新装置３０において実現される各構成要素は、個々の装置、又は機能部もしくは電子回路として実現してもよい。このことは、後述する他の実施形態についても同様である。
【0082】
木構造入力部３００は、更新対象となるメモリを保護するための木構造Ｔｒｅｅの入力を受け付ける。そして、木構造入力部３００は、図４の一点鎖線で示すように、木構造Ｔｒｅｅをメモリ検証部３０３及びカウンタ更新部３０４に出力する。但し、Ｔｒｅｅは、リーフノード集合Ｌｅａｆ、中間ノード集合Ｉｎｔｅｒ、ルートノードＲｏｏｔにより構成される。なお、木構造入力部３００の機能は、第１の実施形態にかかるメモリ検証装置２０における木構造入力部２００の機能と実質的に同じであるので、説明を省略する。
【0083】
メモリアドレス入力部３０１は、検証対象となるメモリを保護するための木構造に割り当てられているメモリアドレス集合Ａｄｄの入力を受け付ける。そして、メモリアドレス入力部３０１は、図４の実線で示すように、メモリアドレス集合Ａｄｄを、メモリ検証部３０３及び部分更新可能タグ更新部３０５に出力する。なお、メモリアドレス入力部３０１の機能は、第１の実施形態にかかるメモリ検証装置２０におけるメモリアドレス入力部２０１の機能と実質的に同じであるので、説明を省略する。
【0084】
更新箇所入力部３０２は、メモリの更新情報ＵｐｄａｔｅＮｏｄｅの入力を受け付ける。そして、更新箇所入力部３０２は、図４の点線で示すように、メモリの更新情報ＵｐｄａｔｅＮｏｄｅを、メモリ検証部３０３及び部分更新可能タグ更新部３０５に出力する。但し、ＵｐｄａｔｅＮｏｄｅ＝（ＵｐｄａｔｅＩｎｄｅｘ，ＵｐｄａｔｅＩｎｆｏ）と定義する。ＵｐｄａｔｅＩｎｄｅｘは、１以上２＾ｄ以下の数値であり、更新箇所がリーフノードのＵｐｄａｔｅＩｎｄｅｘ番目であることを表す。ＵｐｄａｔｅＩｎｆｏは、ＵｐｄａｔｅＩｎｄｅｘ番目のリーフに含まれる情報である平文ブロックＭ［ＵｐｄａｔｅＩｎｄｅｘ］を更新するＢｌｏｃｋビットの情報を表す。
【0085】
メモリ検証部３０３は、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、秘密鍵Ｋとを用いて、ＵｐｄａｔｅＮｏｄｅが指定するメモリが改ざんされていないか検証する。メモリ検証部３０３が行う処理は、第１の実施形態のメモリ検証装置２０におけるタグ検証部２０３の処理と実質的に同じであるが、出力結果のみ異なる。第１の実施形態のメモリ検証装置２０におけるタグ検証部２０３は検証結果Ｂを出力するが、メモリ検証部３０３は、検証結果Ｂと共に、当該ノードからルートノードまでのパスＰａｔｈも出力する。メモリ検証部３０３は、図４の太い破線で示すように、検証結果Ｂを、カウンタ更新部３０４、部分更新可能タグ更新部３０５及び更新結果出力部３０６に出力する。また、メモリ検証部３０３は、図４の太い実線で示すように、パスＰａｔｈを、カウンタ更新部３０４及び部分更新可能タグ更新部３０５に出力する。
【0086】
Ｐａｔｈは以下の式２１のように表される。
（式２１）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
ここでは、メモリ検証部３０３が行う操作から、ｐ＿ｄ＝ＵｐｄａｔｅＩｎｄｅｘとなることが分かる。
（式２１）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
ここでは、メモリ検証部３０３が行う操作から、ｐ＿ｄ＝ＵｐｄａｔｅＩｎｄｅｘとなることが分かる。
【0087】
カウンタ更新部３０４は、Ｔｒｅｅと、検証結果Ｂと、パスＰａｔｈとを用いて、Ｐａｔｈで指定されるノードの情報を更新する。Ｂ＝ＡＣＫである場合、以下の処理を行う。まず、カウンタ更新部３０４は、Ｐａｔｈで指定されるノードのカウンタ値に１を足してカウンタ値を更新する。つまり、０＜＝ｉ＜＝ｄに対して、カウンタ更新部３０４は以下の式２２の計算を行う。
（式２２）
ｃｔｒ（ｉ，ｐ＿ｉ）←ｃｔｒ（ｉ，ｐ＿ｉ）＋１
但し、ａ←ｂはａをｂで更新することを表す。そして、カウンタ更新部３０４は、更新結果の木構造ＮｅｗＴｒｅｅ’を、部分更新可能タグ更新部３０５に出力する。一方、Ｂ＝ＮＣＫの場合は、カウンタ更新部３０４は処理を行わず、何も出力しない。
（式２２）
ｃｔｒ（ｉ，ｐ＿ｉ）←ｃｔｒ（ｉ，ｐ＿ｉ）＋１
但し、ａ←ｂはａをｂで更新することを表す。そして、カウンタ更新部３０４は、更新結果の木構造ＮｅｗＴｒｅｅ’を、部分更新可能タグ更新部３０５に出力する。一方、Ｂ＝ＮＣＫの場合は、カウンタ更新部３０４は処理を行わず、何も出力しない。
【0088】
部分更新可能タグ更新部３０５は、更新結果の木構造ＮｅｗＴｒｅｅ’と、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、検証結果ＢおよびパスＰａｔｈと、秘密鍵Ｋとを用いて、Ｐａｔｈで指定されるノードのタグを更新する。Ｂ＝ＡＣＫである場合、部分更新可能タグ更新部３０５は、０＜＝ｉ＜＝ｄ－１に対して、以下の式２３の計算を行う。
（式２３）
Ｔａｇ（ｄ，ｐ＿ｄ）←ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），ＵｐｄａｔｅＩｎｆｏ）
Ｔａｇ（ｉ，ｐ＿ｉ）←ＩｎｃＭＡＣ＿Ｋ（（１，ｉｎｄ＿｛ｉ＋１｝），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜（ｃｔｒ（ｉ，ｐ＿ｉ）－１）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）－１），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）），Ｔａｇ（ｉ，ｐ＿ｉ））
ｉｎｄ＿｛ｉ＋１｝＝（（ｐ＿｛ｉ＋１｝－１）ｍｏｄ２）＋１
（式２３）
Ｔａｇ（ｄ，ｐ＿ｄ）←ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），ＵｐｄａｔｅＩｎｆｏ）
Ｔａｇ（ｉ，ｐ＿ｉ）←ＩｎｃＭＡＣ＿Ｋ（（１，ｉｎｄ＿｛ｉ＋１｝），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜（ｃｔｒ（ｉ，ｐ＿ｉ）－１）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）－１），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）），Ｔａｇ（ｉ，ｐ＿ｉ））
ｉｎｄ＿｛ｉ＋１｝＝（（ｐ＿｛ｉ＋１｝－１）ｍｏｄ２）＋１
【0089】
但し、ＭＡＣ＿ＫおよびＩｎｃＭＡＣ＿Ｋは、第１の実施形態におけるメモリ構造初期化装置１０の部分更新可能タグ生成部１０２や、メモリ検証装置２０のタグ検証部２０３で用いられている方式と同じである。また、Ｔａｇ（ｉ，ｐ＿ｉ）は、ＭＡＣ関数の入力のナンス部分に当該ノードのアドレスとローカルカウンタとの連結を入力し、平文部分に当該ノードの子ノードのローカルカウンタを２個連結して入力したものである。また、ｉｎｄ＿｛ｉ＋１｝は、（ｉ＋１，ｐ＿｛ｉ＋１｝）というノードが、その親ノード（ｉ，ｐ＿ｉ）から見て何番目の子ノードであるか示す値である。そして、部分更新可能タグ更新部３０５は、更新結果の木構造ＮｅｗＴｒｅｅを、更新結果出力部３０６に出力する。一方、Ｂ＝ＮＣＫの場合は、部分更新可能タグ更新部３０５は処理を行わず、何も出力しない。
【0090】
更新結果出力部３０６は、メモリ検証部３０３が出力する検証結果Ｂと、部分更新可能タグ更新部３０５が出力する木構造ＮｅｗＴｒｅｅを用いて、更新結果を出力する。Ｂ＝ＡＣＫである場合、更新結果出力部３０６は、ＮｅｗＴｒｅｅをコンピュータディスプレイやプリンタなどへ出力する。一方、Ｂ＝ＮＣＫである場合、更新結果出力部３０６は、検証結果Ｂ＝ＮＣＫをコンピュータディスプレイやプリンタなどへ出力する。
【0091】
［動作の説明］
図５は、メモリ構造初期化装置１０の動作（メモリ構造初期化方法）を示すフローチャートである。ステップＳ１において、平文入力部１００は、保護対象となる平文Ｍの入力を受け付ける。ステップＳ２において、メモリアドレス割り当て部１０１は、木構造の各ノードにメモリアドレスを割り当て、メモリアドレス集合Ａｄｄを生成する。ステップＳ３において、部分更新可能タグ生成部１０２は、平文Ｍとメモリアドレス集合Ａｄｄを用いて、改ざん検知用のタグ集合（ＴａｇＬｅａｆ，ＴａｇＩｎｔｅｒ，ＴａｇＲｏｏｔ）を生成する。
図５は、メモリ構造初期化装置１０の動作（メモリ構造初期化方法）を示すフローチャートである。ステップＳ１において、平文入力部１００は、保護対象となる平文Ｍの入力を受け付ける。ステップＳ２において、メモリアドレス割り当て部１０１は、木構造の各ノードにメモリアドレスを割り当て、メモリアドレス集合Ａｄｄを生成する。ステップＳ３において、部分更新可能タグ生成部１０２は、平文Ｍとメモリアドレス集合Ａｄｄを用いて、改ざん検知用のタグ集合（ＴａｇＬｅａｆ，ＴａｇＩｎｔｅｒ，ＴａｇＲｏｏｔ）を生成する。
【0092】
ステップＳ４において、リーフノード生成部１０３は、部分更新可能タグ生成部１０２が出力するタグ集合ＴａｇＬｅａｆを用いて、木構造のリーフノード集合Ｌｅａｆを生成する。ステップＳ５において、中間ノード生成部１０４は、部分更新可能タグ生成部１０２が出力するタグ集合ＴａｇＩｎｔｅｒを用いて、木構造の中間ノード集合Ｉｎｔｅｒを生成する。ステップＳ６において、ルートノード生成部１０５は、部分更新可能タグ生成部１０２が出力するタグＴａｇＲｏｏｔを用いて、木構造のルートノードＲｏｏｔを生成する。
【0093】
ステップＳ７において、木構造出力部１０６は、リーフノード集合Ｌｅａｆと、中間ノード集合Ｉｎｔｅｒと、ルートノードＲｏｏｔとを連結して、木構造を示す連結されたデータ列をコンピュータディスプレイやプリンタなどへ出力する。また、メモリアドレス出力部１０７は、メモリアドレス割り当て部１０１が出力するメモリアドレスＡｄｄをコンピュータディスプレイやプリンタなどへ出力する。ステップＳ７の後、メモリ構造初期化装置１０は、図５の処理を終了する。
【0094】
図６は、メモリ検証装置２０の動作（メモリ検証方法）を示すフローチャートである。ステップＳ８において、木構造入力部２００は、検証対象となるメモリを保護するための木構造Ｔｒｅｅの入力を受け付ける。但し、Ｔｒｅｅは、リーフノード集合Ｌｅａｆ、中間ノード集合Ｉｎｔｅｒ、及び、ルートノードＲｏｏｔにより構成される。また、メモリアドレス入力部２０１は、検証対象となるメモリを保護するための木構造に割り当てられているメモリアドレス集合Ａｄｄの入力を受け付ける。さらに、検証箇所入力部２０２は、メモリの検証箇所ＣｈｅｃｋＮｏｄｅの入力を受け付ける。
【0095】
ステップＳ９において、タグ検証部２０３は、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、ＣｈｅｃｋＮｏｄｅとを用いて、ＣｈｅｃｋＮｏｄｅが指定するメモリが改ざんされていないか否かの検証を行う。さらに、タグ検証部２０３は、受理（ＡＣＫ）または不受理（ＮＣＫ）を決定し、検証結果Ｂを出力する。ステップＳ１０において、検証結果出力部２０４は、検証結果Ｂをコンピュータディスプレイやプリンタなどへ出力する。ステップＳ１０の後、メモリ検証装置２０は、図６の処理を終了する。
【0096】
図７は、メモリ更新装置３０の動作（メモリ更新方法）を示すフローチャートである。ステップＳ１１において、木構造入力部３００は、更新対象となるメモリを保護するための木構造Ｔｒｅｅの入力を受け付ける。但し、Ｔｒｅｅは、リーフノード集合Ｌｅａｆ、中間ノード集合Ｉｎｔｅｒ、ルートノードＲｏｏｔにより構成される。また、メモリアドレス入力部３０１は、検証対象となるメモリを保護するための木構造に割り当てられているメモリアドレス集合Ａｄｄの入力を受け付ける。さらに、更新箇所入力部３０２は、メモリの更新情報ＵｐｄａｔｅＮｏｄｅの入力を受け付ける。但し、ＵｐｄａｔｅＮｏｄｅ＝（ＵｐｄａｔｅＩｎｄｅｘ，ＵｐｄａｔｅＩｎｆｏ）と定義する。
【0097】
ステップＳ１２において、メモリ検証部３０３は、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅとを用いて、ＵｐｄａｔｅＮｏｄｅが指定するメモリが改ざんされていないか否かの検証を行う。さらに、メモリ検証部３０３は、受理（ＡＣＫ）または不受理（ＮＣＫ）を決定し、検証結果Ｂを出力する。そして、検証結果Ｂ、及び、メモリ検証のために用いたパスＰａｔｈを出力する。Ｂ＝ＡＣＫ、すなわちメモリ改ざんが検知されない場合（Ｓ１２：Ｂ＝ＡＣＫ（受理）のとき）、処理はステップＳ１４へ進む。Ｂ＝ＮＣＫ、すなわちメモリ改ざんが検知された場合（Ｓ１２：Ｂ＝ＮＣＫ（不受理）のとき）、処理はステップＳ１３へ進む。
【0098】
ステップＳ１３において、更新結果出力部３０６は、メモリ検証部３０３が出力する検証結果Ｂをコンピュータディスプレイやプリンタなどへ出力する。ステップＳ１３の後、メモリ更新装置３０は、図７の処理を終了する。
【0099】
ステップＳ１４において、カウンタ更新部３０４は、木構造入力部３００が出力するＴｒｅｅと、メモリ検証部３０３が出力するパスＰａｔｈを用いて、Ｐａｔｈで指定されるノードのカウンタを更新し、更新結果の木構造ＮｅｗＴｒｅｅ’を出力する。ステップＳ１５において、部分更新可能タグ更新部３０５は、木構造ＮｅｗＴｒｅｅ’と、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、検証結果Ｂおよびパス特許文献２にかかる技術ｈとを用いて、特許文献２にかかる技術ｈで指定されるノードのタグを更新する。そして、部分更新可能タグ更新部３０５は、更新結果の木構造ＮｅｗＴｒｅｅを出力する。
【0100】
ステップＳ１６において、更新結果出力部３０６は、部分更新可能タグ更新部３０５が出力する木構造ＮｅｗＴｒｅｅを出力する。ステップＳ１６の後、メモリ更新装置３０は、図７の処理を終了する。
【0101】
［効果の説明］
第１の実施形態では、並列化可能な木構造でＩｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いることにより、効率的にタグを生成及び更新することが可能となる。つまり、メモリ構造初期化装置１０における部分更新可能タグ生成部１０２やメモリ更新装置３０における部分更新可能タグ更新部３０５において、特許文献２、特許文献３、非特許文献１及び非特許文献２よりも効率的にタグを生成及び更新することが可能となる。言い換えると、メモリ保護のために最初に行う必要のある木構造の構成、及びメモリの書き込みを、より効率的に行うことが可能となる。つまり、第１の実施形態では、メモリの書き込み時に必要な処理量を削減することが可能となる。そして、この効果は、ナンス長やカウンタ長が長くなるほどより強まる。
第１の実施形態では、並列化可能な木構造でＩｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いることにより、効率的にタグを生成及び更新することが可能となる。つまり、メモリ構造初期化装置１０における部分更新可能タグ生成部１０２やメモリ更新装置３０における部分更新可能タグ更新部３０５において、特許文献２、特許文献３、非特許文献１及び非特許文献２よりも効率的にタグを生成及び更新することが可能となる。言い換えると、メモリ保護のために最初に行う必要のある木構造の構成、及びメモリの書き込みを、より効率的に行うことが可能となる。つまり、第１の実施形態では、メモリの書き込み時に必要な処理量を削減することが可能となる。そして、この効果は、ナンス長やカウンタ長が長くなるほどより強まる。
【0102】
（第２の実施形態）
次に、第２の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した第１の実施形態と異なる箇所について主に説明する。第２の実施形態では、メモリ保護システムが構成する木構造の分岐数がｂであり、深さがｄである例について説明する。つまり、第２の実施形態におけるリーフノードの数はｂ＾ｄ個となる。
次に、第２の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した第１の実施形態と異なる箇所について主に説明する。第２の実施形態では、メモリ保護システムが構成する木構造の分岐数がｂであり、深さがｄである例について説明する。つまり、第２の実施形態におけるリーフノードの数はｂ＾ｄ個となる。
【0103】
図１１は、第２の実施形態にかかるメモリ保護システムが構成する木構造の例を示す図である。図１１には、分岐数ｂ＝３、深さｄ＝３の場合の木構造が示されている。なお、Ｒｏｏｔ，Ｉｎｔｅｒ，Ｌｅａｆについては、上述した第１の実施形態の場合と実質的に同様である。
【0104】
第２の実施形態にかかるメモリ保護システム１ａは、メモリ構造初期化装置１０ａと、メモリ検証装置２０ａと、メモリ更新装置３０ａと、を備える。メモリ保護システム１ａは、メモリの改ざん検知を行う。メモリ保護システム１ａでは、メモリ構造初期化装置１０ａが改ざん検知を行いたい平文を入力として、初期状態の木構造と木構造における各ノードのメモリアドレス集合を出力する。ただし、平文はｂ＾ｄ個の平文ブロックの結合で表す。つまり、以下の式２４が成り立つ。
（式２４）
Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［ｂ＾ｄ］
また、１つの平文ブロックはＢｌｏｃｋビットと定義する。
（式２４）
Ｍ＝Ｍ［１］｜｜Ｍ［２］｜｜・・・｜｜Ｍ［ｂ＾ｄ］
また、１つの平文ブロックはＢｌｏｃｋビットと定義する。
【0105】
メモリ検証装置２０ａは、改ざんをチェックしたい平文ブロックの格納場所と木構造、および木構造における各ノードのメモリアドレスを入力として、そのメモリが改ざんされているか否かを検証する。メモリ更新装置３０ａは、更新したい平文ブロックの格納場所とその更新内容、木構造、および木構造における各ノードのメモリアドレスを入力とする。メモリ更新装置３０ａは、更新後の木構造、または、改ざんを検知したことを表すエラーメッセージを出力する。
【0106】
［メモリ構造初期化装置の構成の説明］
第２の実施形態にかかるメモリ構造初期化装置１０ａは、平文入力部１００と、メモリアドレス割り当て部１０１ａと、部分更新可能タグ生成部１０２ａと、を備える。また、第２の実施形態にかかるメモリ構造初期化装置１０ａは、リーフノード生成部１０３ａと、中間ノード生成部１０４ａと、ルートノード生成部１０５と、木構造出力部１０６と、メモリアドレス出力部１０７と、を備える。なお、平文入力部１００は、第１の実施形態のメモリ構造初期化装置１０における平文入力部１００と実質的に同じであるので、説明を省略する。
第２の実施形態にかかるメモリ構造初期化装置１０ａは、平文入力部１００と、メモリアドレス割り当て部１０１ａと、部分更新可能タグ生成部１０２ａと、を備える。また、第２の実施形態にかかるメモリ構造初期化装置１０ａは、リーフノード生成部１０３ａと、中間ノード生成部１０４ａと、ルートノード生成部１０５と、木構造出力部１０６と、メモリアドレス出力部１０７と、を備える。なお、平文入力部１００は、第１の実施形態のメモリ構造初期化装置１０における平文入力部１００と実質的に同じであるので、説明を省略する。
【0107】
メモリアドレス割り当て部１０１ａは、木構造の各ノードにメモリアドレス情報を割り当てる。１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝ｂ＾｛ｉ｝のとき、深さｉでｊ＿ｉ番目のノードに割り当てるメモリアドレスを、ａｄｄ（ｉ，ｊ＿ｉ）で表す。そして、木構造の全てのノードに割り当てられたメモリアドレス情報を、以下の式２５のように記述する。
（式２５）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），・・・，ａｄｄ（１，ｂ），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，ｂ＾ｄ－１），ａｄｄ（ｄ，ｂ＾ｄ））
（式２５）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），・・・，ａｄｄ（１，ｂ），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，ｂ＾ｄ－１），ａｄｄ（ｄ，ｂ＾ｄ））
【0108】
部分更新可能タグ生成部１０２ａは、平文入力部１００が出力する平文Ｍと、メモリアドレス割り当て部１０１ａが出力するメモリアドレス集合Ａｄｄと、秘密鍵Ｋとを用いて、改ざん検知用のタグを生成する。まず、部分更新可能タグ生成部１０２ａは、リーフノードで用いるタグとして、以下の式２６で表されるデータを生成する。
（式２６）
ＴａｇＬｅａｆ＝（（Ｍ［１］，Ｔａｇ（ｄ，１）），（Ｍ［２］，Ｔａｇ（ｄ，２）），・・・，（Ｍ［ｂ＾ｄ］，Ｔａｇ（ｄ，ｂ＾ｄ）））
Ｔａｇ（ｄ，ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），Ｍ［ｉ］）
１＜＝ｉ＜＝ｂ＾ｄ
（式２６）
ＴａｇＬｅａｆ＝（（Ｍ［１］，Ｔａｇ（ｄ，１）），（Ｍ［２］，Ｔａｇ（ｄ，２）），・・・，（Ｍ［ｂ＾ｄ］，Ｔａｇ（ｄ，ｂ＾ｄ）））
Ｔａｇ（ｄ，ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），Ｍ［ｉ］）
１＜＝ｉ＜＝ｂ＾ｄ
【0109】
但し、ａ｜｜ｂはビット列ａとビット列ｂの連結を表す。また、ＣＴＲは各ノードに格納されるローカルカウンタ値のビット長であり、０＾｛ＣＴＲ－１｝は０がＣＴＲ－１個連結したビット列を表す。ＣＴＲの値は予め決定されていると仮定する。
【0110】
次に、部分更新可能タグ生成部１０２ａは、中間ノードで用いるタグとして、以下の式２７で表されるデータを生成する。
（式２７）
ＴａｇＩｎｔｅｒ＝（Ｔａｇ（１，１），・・・，Ｔａｇ（ｄ－１，ｂ＾｛ｄ－１｝））
Ｔａｇ（１，１）＝ＭＡＣ＿Ｋ（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），（０＾｛ＣＴＲ－１｝｜｜１）＾ｂ）
Ｔａｇ（ｉ，ｊ＿ｉ）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（ｉ，ｊ＿ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝ｂ＾ｉ，（ｉ，ｊ＿ｉ）≠（１，１）
但し、Ｔａｇ（１，１）の導出部分において、ＭＡＣ＿Ｋの２つ目の入力（０＾｛ＣＴＲ－１｝｜｜１）＾ｂは、（０＾｛ＣＴＲ－１｝｜｜１）をｂ個連結した値を表す。
（式２７）
ＴａｇＩｎｔｅｒ＝（Ｔａｇ（１，１），・・・，Ｔａｇ（ｄ－１，ｂ＾｛ｄ－１｝））
Ｔａｇ（１，１）＝ＭＡＣ＿Ｋ（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），（０＾｛ＣＴＲ－１｝｜｜１）＾ｂ）
Ｔａｇ（ｉ，ｊ＿ｉ）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（ｉ，ｊ＿ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝ｂ＾ｉ，（ｉ，ｊ＿ｉ）≠（１，１）
但し、Ｔａｇ（１，１）の導出部分において、ＭＡＣ＿Ｋの２つ目の入力（０＾｛ＣＴＲ－１｝｜｜１）＾ｂは、（０＾｛ＣＴＲ－１｝｜｜１）をｂ個連結した値を表す。
【0111】
次に、部分更新可能タグ生成部１０２ａは、ルートノードで用いるタグとして、以下の式２８で表されるデータを生成する。
（式２８）
ＴａｇＲｏｏｔ＝（Ｔａｇ（０，１））
Ｔａｇ（０，１）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（０，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
（式２８）
ＴａｇＲｏｏｔ＝（Ｔａｇ（０，１））
Ｔａｇ（０，１）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（０，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
【0112】
式２６，式２７，式２８から、各ノードに対応するタグは、自ノードのメモリアドレスとローカルカウンタ値との連結をナンスとし、ｂ個の子ノードの複数のローカルカウンタ値の連結を平文とし、そのナンスと平文を入力としたＭＡＣの計算結果である。
そして、部分更新可能タグ生成部１０２ａは、タグ集合ＴａｇＬｅａｆをリーフノード生成部１０３ａに出力する。また、部分更新可能タグ生成部１０２ａは、タグ集合ＴａｇＩｎｔｅｒを中間ノード生成部１０４ａに出力する。また、部分更新可能タグ生成部１０２ａは、タグ集合ＴａｇＲｏｏｔをルートノード生成部１０５に出力する。
そして、部分更新可能タグ生成部１０２ａは、タグ集合ＴａｇＬｅａｆをリーフノード生成部１０３ａに出力する。また、部分更新可能タグ生成部１０２ａは、タグ集合ＴａｇＩｎｔｅｒを中間ノード生成部１０４ａに出力する。また、部分更新可能タグ生成部１０２ａは、タグ集合ＴａｇＲｏｏｔをルートノード生成部１０５に出力する。
【0113】
リーフノード生成部１０３ａは、部分更新可能タグ生成部１０２ａが出力するタグ集合ＴａｇＬｅａｆを用いて、木構造のリーフノードを生成する。１＜＝ｉ＜＝ｂ＾ｄのとき、ｉ番目のリーフノードは、以下の式２９で示すように生成される。
（式２９）
（ｃｔｒ（ｄ，ｉ），Ｍ［ｉ］，Ｔａｇ（ｄ，ｉ））
（式２９）
（ｃｔｒ（ｄ，ｉ），Ｍ［ｉ］，Ｔａｇ（ｄ，ｉ））
【0114】
但し、ｃｔｒ（ｄ，ｉ）は、深さｄにおけるｉ番目のリーフノードのカウンタ値を表しており、当該ノードが更新されるたびに１が足される。ここでは、全てのｉに対してｃｔｒ（ｄ，ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
【0115】
また、全てのリーフノードを以下の式３０のように記述する。
（式３０）
Ｌｅａｆ＝（（ｃｔｒ（ｄ，１），Ｍ［１］，Ｔａｇ（ｄ，１）），・・・，（ｃｔｒ（ｄ，ｂ＾ｄ），Ｍ［ｂ＾ｄ］，Ｔａｇ（ｄ，ｂ＾ｄ）））
また、リーフノード生成部１０３ａは、生成されたリーフノード集合Ｌｅａｆを木構造出力部１０６に出力する。
（式３０）
Ｌｅａｆ＝（（ｃｔｒ（ｄ，１），Ｍ［１］，Ｔａｇ（ｄ，１）），・・・，（ｃｔｒ（ｄ，ｂ＾ｄ），Ｍ［ｂ＾ｄ］，Ｔａｇ（ｄ，ｂ＾ｄ）））
また、リーフノード生成部１０３ａは、生成されたリーフノード集合Ｌｅａｆを木構造出力部１０６に出力する。
【0116】
中間ノード生成部１０４ａは、部分更新可能タグ生成部１０２ａが出力するタグ集合ＴａｇＩｎｔｅｒを用いて、木構造の中間ノードを生成する。また、１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝ｂ＾ｉのとき、深さｉにおけるｊ＿ｉ番目の中間ノードは以下の式３１で示すように生成される。
（式３１）
（ｃｔｒ（ｉ，ｊ＿ｉ），Ｔａｇ（ｉ，ｊ＿ｉ））
但し、全てのｉ，ｊ＿ｉに対してｃｔｒ（ｉ，ｊ＿ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
（式３１）
（ｃｔｒ（ｉ，ｊ＿ｉ），Ｔａｇ（ｉ，ｊ＿ｉ））
但し、全てのｉ，ｊ＿ｉに対してｃｔｒ（ｉ，ｊ＿ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
【0117】
また、全ての中間ノードを以下の式３２のように記述する。
（式３２）
Ｉｎｔｅｒ＝（（ｃｔｒ（１，１），Ｔａｇ（１，１）），（ｃｔｒ（１，２），Ｔａｇ（１，２）），・・・，（ｃｔｒ（ｄ－１，ｂ＾｛ｄ－１｝），Ｔａｇ（ｄ－１，ｂ＾｛ｄ－１｝）））
また、中間ノード生成部１０４ａは、生成された中間ノード集合Ｉｎｔｅｒを木構造出力部１０６に出力する。
（式３２）
Ｉｎｔｅｒ＝（（ｃｔｒ（１，１），Ｔａｇ（１，１）），（ｃｔｒ（１，２），Ｔａｇ（１，２）），・・・，（ｃｔｒ（ｄ－１，ｂ＾｛ｄ－１｝），Ｔａｇ（ｄ－１，ｂ＾｛ｄ－１｝）））
また、中間ノード生成部１０４ａは、生成された中間ノード集合Ｉｎｔｅｒを木構造出力部１０６に出力する。
【0118】
ルートノード生成部１０５は、第１の実施形態のメモリ構造初期化装置１０におけるルートノード生成部１０５と実質的に同じであるので、説明を省略する。木構造出力部１０６は、第１の実施形態のメモリ構造初期化装置１０における木構造出力部１０６と実質的に同じであるので、説明を省略する。メモリアドレス出力部１０７は、第１の実施形態のメモリ構造初期化装置１０におけるメモリアドレス出力部１０７と実質的に同じであるので、説明を省略する。
【0119】
［メモリ検証装置の構成の説明］
第２の実施形態にかかるメモリ検証装置２０ａは、木構造入力部２００と、メモリアドレス入力部２０１ａと、検証箇所入力部２０２ａと、タグ検証部２０３ａと、検証結果出力部２０４と、を備える。木構造入力部２００は、第１の実施形態のメモリ検証装置２０における木構造入力部２００実質的に同じであるので、説明を省略する。
第２の実施形態にかかるメモリ検証装置２０ａは、木構造入力部２００と、メモリアドレス入力部２０１ａと、検証箇所入力部２０２ａと、タグ検証部２０３ａと、検証結果出力部２０４と、を備える。木構造入力部２００は、第１の実施形態のメモリ検証装置２０における木構造入力部２００実質的に同じであるので、説明を省略する。
【0120】
メモリアドレス入力部２０１ａは、検証対象となるメモリを保護するための木構造に割り当てられているメモリアドレス集合Ａｄｄの入力を受け付ける。そして、メモリアドレス入力部２０１ａは、メモリアドレス集合Ａｄｄをタグ検証部２０３ａに出力する。なお、Ａｄｄは以下の式３３のように記述される。
（式３３）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），・・・，ａｄｄ（１，ｂ），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，ｂ＾ｄ－１），ａｄｄ（ｄ，ｂ＾ｄ））
但し、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝ｂ＾｛ｉ｝のとき、深さｉにおいてｊ＿ｉ番目のノードのメモリアドレスを、ａｄｄ（ｉ，ｊ＿ｉ）で表す。
（式３３）
Ａｄｄ＝（ａｄｄ（０，１），ａｄｄ（１，１），ａｄｄ（１，２），・・・，ａｄｄ（１，ｂ），ａｄｄ（２，１），ａｄｄ（２，２），・・・，ａｄｄ（ｄ，ｂ＾ｄ－１），ａｄｄ（ｄ，ｂ＾ｄ））
但し、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝ｂ＾｛ｉ｝のとき、深さｉにおいてｊ＿ｉ番目のノードのメモリアドレスを、ａｄｄ（ｉ，ｊ＿ｉ）で表す。
【0121】
検証箇所入力部２０２ａは、メモリの検証箇所ＣｈｅｃｋＮｏｄｅの入力を受け付ける。そして、検証箇所入力部２０２ａは、検証箇所ＣｈｅｃｋＮｏｄｅをタグ検証部２０３ａに出力する。但し、ＣｈｅｃｋＮｏｄｅは、１以上ｂ＾ｄ以下の数値であり、検証箇所がリーフノードのＣｈｅｃｋＮｏｄｅ番目であることを表す。
【0122】
タグ検証部２０３ａは、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、検証箇所ＣｈｅｃｋＮｏｄｅと、秘密鍵Ｋを用いて、ＣｈｅｃｋＮｏｄｅが指定するメモリが改ざんされていないか検証する。そして、タグ検証部２０３ａは、検証結果を検証結果出力部２０４に出力する。まず、タグ検証部２０３ａは、ＣｈｅｃｋＮｏｄｅ番目のリーフノードからルートノードまでのパスＰａｔｈを、以下の式３４を計算することで生成する。
（式３４）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
（式３４）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
【0123】
ここで、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝ｂ＾｛ｉ｝のとき、Ｐａｔｈの各要素（ｉ，ｊ＿ｉ）は、深さｉにおいてｊ＿ｉ番目のノードを表す。但し、ｐ＿ｄ＝ＣｈｅｃｋＮｏｄｅであり、０＜＝ｉ＜＝ｄ－１のとき、ｐ＿ｉは以下の式３５で定義される。
（式３５）
ｐ＿ｉ＝ｃｅｉｌｉｎｇ（ｐ＿｛ｉ＋１｝／ｂ）
但し、ｃｅｉｌｉｎｇ（・）は天井関数を表す。また、ｐ＿０の値は必ず１となる。
（式３５）
ｐ＿ｉ＝ｃｅｉｌｉｎｇ（ｐ＿｛ｉ＋１｝／ｂ）
但し、ｃｅｉｌｉｎｇ（・）は天井関数を表す。また、ｐ＿０の値は必ず１となる。
【0124】
次にタグ検証部２０３ａは、メモリアドレス入力部２０１ａの出力であるＡｄｄと、木構造入力部２００の出力であるＴｒｅｅと、秘密鍵Ｋを用いて以下の式３６を計算する。
（式３６）
ＰａｔｈＴａｇ’＝（Ｔａｇ’（ｄ，ｐ＿ｄ），Ｔａｇ’（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ’（０，ｐ＿０））
Ｔａｇ’（ｄ，ｐ＿ｄ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），Ｍ［ｐ＿ｄ］）
Ｔａｇ’（ｉ，ｐ＿ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ），ｃｔｒ（ｉ＋１，ｂ・ｐ＿ｉ－（ｂ－１））｜｜・・・｜｜ｃｔｒ（ｉ＋１，ｂ・ｐ＿ｉ－１）｜｜ｃｔｒ（ｉ＋１，ｂ・ｐ＿ｉ））
０＜＝ｉ＜＝ｄ－１
（式３６）
ＰａｔｈＴａｇ’＝（Ｔａｇ’（ｄ，ｐ＿ｄ），Ｔａｇ’（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ’（０，ｐ＿０））
Ｔａｇ’（ｄ，ｐ＿ｄ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），Ｍ［ｐ＿ｄ］）
Ｔａｇ’（ｉ，ｐ＿ｉ）＝ＭＡＣ＿Ｋ（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ），ｃｔｒ（ｉ＋１，ｂ・ｐ＿ｉ－（ｂ－１））｜｜・・・｜｜ｃｔｒ（ｉ＋１，ｂ・ｐ＿ｉ－１）｜｜ｃｔｒ（ｉ＋１，ｂ・ｐ＿ｉ））
０＜＝ｉ＜＝ｄ－１
【0125】
但し、ＭＡＣ＿Ｋは、第２の実施形態におけるメモリ構造初期化装置１０ａの部分更新可能タグ生成部１０２ａで用いられている方式と実質的に同じであるので、説明を省略する。また、Ｔａｇ’（ｉ，ｐ＿ｉ）は、ＭＡＣ関数の入力のナンス部分に当該ノードのアドレスとローカルカウンタとの連結を入力し、平文部分に当該ノードの子ノードのローカルカウンタをｂ個連結して入力したものである。
【0126】
次に、タグ検証部２０３ａは、木構造入力部２００の出力であるＴｒｅｅから、以下の式３７で表される値を取得する。
（式３７）
ＰａｔｈＴａｇ＝（Ｔａｇ（ｄ，ｐ＿ｄ），Ｔａｇ（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ（０，ｐ＿０））
（式３７）
ＰａｔｈＴａｇ＝（Ｔａｇ（ｄ，ｐ＿ｄ），Ｔａｇ（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ（０，ｐ＿０））
【0127】
そして、タグ検証部２０３ａは、自身が計算したＰａｔｈＴａｇ’とＴｒｅｅから取得したＰａｔｈＴａｇとが等しいか否かをチェックする。０＜＝ｉ＜＝ｄのとき、全てのｉに対して
Ｔａｇ’（ｉ，ｐ＿ｉ）＝Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３ａは、検証結果をＡＣＫに設定する。ＡＣＫは、パスに関わるノードの情報が改ざんされていないことを示す。検証結果をＢと表記し、検証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
Ｔａｇ’（ｉ，ｐ＿ｉ）＝Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３ａは、検証結果をＡＣＫに設定する。ＡＣＫは、パスに関わるノードの情報が改ざんされていないことを示す。検証結果をＢと表記し、検証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
【0128】
一方、０＜＝ｉ＜＝ｄのとき、あるｉに対して
Ｔａｇ’（ｉ，ｐ＿ｉ）≠Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３ａは、検証結果をＮＣＫに設定する。ＮＣＫは、パスに関わるノードの情報が改ざんされていることを示す。検証結果がＮＣＫであることを、Ｂ＝ＮＣＫと表記する。
Ｔａｇ’（ｉ，ｐ＿ｉ）≠Ｔａｇ（ｉ，ｐ＿ｉ）
が成立する場合、タグ検証部２０３ａは、検証結果をＮＣＫに設定する。ＮＣＫは、パスに関わるノードの情報が改ざんされていることを示す。検証結果がＮＣＫであることを、Ｂ＝ＮＣＫと表記する。
【0129】
タグ検証部２０３ａは検証結果Ｂを出力する。
検証結果出力部２０４は、第１の実施形態のメモリ検証装置２０における検証結果出力部２０４と実質的に同じであるので、説明を省略する。
検証結果出力部２０４は、第１の実施形態のメモリ検証装置２０における検証結果出力部２０４と実質的に同じであるので、説明を省略する。
【0130】
［メモリ更新装置の構成の説明］
第２の実施形態にかかるメモリ更新装置３０ａは、木構造入力部３００と、メモリアドレス入力部３０１ａと、更新箇所入力部３０２ａと、メモリ検証部３０３ａと、カウンタ更新部３０４と、部分更新可能タグ更新部３０５ａと、更新結果出力部３０６と、を備える。木構造入力部３００は、第１の実施形態のメモリ更新装置３０における木構造入力部３００と実質的に同じであるので、説明を省略する。
第２の実施形態にかかるメモリ更新装置３０ａは、木構造入力部３００と、メモリアドレス入力部３０１ａと、更新箇所入力部３０２ａと、メモリ検証部３０３ａと、カウンタ更新部３０４と、部分更新可能タグ更新部３０５ａと、更新結果出力部３０６と、を備える。木構造入力部３００は、第１の実施形態のメモリ更新装置３０における木構造入力部３００と実質的に同じであるので、説明を省略する。
【0131】
メモリアドレス入力部３０１ａは、検証対象となるメモリを保護するための木構造に割り当てられているメモリアドレス集合Ａｄｄの入力を受け付ける。そして、メモリアドレス入力部３０１ａは、メモリアドレス集合Ａｄｄを、メモリ検証部３０３ａ及び部分更新可能タグ更新部３０５ａに出力する。メモリアドレス入力部３０１ａの機能は、第２の実施形態のメモリ検証装置２０ａにおけるメモリアドレス入力部２０１ａの機能と実質的に同じであるので、説明を省略する。
【0132】
更新箇所入力部３０２ａは、メモリの更新情報ＵｐｄａｔｅＮｏｄｅの入力を受け付ける。そして、更新箇所入力部３０２ａは、メモリの更新情報ＵｐｄａｔｅＮｏｄｅを、メモリ検証部３０３ａ及び部分更新可能タグ更新部３０５ａに出力する。但し、ＵｐｄａｔｅＮｏｄｅ＝（ＵｐｄａｔｅＩｎｄｅｘ，ＵｐｄａｔｅＩｎｆｏ）と定義する。ＵｐｄａｔｅＩｎｄｅｘは１以上ｂ＾ｄ以下の数値であり、更新箇所がリーフノードのＵｐｄａｔｅＩｎｄｅｘ番目であることを表す。ＵｐｄａｔｅＩｎｆｏは、ＵｐｄａｔｅＩｎｄｅｘ番目のリーフに含まれる情報である平文ブロックＭ［ＵｐｄａｔｅＩｎｄｅｘ］を更新するＢｌｏｃｋビットの情報を表す。
【0133】
メモリ検証部３０３ａは、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、秘密鍵Ｋとを用いて、ＵｐｄａｔｅＮｏｄｅが指定するメモリが改ざんされていないか検証する。メモリ検証部３０３ａが行う処理は、第２の実施形態のメモリ検証装置２０ａにおけるタグ検証部２０３ａと同じであるが、出力結果のみ異なる。第２の実施形態のメモリ検証装置２０ａにおけるタグ検証部２０３ａは検証結果Ｂを出力するが、メモリ検証部３０３ａは、検証結果Ｂと共に、当該ノードからルートノードまでのパスＰａｔｈも出力する。メモリ検証部３０３ａは、検証結果Ｂを、カウンタ更新部３０４、部分更新可能タグ更新部３０５ａ及び更新結果出力部３０６に出力する。また、メモリ検証部３０３ａは、パスＰａｔｈを、カウンタ更新部３０４及び部分更新可能タグ更新部３０５ａに出力する。
【0134】
Ｐａｔｈは以下の式３８のように表される。
（式３８）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
ここでは、メモリ検証部３０３ａが行う操作から、ｐ＿ｄ＝ＵｐｄａｔｅＩｎｄｅｘとなることが分かる。
（式３８）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
ここでは、メモリ検証部３０３ａが行う操作から、ｐ＿ｄ＝ＵｐｄａｔｅＩｎｄｅｘとなることが分かる。
【0135】
カウンタ更新部３０４は、第１の実施形態のメモリ更新装置３０におけるカウンタ更新部３０４と実質的に同じであるので、説明を省略する。
【0136】
部分更新可能タグ更新部３０５ａは、更新結果の木構造ＮｅｗＴｒｅｅ’と、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、検証結果ＢおよびパスＰａｔｈと、秘密鍵Ｋとを用いて、Ｐａｔｈで指定されるノードのタグを更新する。Ｂ＝ＡＣＫである場合、部分更新可能タグ更新部３０５ａは、０＜＝ｉ＜＝ｄ－１に対して、以下の式３９の計算を行う。
（式３９）
Ｔａｇ（ｄ，ｐ＿ｄ）←ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），ＵｐｄａｔｅＩｎｆｏ）
Ｔａｇ（ｉ，ｐ＿ｉ）←ＩｎｃＭＡＣ＿Ｋ（（１，ｉｎｄ＿｛ｉ＋１｝），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜（ｃｔｒ（ｉ，ｐ＿ｉ）－１）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）－１），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）），Ｔａｇ（ｉ，ｐ＿ｉ））
ｉｎｄ＿｛ｉ＋１｝＝（（ｐ＿｛ｉ＋１｝－１）ｍｏｄ（ｂ））＋１
（式３９）
Ｔａｇ（ｄ，ｐ＿ｄ）←ＭＡＣ＿Ｋ（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），ＵｐｄａｔｅＩｎｆｏ）
Ｔａｇ（ｉ，ｐ＿ｉ）←ＩｎｃＭＡＣ＿Ｋ（（１，ｉｎｄ＿｛ｉ＋１｝），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜（ｃｔｒ（ｉ，ｐ＿ｉ）－１）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）－１），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）），Ｔａｇ（ｉ，ｐ＿ｉ））
ｉｎｄ＿｛ｉ＋１｝＝（（ｐ＿｛ｉ＋１｝－１）ｍｏｄ（ｂ））＋１
【0137】
但し、ＭＡＣ＿ＫおよびＩｎｃＭＡＣ＿Ｋは、第２の実施形態におけるメモリ構造初期化装置１０ａの部分更新可能タグ生成部１０２ａや、メモリ検証装置２０ａのタグ検証部２０３ａで用いられている方式と実質的に同じであるので、説明を省略する。また、ｉｎｄ＿｛ｉ＋１｝は、（ｉ＋１，ｐ＿｛ｉ＋１｝）というノードが、その親ノード（ｉ，ｐ＿ｉ）から見て何番目の子ノードであるか示す値である。そして、部分更新可能タグ更新部３０５ａは、更新結果の木構造ＮｅｗＴｒｅｅを、更新結果出力部３０６に出力する。一方、Ｂ＝ＮＣＫの場合は、部分更新可能タグ更新部３０５ａは処理を行わず、何も出力しない。
【0138】
更新結果出力部３０６は、第１の実施形態のメモリ更新装置３０における更新結果出力部３０６と実質的に同じであるので、説明を省略する。
【0139】
［効果の説明］
第２の実施形態が奏する効果は第１の実施形態が奏する効果と実質的に同じである。但し、第１の実施形態では、構成される木構造は２分木を仮定していたが、第２の実施形態では、木構造の分岐数を任意にしている。メモリ構造初期化装置１０ａにおける部分更新可能タグ生成部１０２ａ及びメモリ更新装置３０ａにおける部分更新可能タグ更新部３０５ａで実現されるタグ更新は、ナンスのみの更新、又は、１つの子ノードのみにおけるカウンタ値更新である。したがって、分岐数の多い木構造ほど、Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いることによる効果がより強まる。詳細には、特許文献２、特許文献３、非特許文献１及び非特許文献２では、分岐数の増大に比例して、木構造の生成時や更新時におけるノードごとのＭＡＣ処理量が増大する。しかしながら、第２の実施形態では、木構造の生成時や更新時におけるノードごとのＭＡＣ処理量は、分岐数に依らず一定である。したがって、分岐数によらないで、処理量を削減することが可能となる。
第２の実施形態が奏する効果は第１の実施形態が奏する効果と実質的に同じである。但し、第１の実施形態では、構成される木構造は２分木を仮定していたが、第２の実施形態では、木構造の分岐数を任意にしている。メモリ構造初期化装置１０ａにおける部分更新可能タグ生成部１０２ａ及びメモリ更新装置３０ａにおける部分更新可能タグ更新部３０５ａで実現されるタグ更新は、ナンスのみの更新、又は、１つの子ノードのみにおけるカウンタ値更新である。したがって、分岐数の多い木構造ほど、Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いることによる効果がより強まる。詳細には、特許文献２、特許文献３、非特許文献１及び非特許文献２では、分岐数の増大に比例して、木構造の生成時や更新時におけるノードごとのＭＡＣ処理量が増大する。しかしながら、第２の実施形態では、木構造の生成時や更新時におけるノードごとのＭＡＣ処理量は、分岐数に依らず一定である。したがって、分岐数によらないで、処理量を削減することが可能となる。
【0140】
（第３の実施形態）
次に、第３の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した第１の実施形態と異なる箇所について主に説明する。第３の実施形態では、メモリ検証に加えて、入力される平文を暗号化して秘匿するメモリ保護システムの例について説明する。但し、第３の実施形態にかかるメモリ保護システム１ｃが構成する木構造は、第１の実施形態と同様に、分岐数が２であり、深さがｄであると定義する。
次に、第３の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した第１の実施形態と異なる箇所について主に説明する。第３の実施形態では、メモリ検証に加えて、入力される平文を暗号化して秘匿するメモリ保護システムの例について説明する。但し、第３の実施形態にかかるメモリ保護システム１ｃが構成する木構造は、第１の実施形態と同様に、分岐数が２であり、深さがｄであると定義する。
【0141】
図１２は、第３の実施形態にかかるメモリ保護システムが構成する木構造の例を示す図である。図１２には、分岐数ｂ＝２、深さｄ＝３の場合の木構造が示されている。なお、Ｒｏｏｔ，Ｉｎｔｅｒ，Ｌｅａｆについては、上述した第１の実施形態の場合と実質的に同様である。
【0142】
第３の実施形態にかかるメモリ保護システム１ｃは、メモリ構造初期化装置１０ｃと、メモリ検証装置２０ｃと、メモリ更新装置３０ｃと、を備える。メモリ保護システム１ｃは、メモリの改ざん検知および秘匿を行う。メモリ保護システム１ｃでは、メモリ構造初期化装置１０ｃが改ざん検知および秘匿を行いたい平文を入力として、初期状態の木構造と木構造における各ノードのメモリアドレス集合を出力する。
【0143】
メモリ検証装置２０ｃは、改ざんをチェックしたい暗号文ブロックの格納場所と木構造、および木構造における各ノードのメモリアドレスを入力として、そのメモリが改ざんされているかどうか検証する。メモリ更新装置３０ｃは、更新したい暗号文ブロックの格納場所とその更新内容、木構造、および木構造における各ノードのメモリアドレスを入力とする。メモリ更新装置３０ｃは、更新後の木構造か、または、改ざんを検知したことを表すエラーメッセージを出力する。
【0144】
第３の実施形態にかかるメモリ保護システム１ｃは、第１の実施形態におけるメモリ保護システム１で用いたＭＡＣに加えて、要素技術として認証暗号（ＡＥ）を用いる。秘密鍵Ｋを用いたＡＥは、暗号化関数ＡＥ．Ｅｎｃ＿Ｋと、この暗号化関数ＡＥ．Ｅｎｃ＿Ｋ対となる復号関数ＡＥ．Ｄｅｃ＿Ｋとの２つの関数により定義される。ＡＥ．Ｅｎｃ＿Ｋは、ナンスＮ、および平文Ｍを入力として、暗号文Ｃと認証タグＴａｇとを出力する。暗号化関数を式で記述すると以下の式４０のようになる。
（式４０）
ＡＥ．Ｅｎｃ＿Ｋ（Ｎ，Ｍ）＝（Ｃ，Ｔ）
（式４０）
ＡＥ．Ｅｎｃ＿Ｋ（Ｎ，Ｍ）＝（Ｃ，Ｔ）
【0145】
ＡＥ．Ｅｎｃ＿Ｋは、ナンスＮ、暗号文Ｃ、および認証タグの３つを入力として、改ざんが検知されない場合は復号結果の平文Ｍを出力し、改ざんが検知された場合はエラーメッセージ⊥を出力する。このことを式で記述すると以下の式４１のようになる。
（式４１）
ＡＥ．Ｄｅｃ＿Ｋ（Ｎ，Ｃ，Ｔ）＝Ｍ（改ざんが検知されない場合）
ＡＥ．Ｄｅｃ＿Ｋ（Ｎ，Ｃ，Ｔ）＝⊥（改ざんが検知された場合）
（式４１）
ＡＥ．Ｄｅｃ＿Ｋ（Ｎ，Ｃ，Ｔ）＝Ｍ（改ざんが検知されない場合）
ＡＥ．Ｄｅｃ＿Ｋ（Ｎ，Ｃ，Ｔ）＝⊥（改ざんが検知された場合）
【0146】
［メモリ構造初期化装置の構成の説明］
第３の実施形態にかかるメモリ構造初期化装置１０ｃは、平文入力部１００と、メモリアドレス割り当て部１０１と、部分更新可能タグ生成部１０２ｃと、を備える。また、第３の実施形態にかかるメモリ構造初期化装置１０ｃは、リーフノード生成部１０３ｃと、中間ノード生成部１０４と、ルートノード生成部１０５と、木構造出力部１０６と、メモリアドレス出力部１０７と、を備える。
第３の実施形態にかかるメモリ構造初期化装置１０ｃは、平文入力部１００と、メモリアドレス割り当て部１０１と、部分更新可能タグ生成部１０２ｃと、を備える。また、第３の実施形態にかかるメモリ構造初期化装置１０ｃは、リーフノード生成部１０３ｃと、中間ノード生成部１０４と、ルートノード生成部１０５と、木構造出力部１０６と、メモリアドレス出力部１０７と、を備える。
【0147】
平文入力部１００は、第１の実施形態のメモリ構造初期化装置における平文入力部１００と実質的に同じであるので、説明を省略する。メモリアドレス割り当て部１０１は、第１の実施形態のメモリ構造初期化装置におけるメモリアドレス割り当て部１０１と実質的に同じであるので、説明を省略する。
【0148】
部分更新可能タグ生成部１０２ｃは、平文入力部１００が出力する平文Ｍと、メモリアドレス割り当て部１０１が出力するメモリアドレス集合Ａｄｄと、秘密鍵Ｋ＿１，Ｋ＿２とを用いて、改ざん検知用のタグおよび暗号文を生成する。中間ノードとルートノードのためのタグ生成にはＭＡＣを用いるとし、平文（リーフノード）の暗号化およびタグ生成には認証暗号（ＡＥ）を用いるとする。ＭＡＣのアルゴリズムには、例えばＰＭＡＣなどが挙げられ、ＡＥのアルゴリズムには、例えばＯＣＢ（Offset CodeBook）などが挙げられる。
【0149】
まず、部分更新可能タグ生成部１０２ｃは、リーフノードで用いる暗号文とタグとして、以下の式４２で表されるデータを生成する。
（式４２）
ＴａｇＬｅａｆ＝（（Ｃ［１］，Ｔａｇ（ｄ，１）），（Ｃ［２］，Ｔａｇ（ｄ，２）），・・・，（Ｃ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
（Ｃ［ｉ］，Ｔａｇ（ｄ，ｉ））＝ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝（ａｄｄ（ｄ，ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），Ｍ［ｉ］）
１＜＝ｉ＜＝２＾ｄ
（式４２）
ＴａｇＬｅａｆ＝（（Ｃ［１］，Ｔａｇ（ｄ，１）），（Ｃ［２］，Ｔａｇ（ｄ，２）），・・・，（Ｃ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
（Ｃ［ｉ］，Ｔａｇ（ｄ，ｉ））＝ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝（ａｄｄ（ｄ，ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），Ｍ［ｉ］）
１＜＝ｉ＜＝２＾ｄ
【0150】
但し、ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝（・，・）はＡＥの暗号化関数を表す。また、ＣＴＲは各ノードに格納されるローカルカウンタ値のビット長であり、０＾｛ＣＴＲ－１｝は０がＣＴＲ－１個連結したビット列を表す。ＣＴＲの値は予め決定されていると仮定する。
【0151】
次に、部分更新可能タグ生成部１０２ｃは、中間ノードで用いるタグとして、以下の式４３で表されるデータを生成する。
（式４３）
ＴａｇＩｎｔｅｒ＝（Ｔａｇ（１，１），・・・，Ｔａｇ（ｄ－１，２＾｛ｄ－１｝））
Ｔａｇ（１，１）＝ＭＡＣ＿Ｋ（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），（０＾｛ＣＴＲ－１｝｜｜１）｜｜（０＾｛ＣＴＲ－１｝｜｜１））
Ｔａｇ（ｉ，ｊ＿ｉ）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（ｉ，ｊ＿ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝２＾ｉ，（ｉ，ｊ＿ｉ）≠（１，１）
（式４３）
ＴａｇＩｎｔｅｒ＝（Ｔａｇ（１，１），・・・，Ｔａｇ（ｄ－１，２＾｛ｄ－１｝））
Ｔａｇ（１，１）＝ＭＡＣ＿Ｋ（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），（０＾｛ＣＴＲ－１｝｜｜１）｜｜（０＾｛ＣＴＲ－１｝｜｜１））
Ｔａｇ（ｉ，ｊ＿ｉ）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（ｉ，ｊ＿ｉ）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
１＜＝ｉ＜＝ｄ－１，１＜＝ｊ＿ｉ＜＝２＾ｉ，（ｉ，ｊ＿ｉ）≠（１，１）
【0152】
次に、部分更新可能タグ生成部１０２ｃは、ルートノードで用いるタグとして、以下の式４４で表されるデータを生成する。
（式４４）
ＴａｇＲｏｏｔ＝（Ｔａｇ（０，１））
Ｔａｇ（０，１）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（０，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
（式４４）
ＴａｇＲｏｏｔ＝（Ｔａｇ（０，１））
Ｔａｇ（０，１）＝ＩｎｃＭＡＣ＿Ｋ（（１，∞），（ａｄｄ（１，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），（ａｄｄ（０，１）｜｜（０＾｛ＣＴＲ－１｝｜｜１），∞），Ｔａｇ（１，１））
【0153】
リーフノード生成部１０３ｃは、部分更新可能タグ生成部１０２ｃが出力する暗号文およびタグ集合ＴａｇＬｅａｆを用いて、木構造のリーフノードを生成する。１＜＝ｉ＜＝２＾ｄのとき、ｉ番目のリーフノードは、以下の式４５で示すように生成される。
（式４５）
（ｃｔｒ（ｄ，ｉ），Ｃ［ｉ］，Ｔａｇ（ｄ，ｉ））
（式４５）
（ｃｔｒ（ｄ，ｉ），Ｃ［ｉ］，Ｔａｇ（ｄ，ｉ））
【0154】
但し、ｃｔｒ（ｄ，ｉ）は、深さｄにおけるｉ番目のリーフノードのカウンタ値を表しており、当該ノードが更新されるたびに１が足される。ここでは、全てのｉに対してｃｔｒ（ｄ，ｉ）＝０＾｛ＣＴＲ－１｝｜｜１と定義する。
【0155】
また、全てのリーフノードを以下の式４６のように記述する。
（式４６）
Ｌｅａｆ＝（（ｃｔｒ（ｄ，１），Ｃ［１］，Ｔａｇ（ｄ，１）），・・・，（ｃｔｒ（ｄ，２＾ｄ），Ｃ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
（式４６）
Ｌｅａｆ＝（（ｃｔｒ（ｄ，１），Ｃ［１］，Ｔａｇ（ｄ，１）），・・・，（ｃｔｒ（ｄ，２＾ｄ），Ｃ［２＾ｄ］，Ｔａｇ（ｄ，２＾ｄ）））
【0156】
中間ノード生成部１０４は、第１の実施形態のメモリ構造初期化装置１０における中間ノード生成部１０４と実質的に同じであるので、説明を省略する。ルートノード生成部１０５は、第１の実施形態のメモリ構造初期化装置１０におけるルートノード生成部１０５と実質的に同じであるので、説明を省略する。木構造出力部１０６は、第１の実施形態のメモリ構造初期化装置１０における木構造出力部１０６と実質的に同じであるので、説明を省略する。メモリアドレス出力部１０７は、第１の実施形態のメモリ構造初期化装置１０におけるメモリアドレス出力部１０７と実質的に同じであるので、説明を省略する。
【0157】
［メモリ検証装置の構成の説明］
第３の実施形態にかかるメモリ検証装置２０ｃは、木構造入力部２００と、メモリアドレス入力部２０１と、検証箇所入力部２０２と、タグ検証部２０３ｃと、検証結果出力部２０４と、を備える。木構造入力部２００は、第１の実施形態のメモリ検証装置２０における木構造入力部２００と実質的に同じであるので、説明を省略する。メモリアドレス入力部２０１は、第１の実施形態のメモリ検証装置２０におけるメモリアドレス入力部２０１と実質的に同じであるので、説明を省略する。検証箇所入力部２０２は、第１の実施形態のメモリ検証装置２０における検証箇所入力部２０２と実質的に同じであるので、説明を省略する。
第３の実施形態にかかるメモリ検証装置２０ｃは、木構造入力部２００と、メモリアドレス入力部２０１と、検証箇所入力部２０２と、タグ検証部２０３ｃと、検証結果出力部２０４と、を備える。木構造入力部２００は、第１の実施形態のメモリ検証装置２０における木構造入力部２００と実質的に同じであるので、説明を省略する。メモリアドレス入力部２０１は、第１の実施形態のメモリ検証装置２０におけるメモリアドレス入力部２０１と実質的に同じであるので、説明を省略する。検証箇所入力部２０２は、第１の実施形態のメモリ検証装置２０における検証箇所入力部２０２と実質的に同じであるので、説明を省略する。
【0158】
タグ検証部２０３ｃは、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、検証箇所ＣｈｅｃｋＮｏｄｅと、秘密鍵Ｋ＿１，Ｋ＿２とを用いて、ＣｈｅｃｋＮｏｄｅが指定するメモリが改ざんされていないか検証する。まず、タグ検証部２０３ｃは、ＣｈｅｃｋＮｏｄｅ番目のリーフノードからルートノードまでのパスＰａｔｈを生成する。ここで、パスＰａｔｈとは、当該リーフノードからルートノードまでのノードの道のりを示すもので、以下の式４７で表される。
（式４７）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
（式４７）
Ｐａｔｈ＝（（ｄ，ｐ＿ｄ），（ｄ－１，ｐ＿｛ｄ－１｝），（ｄ－２，ｐ＿｛ｄ－２｝），・・・，（１，ｐ＿１），（０，ｐ＿０））
【0159】
ここで、１＜＝ｉ＜＝ｄ，１＜＝ｊ＿ｉ＜＝２＾｛ｉ｝のとき、Ｐａｔｈの各要素（ｉ，ｊ＿ｉ）は、深さｉにおいてｊ＿ｉ番目のノードを表す。但し、ｐ＿ｄ＝ＣｈｅｃｋＮｏｄｅであり、０＜＝ｉ＜＝ｄ－１のとき、ｐ＿ｉは以下の式４８で定義される。
（式４８）
ｐ＿ｉ＝ｃｅｉｌｉｎｇ（ｐ＿｛ｉ＋１｝／２）
但し、ｃｅｉｌｉｎｇ（・）は天井関数を表す。また、ｐ＿０の値は必ず１となる。
（式４８）
ｐ＿ｉ＝ｃｅｉｌｉｎｇ（ｐ＿｛ｉ＋１｝／２）
但し、ｃｅｉｌｉｎｇ（・）は天井関数を表す。また、ｐ＿０の値は必ず１となる。
【0160】
次に、タグ検証部２０３ｃは、メモリアドレス入力部２０１の出力であるＡｄｄと、木構造入力部２００の出力であるＴｒｅｅと、秘密鍵Ｋ＿１，Ｋ＿２とを用いて以下の式４９を計算する。
（式４９）
ＡＥ．Ｄｅｃ＿｛Ｋ＿１｝（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），Ｃ［ｐ＿ｄ］，Ｔａｇ（ｄ，ｐ＿ｄ））
（式４９）
ＡＥ．Ｄｅｃ＿｛Ｋ＿１｝（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），Ｃ［ｐ＿ｄ］，Ｔａｇ（ｄ，ｐ＿ｄ））
【0161】
上記の計算結果がエラーメッセージ⊥の場合、タグ検証部２０３ｃは、検証結果ＢをＢ＝ＮＣＫと定義し、Ｂを出力して処理を終了する。但し、ＡＥ．Ｄｅｃ＿｛Ｋ＿１｝（・，・，・）は、第３の実施形態におけるメモリ構造初期化装置１０ｃの部分更新可能タグ生成部１０２ｃで用いられている方式ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝の復号関数である。また、ＮＣＫは、パスに関わるノードの情報が改ざんされていることを示す。
【0162】
一方、上記の計算結果が平文Ｍ［ｐ＿ｄ］として正しく復号されたことを示す場合、タグ検証部２０３ｃは、続けて以下の式５０を計算する。
（式５０）
ＰａｔｈＴａｇ’＝（Ｔａｇ’（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ’（０，ｐ＿０））
Ｔａｇ’（ｉ，ｐ＿ｉ）＝ＭＡＣ＿｛Ｋ＿２｝（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ），ｃｔｒ（ｉ＋１，２ｐ＿ｉ－１）｜｜ｃｔｒ（ｉ＋１，２ｐ＿ｉ））
０＜＝ｉ＜＝ｄ－１
（式５０）
ＰａｔｈＴａｇ’＝（Ｔａｇ’（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ’（０，ｐ＿０））
Ｔａｇ’（ｉ，ｐ＿ｉ）＝ＭＡＣ＿｛Ｋ＿２｝（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ），ｃｔｒ（ｉ＋１，２ｐ＿ｉ－１）｜｜ｃｔｒ（ｉ＋１，２ｐ＿ｉ））
０＜＝ｉ＜＝ｄ－１
【0163】
但し、ＭＡＣ＿｛Ｋ＿２｝（・）は、第３の実施形態におけるメモリ構造初期化装置１０ｃの部分更新可能タグ生成部１０２ｃで用いられているＭＡＣ方式と実質的に同じであるので、説明を省略する。
【0164】
また、タグ検証部２０３ｃは、木構造入力部２００の出力であるＴｒｅｅから、以下の式５１で表される値を取得する。
（式５１）
ＰａｔｈＴａｇ＝（Ｔａｇ（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ（０，ｐ＿０））
（式５１）
ＰａｔｈＴａｇ＝（Ｔａｇ（ｄ－１，ｐ＿｛ｄ－１｝），・・・，Ｔａｇ（０，ｐ＿０））
【0165】
そして、タグ検証部２０３ｃは、自身が計算したＰａｔｈＴａｇ’とＴｒｅｅから取得したＰａｔｈＴａｇとが等しいか否かをチェックする。０＜＝ｉ＜＝ｄ－１のとき、全てのｉに対して
Ｔａｇ’（ｉ，ｐ＿ｉ）＝Ｔａｇ（ｉ，ｐ＿ｉ）
が成立するなら、タグ検証部２０３ｃは検証結果をＡＣＫに設定する。ＡＣＫは、パスに関わるノードの情報が改ざんされていないことを示す。検証結果をＢと表記し、検証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
Ｔａｇ’（ｉ，ｐ＿ｉ）＝Ｔａｇ（ｉ，ｐ＿ｉ）
が成立するなら、タグ検証部２０３ｃは検証結果をＡＣＫに設定する。ＡＣＫは、パスに関わるノードの情報が改ざんされていないことを示す。検証結果をＢと表記し、検証結果がＡＣＫであることを、Ｂ＝ＡＣＫと表記する。
【0166】
一方、０＜＝ｉ＜＝ｄのとき、あるｉに対して
Ｔａｇ’（ｉ，ｐ＿ｉ）≠Ｔａｇ（ｉ，ｐ＿ｉ）
が成立するなら、タグ検証部２０３は検証結果ＢをＢ＝ＮＣＫと定義する。
Ｔａｇ’（ｉ，ｐ＿ｉ）≠Ｔａｇ（ｉ，ｐ＿ｉ）
が成立するなら、タグ検証部２０３は検証結果ＢをＢ＝ＮＣＫと定義する。
【0167】
タグ検証部２０３は検証結果Ｂを出力する。
検証結果出力部２０４は、第１の実施形態のメモリ検証装置２０における検証結果出力部２０４と実質的に同じであるので、説明を省略する。
検証結果出力部２０４は、第１の実施形態のメモリ検証装置２０における検証結果出力部２０４と実質的に同じであるので、説明を省略する。
【0168】
［メモリ更新装置の構成の説明］
第３の実施形態にかかるメモリ更新装置３０ｃは、木構造入力部３００と、メモリアドレス入力部３０１と、更新箇所入力部３０２と、メモリ検証部３０３ｃと、カウンタ更新部３０４と、部分更新可能タグ更新部３０５ｃと、更新結果出力部３０６と、を備える。木構造入力部３００は、第１の実施形態のメモリ更新装置３０における木構造入力部３００と実質的に同じであるので、説明を省略する。メモリアドレス入力部３０１は、第１の実施形態のメモリ更新装置３０におけるメモリアドレス入力部３０１と実質的に同じであるので、説明を省略する。更新箇所入力部３０２は、第１の実施形態のメモリ更新装置３０における更新箇所入力部３０２と実質的に同じであるので、説明を省略する。
第３の実施形態にかかるメモリ更新装置３０ｃは、木構造入力部３００と、メモリアドレス入力部３０１と、更新箇所入力部３０２と、メモリ検証部３０３ｃと、カウンタ更新部３０４と、部分更新可能タグ更新部３０５ｃと、更新結果出力部３０６と、を備える。木構造入力部３００は、第１の実施形態のメモリ更新装置３０における木構造入力部３００と実質的に同じであるので、説明を省略する。メモリアドレス入力部３０１は、第１の実施形態のメモリ更新装置３０におけるメモリアドレス入力部３０１と実質的に同じであるので、説明を省略する。更新箇所入力部３０２は、第１の実施形態のメモリ更新装置３０における更新箇所入力部３０２と実質的に同じであるので、説明を省略する。
【0169】
メモリ検証部３０３ｃは、Ｔｒｅｅと、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、秘密鍵Ｋ＿１，Ｋ＿２とを用いて、ＵｐｄａｔｅＮｏｄｅが指定するメモリが改ざんされていないか検証する。メモリ検証部３０３ｃが行う処理は、第３の実施形態のメモリ検証装置２０ｃにおけるタグ検証部２０３ｃと同じであるが、出力結果のみ異なる。第３の実施形態のメモリ検証装置２０ｃにおけるタグ検証部２０３ｃは検証結果Ｂを出力するが、メモリ検証部３０３ｃは、検証結果Ｂと共に、当該ノードからルートノードまでのパスＰａｔｈも出力する。メモリ検証部３０３ｃは、検証結果Ｂを、カウンタ更新部３０４、部分更新可能タグ更新部３０５ｃ及び更新結果出力部３０６に出力する。また、メモリ検証部３０３ｃは、パスＰａｔｈを、カウンタ更新部３０４及び部分更新可能タグ更新部３０５ｃに出力する。
【0170】
カウンタ更新部３０４は、第１の実施形態のメモリ更新装置３０におけるカウンタ更新部３０４と実質的に同じであるので、説明を省略する。
【0171】
部分更新可能タグ更新部３０５ｃは、更新結果の木構造ＮｅｗＴｒｅｅ’と、メモリアドレス集合Ａｄｄと、メモリの更新情報ＵｐｄａｔｅＮｏｄｅと、検証結果ＢおよびパスＰａｔｈと、秘密鍵Ｋ＿１，Ｋ＿２とを用いて、Ｐａｔｈで指定されるノードのタグを更新する。Ｂ＝ＡＣＫである場合、部分更新可能タグ更新部３０５ｃは、０＜＝ｉ＜＝ｄ－１に対して、以下の式５２の計算を行う。
（式５２）
（Ｃ［ｐ＿ｄ］，Ｔａｇ（ｄ，ｐ＿ｄ））←ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），ＵｐｄａｔｅＩｎｆｏ）
Ｔａｇ（ｉ，ｐ＿ｉ）←ＩｎｃＭＡＣ＿{Ｋ_２}（（１，ｉｎｄ＿｛ｉ＋１｝），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜（ｃｔｒ（ｉ，ｐ＿ｉ）－１）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）－１），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）），Ｔａｇ（ｉ，ｐ＿ｉ））
ｉｎｄ＿｛ｉ＋１｝＝（（ｐ＿｛ｉ＋１｝－１）ｍｏｄ２）＋１
（式５２）
（Ｃ［ｐ＿ｄ］，Ｔａｇ（ｄ，ｐ＿ｄ））←ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝（ａｄｄ（ｄ，ｐ＿ｄ）｜｜ｃｔｒ（ｄ，ｐ＿ｄ），ＵｐｄａｔｅＩｎｆｏ）
Ｔａｇ（ｉ，ｐ＿ｉ）←ＩｎｃＭＡＣ＿{Ｋ_２}（（１，ｉｎｄ＿｛ｉ＋１｝），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜（ｃｔｒ（ｉ，ｐ＿ｉ）－１）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）－１），（（ａｄｄ（ｉ，ｐ＿ｉ）｜｜ｃｔｒ（ｉ，ｐ＿ｉ）），ｃｔｒ（ｉ＋１，ｐ＿｛ｉ＋１｝）），Ｔａｇ（ｉ，ｐ＿ｉ））
ｉｎｄ＿｛ｉ＋１｝＝（（ｐ＿｛ｉ＋１｝－１）ｍｏｄ２）＋１
【0172】
但し、ＡＥ．Ｅｎｃ＿｛Ｋ＿１｝（・，・）やＭＡＣ＿｛Ｋ＿２｝（・）、ＩｎｃＭＡＣ＿｛Ｋ＿２｝は、第３の実施形態におけるメモリ構造初期化装置１０ｃの部分更新可能タグ生成部１０２ｃや、メモリ検証装置２０ｃのタグ検証部２０３ｃで用いられている方式と実質的に同じである。また、ｉｎｄ＿｛ｉ＋１｝は、（ｉ＋１，ｐ＿｛ｉ＋１｝）というノードが、その親ノード（ｉ，ｐ＿ｉ）から見て何番目の子ノードであるか示す値である。そして、部分更新可能タグ更新部３０５ｃは、更新結果の木構造ＮｅｗＴｒｅｅを出力する。一方、Ｂ＝ＮＣＫの場合は、部分更新可能タグ更新部３０５ｃは処理を行わず、何も出力しない。
【0173】
更新結果出力部３０６は、第１の実施形態のメモリ更新装置３０における更新結果出力部３０６と実質的に同じであるので、説明を省略する。
【0174】
［効果の説明］
第３の実施形態が奏する効果は、第１の実施形態が奏する効果に加えて、メモリの秘匿が可能であることである。第１の実施形態におけるメモリ構造初期化装置１０の部分更新可能タグ生成部１０２、メモリ検証装置２０のタグ検証部２０３、メモリ更新装置３０の部分更新可能タグ更新部３０５では、平文メッセージの改ざん検知のためにＭＡＣを用いていた。これに対し、第３の実施形態では、平文メッセージにＡＥ処理を施すことにより、改ざん検知に加えて平文メッセージの秘匿が可能となる。用いるＡＥが、ＯＣＢのようなレート１の方式、すなわち平文の暗号化と認証タグ生成を暗号化のみのコストで実現できるという性質を持つ方式であって、かつ、平文と暗号文のデータ量が同一になるような方式を採用できるとする。この場合、第１の実施形態と比較して、木構造全体のデータ量や、各装置で必要な計算量は、ほぼ変化しない。つまり、第３の実施形態は、第１の実施形態と同等のデータ量及び計算量で、改ざん検知に加えて秘匿も可能となる。また、第３の実施形態の木構造では２分木を仮定していたが、分岐数を増やした木構造を用いることも当然に可能である。第２の実施形態で述べたように、分岐数の多い木構造ほど、Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いることによる効果がより強まる。
第３の実施形態が奏する効果は、第１の実施形態が奏する効果に加えて、メモリの秘匿が可能であることである。第１の実施形態におけるメモリ構造初期化装置１０の部分更新可能タグ生成部１０２、メモリ検証装置２０のタグ検証部２０３、メモリ更新装置３０の部分更新可能タグ更新部３０５では、平文メッセージの改ざん検知のためにＭＡＣを用いていた。これに対し、第３の実施形態では、平文メッセージにＡＥ処理を施すことにより、改ざん検知に加えて平文メッセージの秘匿が可能となる。用いるＡＥが、ＯＣＢのようなレート１の方式、すなわち平文の暗号化と認証タグ生成を暗号化のみのコストで実現できるという性質を持つ方式であって、かつ、平文と暗号文のデータ量が同一になるような方式を採用できるとする。この場合、第１の実施形態と比較して、木構造全体のデータ量や、各装置で必要な計算量は、ほぼ変化しない。つまり、第３の実施形態は、第１の実施形態と同等のデータ量及び計算量で、改ざん検知に加えて秘匿も可能となる。また、第３の実施形態の木構造では２分木を仮定していたが、分岐数を増やした木構造を用いることも当然に可能である。第２の実施形態で述べたように、分岐数の多い木構造ほど、Ｉｎｃｒｅｍｅｎｔａｌ ＭＡＣを用いることによる効果がより強まる。
【0175】
（第４の実施形態）
次に、第４の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した第１の実施形態と異なる箇所について主に説明する。第４の実施形態では、第３の実施形態で用いるＭＡＣとＡＥが、１２８ビット入出力のブロック暗号を用いた方式で、かつ両者の安全性が６４ビット安全性となる場合のメモリ保護システムの例について説明する。但し、メモリ保護システム１ｄが構成する木構造は、第３の実施形態と同様に、分岐数が２であり、深さがｄと定義される。
次に、第４の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。したがって、以下の説明では、上述した第１の実施形態と異なる箇所について主に説明する。第４の実施形態では、第３の実施形態で用いるＭＡＣとＡＥが、１２８ビット入出力のブロック暗号を用いた方式で、かつ両者の安全性が６４ビット安全性となる場合のメモリ保護システムの例について説明する。但し、メモリ保護システム１ｄが構成する木構造は、第３の実施形態と同様に、分岐数が２であり、深さがｄと定義される。
【0176】
図１３は、第４の実施形態にかかるメモリ保護システムで用いられるＭＡＣの演算の概略を示す図である。図１３で示されるＭＡＣは、以下のように定義される。秘密鍵をＫ、ナンスをＮ、平文をＭ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ－１］｜｜Ｍ［ｍ］とし、秘密鍵Ｋを用いた１２８ビットブロック暗号を、Ｅ＿Ｋと定義する。１２８ビット入出力のブロック暗号は、例えばＡＥＳなどで実現される。但し、ナンスを１２８ビットとし、１＜＝ｉ＜＝ｍに対してＭ［ｉ］を１２８ビットとする。
【0177】
第４の実施形態で用いられるＭＡＣは、以下の式５３のようにして認証タグＴａｇを導出する。
（式５３）
Ｔａｇ＝Ｅ＿Ｋ（Ｍ［１］＋Δ＿１）＋Ｅ＿Ｋ（Ｍ［２］＋Δ＿２）＋・・・＋Ｅ＿Ｋ（Ｍ［ｍ］＋Δ＿ｍ）＋Ｅ＿Ｋ（Ｎ＋Δ’＿ｍ）
（式５３）
Ｔａｇ＝Ｅ＿Ｋ（Ｍ［１］＋Δ＿１）＋Ｅ＿Ｋ（Ｍ［２］＋Δ＿２）＋・・・＋Ｅ＿Ｋ（Ｍ［ｍ］＋Δ＿ｍ）＋Ｅ＿Ｋ（Ｎ＋Δ’＿ｍ）
【0178】
但し、マスク値Δ＿１，Δ＿２，・・・，Δ＿ｍ，Δ’＿ｍは、例えば以下の式５４のように定義される。
（式５４）
Δ＿１＝Ｌ＝２・Ｅ＿Ｋ（０＾｛１２８｝）
Δ＿ｉ＝Δ＿｛ｉ－１｝＋Ｌ［ｎｔｚ（ｉ）］ （２＜＝ｉ＜＝ｍ）
Δ’＿ｍ＝Δ＿ｍ＋Ｅ＿Ｋ（０＾｛１２８｝）
（式５４）
Δ＿１＝Ｌ＝２・Ｅ＿Ｋ（０＾｛１２８｝）
Δ＿ｉ＝Δ＿｛ｉ－１｝＋Ｌ［ｎｔｚ（ｉ）］ （２＜＝ｉ＜＝ｍ）
Δ’＿ｍ＝Δ＿ｍ＋Ｅ＿Ｋ（０＾｛１２８｝）
【0179】
但し、ｎｔｚ（ｉ）は、ｎｕｍｂｅｒ ｏｆ ｔｒａｉｎｉｎｇ ｚｅｒｏの略で、１０進数ｉを２進数に変換した場合に、最下位ビットから０が連続している数と定義される。例えば、ｎｔｚ（７）を求める場合、７は２進数表現で「１１１」なので、ｎｔｚ（７）＝０である。同様に、ｎｔｚ（８）＝３である。また、Ｌ［ｊ］は、有限体ＧＦ（２＾ｎ）上でのＬ・２＾ｊという計算と定義する。また、＋は排他的論理和（ＸＯＲ）であり、０＾｛１２８｝は０を１２８個連結させたビット列である。このようにして定義されたＭＡＣは、６４ビット安全性を持ち、加えてＩｎｃｒｅｍｅｎｔａｌ性を有する。
【0180】
つまり、第４の実施形態にかかるメッセージ認証コード（ＭＡＣ）は、以下の特徴を有する。検証対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る暗号化手法により暗号化する。そして、平文ブロックのそれぞれの暗号化結果の排他的論理和を取ることで認証用タグを生成する。
【0181】
図１４は、第４の実施形態にかかるメモリ保護システムで用いられるＡＥの演算の概略を示す図である。図１４で示されるＡＥは、以下のように定義される。秘密鍵をＫ、ナンスをＮ、平文をＭ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ－１］｜｜Ｍ［ｍ］とし、秘密鍵Ｋを用いた１２８ビットブロック暗号を、Ｅ＿Ｋと定義する。但し、ナンスを１２８ビットとし、１＜＝ｉ＜＝ｍに対してＭ［ｉ］を１２８ビットとする。
【0182】
第４の実施形態で用いられるＡＥは、以下の式５５のようにして暗号文Ｃおよび認証タグＴａｇを導出する。
（式５５）
Ｃ［ｉ］＝Ｅ＿Ｋ（Ｍ［ｉ］＋Δ＿ｉ）＋Δ＿ｉ （１＜＝ｉ＜＝ｍ）
Ｃ＝Ｃ［１］｜｜Ｃ［２］｜｜・・・｜｜Ｃ［ｍ］
Ｃｈｅｃｋｓｕｍ＝Ｍ［１］＋Ｍ［２］＋・・・＋Ｍ［ｍ］
Ｔａｇ＝Ｅ＿Ｋ（Ｃｈｅｃｋｓｕｍ＋Δ’＿ｍ）＋Δ’＿ｍ
（式５５）
Ｃ［ｉ］＝Ｅ＿Ｋ（Ｍ［ｉ］＋Δ＿ｉ）＋Δ＿ｉ （１＜＝ｉ＜＝ｍ）
Ｃ＝Ｃ［１］｜｜Ｃ［２］｜｜・・・｜｜Ｃ［ｍ］
Ｃｈｅｃｋｓｕｍ＝Ｍ［１］＋Ｍ［２］＋・・・＋Ｍ［ｍ］
Ｔａｇ＝Ｅ＿Ｋ（Ｃｈｅｃｋｓｕｍ＋Δ’＿ｍ）＋Δ’＿ｍ
【0183】
但し、マスク値Δ＿１，Δ＿２，・・・，Δ＿ｍ，Δ’＿ｍは、例えば以下の式５６のように定義される。
（式５６）
Ｌ＝２・Ｅ＿Ｋ（０＾｛１２８｝）
Δ＿１＝Ｅ＿Ｋ（Ｎ）＋Ｌ
Δ＿ｉ＝Δ＿｛ｉ－１｝＋Ｌ［ｎｔｚ（ｉ）］ （２＜＝ｉ＜＝ｍ）
Δ’＿ｍ＝Δ＿ｍ＋Ｅ＿Ｋ（０＾｛１２８｝）
（式５６）
Ｌ＝２・Ｅ＿Ｋ（０＾｛１２８｝）
Δ＿１＝Ｅ＿Ｋ（Ｎ）＋Ｌ
Δ＿ｉ＝Δ＿｛ｉ－１｝＋Ｌ［ｎｔｚ（ｉ）］ （２＜＝ｉ＜＝ｍ）
Δ’＿ｍ＝Δ＿ｍ＋Ｅ＿Ｋ（０＾｛１２８｝）
【0184】
このようにして定義されたＡＥは、６４ビット安全性を持つ。また、このようにして定義されたＡＥは、レート１を達成する。つまり、暗号化のみの計算コストで暗号化と改ざん検知を実現できる。
【0185】
つまり、第４の実施形態にかかる認証暗号（ＡＥ）は、以下の特徴を有する。暗号化対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力と出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して暗号文を生成する。そして、平文ブロックを用いて平文のチェックサムを算出し、チェックサムを、ブロック暗号の入力及び出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して認証用タグを生成する。
【0186】
第４の実施形態にかかるメモリ保護システム１ｃは、第３の実施形態におけるメモリ保護システム１ｃと実質的に同じであるので、説明を省略する。但し、要素技術として用いるＭＡＣとＡＥは、上記で定めたものであるとする。
【0187】
［効果の説明］
第４の実施形態が奏する効果は第３の実施形態が奏する効果と実質的に同じである。但し、第４の実施形態では、用いるＭＡＣおよびＡＥの性質から、以下の効果を奏する。まず、ＭＡＣとＡＥのセキュリティレベルより、第４の実施形態におけるメモリ保護システム１ｄは、６４ビット安全性を持つとしてよい。加えて、ＡＥにレート１で、かつ平文と暗号文のデータ量が同一になる方式を用いることにより、第１の実施形態と比較して、木構造全体のデータ量や、各装置で必要な計算量はほぼ変化せずに、平文の秘匿を行うことができる。そして、第４の実施形態ではＭＡＣとＡＥで用いるプリミティブを同一のもの（例えばＡＥＳなど）としてよいため、実装の際に回路規模の削減を実現し得る。
第４の実施形態が奏する効果は第３の実施形態が奏する効果と実質的に同じである。但し、第４の実施形態では、用いるＭＡＣおよびＡＥの性質から、以下の効果を奏する。まず、ＭＡＣとＡＥのセキュリティレベルより、第４の実施形態におけるメモリ保護システム１ｄは、６４ビット安全性を持つとしてよい。加えて、ＡＥにレート１で、かつ平文と暗号文のデータ量が同一になる方式を用いることにより、第１の実施形態と比較して、木構造全体のデータ量や、各装置で必要な計算量はほぼ変化せずに、平文の秘匿を行うことができる。そして、第４の実施形態ではＭＡＣとＡＥで用いるプリミティブを同一のもの（例えばＡＥＳなど）としてよいため、実装の際に回路規模の削減を実現し得る。
【0188】
（第５の実施形態）
次に、第５の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。第５の実施形態では、第３の実施形態で用いられるＭＡＣおよびＡＥが１２８ビット入出力のＴｗｅａｋａｂｌｅブロック暗号を用いた方式であり、かつ両者の安全性が１２８ビット安全性となる場合のメモリ保護システムの例について説明する。但し、メモリ保護システムが構成する木構造は、第３の実施形態と同様に、分岐数が２であり、深さがｄと定義する。
次に、第５の実施形態について説明する。説明の明確化のため、以下の記載及び図面は、適宜、省略、及び簡略化がなされている。また、各図面において、同一の要素には同一の符号が付されており、必要に応じて重複説明は省略されている。第５の実施形態では、第３の実施形態で用いられるＭＡＣおよびＡＥが１２８ビット入出力のＴｗｅａｋａｂｌｅブロック暗号を用いた方式であり、かつ両者の安全性が１２８ビット安全性となる場合のメモリ保護システムの例について説明する。但し、メモリ保護システムが構成する木構造は、第３の実施形態と同様に、分岐数が２であり、深さがｄと定義する。
【0189】
まず、Ｔｗｅａｋａｂｌｅブロック暗号（ＴＢＣ；Tweakable Block Cipher）を定義する。ＴＢＣは、ブロック暗号の拡張であり、ブロック暗号の入力にＴｗｅａｋと呼ばれる公開調整値を含めた鍵付き置換である。Ｔｗｅａｋが異なるＴＢＣは、それぞれ独立なブロック暗号とみなすことができる。入出力長がｎビット、Ｔｗｅａｋ長がｔｗビットのＴＢＣをＴＥと定義する。このとき、秘密鍵Ｋ、Ｔｗｅａｋ Ｔｗを用いて、平文ＭをＴＥによって暗号化してＣを得る場合、以下の式５７のように記述できる。
（式５７）
ＴＥ＿Ｋ（Ｔｗ，Ｍ）＝Ｃ
（式５７）
ＴＥ＿Ｋ（Ｔｗ，Ｍ）＝Ｃ
【0190】
なお、第５の実施形態においては、ｎ＝１２８とする。Ｔｗｅａｋ長ｔｗは特に限定しないが、１２８ビット以上であると定義し、Ｔｗｅａｋ長よりも大きいビット長のＴｗｅａｋを入力したい場合は、所望の安全性を損ねないような適切な手段によって処理するとする。例えば、適切な手段の例としては、ＸＴやＸＴＸなどのＴｗｅａｋ拡張方式が挙げられる。
【0191】
図１５は、第５の実施形態にかかるメモリ保護システムで用いられるＭＡＣの演算の概略を示す図である。図１５で示されるＭＡＣは、以下のように定義される。秘密鍵をＫ、ナンスをＮ、平文をＭ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ－１］｜｜Ｍ［ｍ］とし、秘密鍵Ｋを用いた１２８ビット入出力ＴＢＣを、ＴＥ＿Ｋと定義する。１２８ビット入出力でＴｗｅａｋ長が１２８ビットのＴＢＣは、例えばＳＫＩＮＮＹなどで実現される。但し、ナンスは１２８ビット、１＜＝ｉ＜＝ｍに対してＭ［ｉ］を１２８ビットとする。
【0192】
第５の実施形態で用いられるＭＡＣは、以下の式５８のようにして認証タグＴａｇを導出する。
（式５８）
Ｔａｇ＝ＴＥ＿Ｋ（１，Ｍ［１］）＋ＴＥ＿Ｋ（２，Ｍ［２］）＋・・・＋ＴＥ＿Ｋ（ｍ，Ｍ［ｍ］）＋ＴＥ’＿Ｋ（Ｎ，ｆｉｘ）
（式５８）
Ｔａｇ＝ＴＥ＿Ｋ（１，Ｍ［１］）＋ＴＥ＿Ｋ（２，Ｍ［２］）＋・・・＋ＴＥ＿Ｋ（ｍ，Ｍ［ｍ］）＋ＴＥ’＿Ｋ（Ｎ，ｆｉｘ）
【0193】
但し、＋は排他的論理和とする。また、ｆｉｘは適当な固定値とし、例えば０＾ｎなどとする。またＴＥ’は、ＴＥのＴｗｅａｋを適切に使い分けることによって実現されるＴＢＣとする。例えば、平文部分で用いるＴＥでは、Ｔｗｅａｋの最上位ビットに必ず０を立てておき、ナンス部分で用いるＴＥ’では、Ｔｗｅａｋの最上位ビットに必ず１を立てるなどすればよい。また、平文を処理する部分においてＴｗｅａｋ入力に余裕がある場合は、その余ったＴｗｅａｋ入力部分に更に平文を入力してもよい。このようにすることでＭＡＣの効率性を更に向上させることができる。このように定義されたＭＡＣは、１２８ビット安全性を有し、加えてＩｎｃｒｅｍｅｎｔａｌ性を有する。
【0194】
つまり、第５の実施形態にかかるメッセージ認証コード（ＭＡＣ）は、以下の特徴を有する。検証対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にブロック毎に異なる定数を入力する形の暗号化手法により暗号化する。そして、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスを入力する形の暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果とナンスの暗号化結果との排他的論理和を取ることで認証用タグを生成する。
【0195】
図１６は、第５の実施形態にかかるメモリ保護システムで用いるＡＥの演算の概略を示す図である。図１６で示されるＡＥは、以下のように定義される。秘密鍵をＫ、ナンスをＮ、平文をＭ＝Ｍ［１］｜｜・・・｜｜Ｍ［ｍ－１］｜｜Ｍ［ｍ］とし、秘密鍵Ｋを用いた１２８ビット入出力ＴＢＣをＴＥ＿Ｋと定義する。但し、ナンスは１２８ビット、１＜＝ｉ＜＝ｍに対してＭ［ｉ］を１２８ビットとする。第５の実施形態で用いるＡＥは、以下の式５９のようにして暗号文Ｃと認証タグＴａｇを導出する。
（式５９）
Ｃ［ｉ］＝ＴＥ＿Ｋ（（Ｎ，ｉ），Ｍ［ｉ］） （１＜＝ｉ＜＝ｍ）
Ｃ＝Ｃ［１］｜｜Ｃ［２］｜｜・・・｜｜Ｃ［ｍ］
Ｃｈｅｃｋｓｕｍ＝Ｍ［１］＋Ｍ［２］＋・・・＋Ｍ［ｍ］
Ｔａｇ＝ＴＥ’＿Ｋ（（Ｎ，ｍ），Ｃｈｅｃｋｓｕｍ）
（式５９）
Ｃ［ｉ］＝ＴＥ＿Ｋ（（Ｎ，ｉ），Ｍ［ｉ］） （１＜＝ｉ＜＝ｍ）
Ｃ＝Ｃ［１］｜｜Ｃ［２］｜｜・・・｜｜Ｃ［ｍ］
Ｃｈｅｃｋｓｕｍ＝Ｍ［１］＋Ｍ［２］＋・・・＋Ｍ［ｍ］
Ｔａｇ＝ＴＥ’＿Ｋ（（Ｎ，ｍ），Ｃｈｅｃｋｓｕｍ）
【0196】
但し、ＴＥ＿ＫのＴｗｅａｋ部分への入力（Ｎ，ｉ）は、Ｎとｉの両方を適切にＴｗｅａｋ部分に入力することを表す。例えば、Ｔｗｅａｋ入力部分を、ナンスＮを入力する部分と、ブロックインデックスｉを入力する部分とに分けるように分割することで、（Ｎ，ｉ）を入力してもよい。また、ＴＥ’は、第５の実施形態で用いられるＭＡＣの場合と同様に、ＴＥのＴｗｅａｋを適切に使い分けることによって実現されるＴＢＣとする。このようにして定義されたＡＥは、１２８ビット安全性を持つ。また、このようにして定義されたＡＥは、レート１を達成する。つまり、暗号化のみの計算コストで暗号化と改ざん検知を実現できる。
【0197】
なお、第５の実施形態にかかるメモリ保護システム１ｃは、第３の実施形態におけるメモリ保護システム１ｃと実質的に同じであるので、説明を省略する。但し、要素技術として用いるＭＡＣとＡＥは、上記で定めたものであるとする。
【0198】
［効果の説明］
第５の実施形態が奏する効果は第４の実施形態が奏する効果と実質的に同じである。但し、第４の実施形態におけるメモリ保護システムは６４ビット安全性だったが、第５の実施形態におけるメモリ保護システムは１２８ビット安全性であるため、第５の実施形態の方が、より高い安全性を有する。
第５の実施形態が奏する効果は第４の実施形態が奏する効果と実質的に同じである。但し、第４の実施形態におけるメモリ保護システムは６４ビット安全性だったが、第５の実施形態におけるメモリ保護システムは１２８ビット安全性であるため、第５の実施形態の方が、より高い安全性を有する。
【0199】
（第６の実施形態）
次に、第６の実施形態について説明する。
図１７は、第６の実施形態にかかるメモリ処理装置１１の構成を示す図である。第６の実施形態にかかるメモリ処理装置１１は、上述したメモリ構造初期化装置１０に対応する。メモリ処理装置１１は、メモリアドレス割り当て部１２と、タグ生成部１３と、ノード生成部１４とを備える。メモリアドレス割り当て部１２は、メモリアドレス割り当てとしての機能を有する。タグ生成部１３は、タグ生成手段としての機能を有する。ノード生成部１４は、ノード生成手段としての機能を有する。
次に、第６の実施形態について説明する。
図１７は、第６の実施形態にかかるメモリ処理装置１１の構成を示す図である。第６の実施形態にかかるメモリ処理装置１１は、上述したメモリ構造初期化装置１０に対応する。メモリ処理装置１１は、メモリアドレス割り当て部１２と、タグ生成部１３と、ノード生成部１４とを備える。メモリアドレス割り当て部１２は、メモリアドレス割り当てとしての機能を有する。タグ生成部１３は、タグ生成手段としての機能を有する。ノード生成部１４は、ノード生成手段としての機能を有する。
【0200】
メモリアドレス割り当て部１２は、上述したメモリアドレス割り当て部１０１が有している機能と実質的に同様の機能によって実現できる。タグ生成部１３は、上述した部分更新可能タグ生成部１０２が有している機能と実質的に同様の機能によって実現できる。ノード生成部１４は、上述したリーフノード生成部１０３、中間ノード生成部１０４、及びルートノード生成部１０５が有している機能と実質的に同様の機能によって実現できる。
【0201】
メモリアドレス割り当て部１２は、メモリを保護するために構成される木構造の各ノードに、ノード固有のメモリアドレスを割り当てる。タグ生成部１３は、木構造の各ノードについて、メモリアドレスと定数との連結をナンスとし、メッセージ認証コードに、ナンス及び改ざん検知の対象の平文、又は、ナンス及び各ノードの子ノードの複数の定数を入力することによって、タグを生成する。ここで、メッセージ認証コードは、部分更新可能タグを出力できる。また、タグ生成部１３は、リーフノード及び特定のノード以外のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、ナンス、特定のノードのナンス、及び特定のノードのタグを入力することによって、タグを生成する。ノード生成部１４は、定数をローカルカウンタとし、少なくともタグとローカルカウンタとを組み合わせて木構造の各ノードを生成する。このような構成によって、メモリ処理装置１１は、メモリ保護のために木構造を用いる構成において、メモリの書き出し時に必要な処理量を削減することが可能となる。
【0202】
（ハードウェア構成例）
上述した各実施形態に係る装置およびシステムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、各実施形態に係る装置（メモリ処理装置、メモリ検証装置及びメモリ更新装置）は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、各実施形態に係る装置は、専用の装置として実現されてもよいし、汎用の情報処理装置で実現されてもよい。
上述した各実施形態に係る装置およびシステムを、１つの計算処理装置（情報処理装置、コンピュータ）を用いて実現するハードウェア資源の構成例について説明する。但し、各実施形態に係る装置（メモリ処理装置、メモリ検証装置及びメモリ更新装置）は、物理的または機能的に少なくとも２つの計算処理装置を用いて実現されてもよい。また、各実施形態に係る装置は、専用の装置として実現されてもよいし、汎用の情報処理装置で実現されてもよい。
【0203】
図１８は、各実施形態に係る装置およびシステムを実現可能な計算処理装置のハードウェア構成例を概略的に示すブロック図である。計算処理装置１２０は、ＣＰＵ１２１、揮発性記憶装置１２２、ディスク１２３、不揮発性記録媒体１２４、及び、通信ＩＦ１２７（ＩＦ：Ｉｎｔｅｒｆａｃｅ）を有する。したがって、各実施形態に係る装置は、ＣＰＵ１２１、揮発性記憶装置１２２、ディスク１２３、不揮発性記録媒体１２４、及び、通信ＩＦ１２７を有しているといえる。計算処理装置１２０は、入力装置１２５及び出力装置１２６に接続可能であってもよい。計算処理装置１２０は、入力装置１２５及び出力装置１２６を備えていてもよい。また、計算処理装置１２０は、通信ＩＦ１２７を介して、他の計算処理装置、及び、通信装置と情報を送受信することができる。
【0204】
不揮発性記録媒体１２４は、コンピュータが読み取り可能な、たとえば、コンパクトディスク（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、デジタルバーサタイルディスク（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）である。また、不揮発性記録媒体１２４は、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）メモリ、ソリッドステートドライブ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等であってもよい。不揮発性記録媒体１２４は、電源を供給しなくても係るプログラムを保持し、持ち運びを可能にする。なお、不揮発性記録媒体１２４は、上述した媒体に限定されない。また、不揮発性記録媒体１２４の代わりに、通信ＩＦ１２７及び通信ネットワークを介して、係るプログラムが供給されてもよい。
【0205】
揮発性記憶装置１２２は、コンピュータが読み取り可能であって、一時的にデータを記憶することができる。揮発性記憶装置１２２は、ＤＲＡＭ（ｄｙｎａｍｉｃ ｒａｎｄｏｍ Ａｃｃｅｓｓ ｍｅｍｏｒｙ）、ＳＲＡＭ（ｓｔａｔｉｃ ｒａｎｄｏｍ Ａｃｃｅｓｓ ｍｅｍｏｒｙ）等のメモリ等である。
【0206】
すなわち、ＣＰＵ１２１は、ディスク１２３に格納されているソフトウェアプログラム（コンピュータ・プログラム：以下、単に「プログラム」と称する）を、実行する際に揮発性記憶装置１２２にコピーし、演算処理を実行する。ＣＰＵ１２１は、プログラムの実行に必要なデータを揮発性記憶装置１２２から読み取る。表示が必要な場合、ＣＰＵ１２１は、出力装置１２６に出力結果を表示する。外部からプログラムを入力する場合、ＣＰＵ１２１は、入力装置１２５からプログラムを取得する。ＣＰＵ１２１は、上述した図１～図４，図１７に示される各構成要素の機能（処理）に対応するプログラムを解釈し実行する。ＣＰＵ１２１は、上述した各実施形態において説明した処理を実行する。言い換えると、上述した図１～図４，図１７に示される各構成要素の機能は、ディスク１２３又は揮発性記憶装置１２２に格納されたプログラムを、ＣＰＵ１２１が実行することによって実現され得る。
【0207】
すなわち、各実施形態は、上述したプログラムによっても成し得ると捉えることができる。さらに、上述したプログラムが記録されたコンピュータが読み取り可能な不揮発性の記録媒体によっても、上述した各実施形態は成し得ると捉えることができる。
【0208】
（変形例）
なお、本発明は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートにおいて、各処理（ステップ）の順序は、適宜、変更可能である。また、複数ある処理（ステップ）のうちの１つ以上は、省略されてもよい。
なお、本発明は上記実施形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更することが可能である。例えば、上述したフローチャートにおいて、各処理（ステップ）の順序は、適宜、変更可能である。また、複数ある処理（ステップ）のうちの１つ以上は、省略されてもよい。
【0209】
上述の例において、プログラムは、様々なタイプの非一時的なコンピュータ可読媒体（non-transitory computer readable medium）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（tangible storage medium）を含む。非一時的なコンピュータ可読媒体の例は、磁気記録媒体（例えばフレキシブルディスク、磁気テープ、ハードディスクドライブ）、光磁気記録媒体（例えば光磁気ディスク）、ＣＤ－ＲＯＭ、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリ（例えば、マスクＲＯＭ、ＰＲＯＭ（Programmable ROM）、ＥＰＲＯＭ（Erasable PROM）、フラッシュＲＯＭ、ＲＡＭ）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（transitory computer readable medium）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
【0210】
以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。
【0211】
上記の実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。
（付記１）
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、
を備えるメモリ処理装置。
（付記２）
前記ノード生成手段は、
前記平文と前記タグと前記ローカルカウンタとを組み合わせて前記木構造のリーフノードを生成するリーフノード生成手段と、
前記タグと前記ローカルカウンタとを組み合わせて前記木構造の中間ノードを生成する中間ノード生成手段と、
前記タグと前記ローカルカウンタを組み合わせて前記木構造のルートノードを生成するルートノード生成手段と、
を備える、
付記１に記載のメモリ処理装置。
（付記３）
前記タグ生成手段は、前記部分更新可能タグを出力可能なメッセージ認証コードに前記ナンス及び複数の前記子ノードの前記定数を入力し、認証暗号に前記ナンス及び前記平文を入力することによって、検証対象の暗号文及び前記タグを生成し、
前記リーフノード生成手段は、前記暗号文と前記タグと前記ローカルカウンタとを組み合わせて前記リーフノードを生成する、
付記２に記載のメモリ処理装置。
（付記４）
前記部分更新可能タグを出力可能なメッセージ認証コードは、検証対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果の排他的論理和を取ることで認証用タグを生成する部分更新可能タグを出力可能なメッセージ認証コードであり、
前記認証暗号は、暗号化対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力と出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して暗号文を生成し、平文ブロックを用いて平文のチェックサムを算出し、前記チェックサムを、ブロック暗号の入力及び出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して認証用タグを生成する認証暗号である、
付記３に記載のメモリ処理装置。
（付記５）
前記部分更新可能タグを出力可能なメッセージ認証コードは、検証対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にブロック毎に異なる定数を入力する形の暗号化手法により暗号化し、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスを入力する形の暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果とナンスの暗号化結果との排他的論理和を取ることで認証用タグを生成する部分更新可能タグを出力可能なメッセージ認証コードであり、
前記認証暗号は、暗号化対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスとブロック毎に異なる定数とを入力する形の暗号化手法により暗号化して暗号文を生成し、平文ブロックを用いて平文のチェックサムを算出し、前記チェックサムを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスとブロック毎に異なる定数とを入力する形の暗号化手法により暗号化して認証用タグを生成する認証暗号である、
付記３に記載のメモリ処理装置。
（付記６）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、
を備えるメモリ検証装置。
（付記７）
前記タグ検証手段は、前記木構造において、検証対象の暗号文が含まれる前記リーフノードから前記ルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有のメモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成し、前記ナンスと前記暗号文と前記検証に用いられるタグとを認証暗号に入力して、前記平文が改ざんされていないかを検証することにより、前記暗号文が改ざんされていないかを検証する、
付記６に記載のメモリ検証装置。
（付記８）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、
を備えるメモリ更新装置。
（付記９）
前記メモリ検証手段は、前記木構造において、更新対象の暗号文が含まれる前記リーフノードから前記ルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有のメモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成し、前記ナンスと前記暗号文と前記検証に用いられるタグとを認証暗号に入力して、前記平文が改ざんされていないかを検証することにより、前記暗号文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、
前記タグ更新手段は、前記検証結果が改ざんの検知がないことを示す場合に、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力し、前記ナンスと更新対象の平文とを認証暗号に入力することで暗号文及び更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する、
付記８に記載のメモリ更新装置。
（付記１０）
メモリを保護するために構成される木構造の各ノードに、ノード固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、
を備えるメモリ保護システム。
（付記１１）
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入手することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入手することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、
をさらに備える付記１０に記載のメモリ保護システム。
（付記１２）
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当て、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成し、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成する、
メモリ処理方法。
（付記１３）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証する、
メモリ検証方法。
（付記１４）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新し、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する、
メモリ更新方法。
（付記１５）
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるステップと、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するステップと、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するステップと、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
（付記１６）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するステップと、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
（付記１７）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するステップと、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するステップと、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するステップと、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
（付記１）
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによってタグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、
を備えるメモリ処理装置。
（付記２）
前記ノード生成手段は、
前記平文と前記タグと前記ローカルカウンタとを組み合わせて前記木構造のリーフノードを生成するリーフノード生成手段と、
前記タグと前記ローカルカウンタとを組み合わせて前記木構造の中間ノードを生成する中間ノード生成手段と、
前記タグと前記ローカルカウンタを組み合わせて前記木構造のルートノードを生成するルートノード生成手段と、
を備える、
付記１に記載のメモリ処理装置。
（付記３）
前記タグ生成手段は、前記部分更新可能タグを出力可能なメッセージ認証コードに前記ナンス及び複数の前記子ノードの前記定数を入力し、認証暗号に前記ナンス及び前記平文を入力することによって、検証対象の暗号文及び前記タグを生成し、
前記リーフノード生成手段は、前記暗号文と前記タグと前記ローカルカウンタとを組み合わせて前記リーフノードを生成する、
付記２に記載のメモリ処理装置。
（付記４）
前記部分更新可能タグを出力可能なメッセージ認証コードは、検証対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果の排他的論理和を取ることで認証用タグを生成する部分更新可能タグを出力可能なメッセージ認証コードであり、
前記認証暗号は、暗号化対象の平文が分割された平文ブロックそれぞれを、ブロック暗号の入力と出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して暗号文を生成し、平文ブロックを用いて平文のチェックサムを算出し、前記チェックサムを、ブロック暗号の入力及び出力にナンスと秘密鍵とブロック毎に異なる定数とから導出されるマスクの排他的論理和を取る形の暗号化手法により暗号化して認証用タグを生成する認証暗号である、
付記３に記載のメモリ処理装置。
（付記５）
前記部分更新可能タグを出力可能なメッセージ認証コードは、検証対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にブロック毎に異なる定数を入力する形の暗号化手法により暗号化し、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスを入力する形の暗号化手法により暗号化し、平文ブロックのそれぞれの暗号化結果とナンスの暗号化結果との排他的論理和を取ることで認証用タグを生成する部分更新可能タグを出力可能なメッセージ認証コードであり、
前記認証暗号は、暗号化対象の平文が分割された平文ブロックそれぞれを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスとブロック毎に異なる定数とを入力する形の暗号化手法により暗号化して暗号文を生成し、平文ブロックを用いて平文のチェックサムを算出し、前記チェックサムを、Ｔｗｅａｋａｂｌｅブロック暗号のＴｗｅａｋ部分にナンスとブロック毎に異なる定数とを入力する形の暗号化手法により暗号化して認証用タグを生成する認証暗号である、
付記３に記載のメモリ処理装置。
（付記６）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、
を備えるメモリ検証装置。
（付記７）
前記タグ検証手段は、前記木構造において、検証対象の暗号文が含まれる前記リーフノードから前記ルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有のメモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成し、前記ナンスと前記暗号文と前記検証に用いられるタグとを認証暗号に入力して、前記平文が改ざんされていないかを検証することにより、前記暗号文が改ざんされていないかを検証する、
付記６に記載のメモリ検証装置。
（付記８）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力する入力手段と、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、
を備えるメモリ更新装置。
（付記９）
前記メモリ検証手段は、前記木構造において、更新対象の暗号文が含まれる前記リーフノードから前記ルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有のメモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成し、前記ナンスと前記暗号文と前記検証に用いられるタグとを認証暗号に入力して、前記平文が改ざんされていないかを検証することにより、前記暗号文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、
前記タグ更新手段は、前記検証結果が改ざんの検知がないことを示す場合に、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力し、前記ナンスと更新対象の平文とを認証暗号に入力することで暗号文及び更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する、
付記８に記載のメモリ更新装置。
（付記１０）
メモリを保護するために構成される木構造の各ノードに、ノード固有のメモリアドレスを割り当てるメモリアドレス割り当て手段と、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するタグ生成手段と、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するノード生成手段と、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するタグ検証手段と、
を備えるメモリ保護システム。
（付記１１）
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入手することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するメモリ検証手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するカウンタ更新手段と、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入手することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するタグ更新手段と、
をさらに備える付記１０に記載のメモリ保護システム。
（付記１２）
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当て、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成し、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成する、
メモリ処理方法。
（付記１３）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証する、
メモリ検証方法。
（付記１４）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力し、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力し、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新し、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新する、
メモリ更新方法。
（付記１５）
メモリを保護するために構成される木構造の各ノードに、ノードに固有のメモリアドレスを割り当てるステップと、
前記木構造の各ノードについて、前記メモリアドレスと定数との連結をナンスとし、各リーフノード及び特定のノードについて、部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス及び改ざん検知の対象の平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記定数を入力することによって、タグを生成し、前記リーフノード及び前記特定のノード以外のノードについて、前記部分更新可能タグを出力可能なメッセージ認証コードに、前記ナンス、前記特定のノードの前記ナンス、及び前記特定のノードの前記タグを入力することによってタグを生成するステップと、
前記定数をローカルカウンタとし、少なくとも前記タグと前記ローカルカウンタとを組み合わせて前記木構造の各ノードを生成するステップと、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
（付記１６）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、
前記木構造において、検証対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証するステップと、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
（付記１７）
メモリを保護するために構成される木構造と、前記木構造に割り当てられているメモリアドレスとを入力するステップと、
前記木構造において、更新対象の平文が含まれるリーフノードからルートノードへのパスを生成し、前記パスにおける各ノードにおいて、各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されているローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス及び前記各ノードの複数の子ノードの前記ローカルカウンタを部分更新可能タグを出力可能なメッセージ認証コードに入力することで検証に用いられるタグを生成することにより、前記平文が改ざんされていないかを検証して、検証結果及び前記パスを出力するステップと、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードにおける前記ローカルカウンタの値を更新するステップと、
前記検証結果が改ざんの検知がないことを示す場合に、前記パスにおける各ノードで固有の前記メモリアドレスと各ノードにそれぞれ格納されている前記ローカルカウンタとの連結をナンスとし、前記ナンス及び前記平文、又は、前記ナンス、前記各ノードの１つ以上の子ノードの前記ローカルカウンタ、更新前の前記ナンス及び更新前の前記各ノードの１つ以上の子ノードの前記ローカルカウンタを前記部分更新可能タグを出力可能なメッセージ認証コードに入力することで更新に用いられるタグを生成し、前記パスにおける各ノードに格納されているタグの値を、前記更新に用いられるタグで更新するステップと、
をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
【符号の説明】
【0212】
１ メモリ保護システム
１０ メモリ構造初期化装置
２０ メモリ検証装置
３０ メモリ更新装置
１００ 平文入力部
１０１ メモリアドレス割り当て部
１０２ 部分更新可能タグ生成部
１０３ リーフノード生成部
１０４ 中間ノード生成部
１０５ ルートノード生成部
１０６ 木構造出力部
１０７ メモリアドレス出力部
２００ 木構造入力部
２０１ メモリアドレス入力部
２０２ 検証箇所入力部
２０３ タグ検証部
２０４ 検証結果出力部
３００ 木構造入力部
３０１ メモリアドレス入力部
３０２ 更新箇所入力部
３０３ メモリ検証部
３０４ カウンタ更新部
３０５ 部分更新可能タグ更新部
３０６ 更新結果出力部
１１ メモリ処理装置
１２ メモリアドレス割り当て部
１３ タグ生成部
１４ ノード生成部
１０ メモリ構造初期化装置
２０ メモリ検証装置
３０ メモリ更新装置
１００ 平文入力部
１０１ メモリアドレス割り当て部
１０２ 部分更新可能タグ生成部
１０３ リーフノード生成部
１０４ 中間ノード生成部
１０５ ルートノード生成部
１０６ 木構造出力部
１０７ メモリアドレス出力部
２００ 木構造入力部
２０１ メモリアドレス入力部
２０２ 検証箇所入力部
２０３ タグ検証部
２０４ 検証結果出力部
３００ 木構造入力部
３０１ メモリアドレス入力部
３０２ 更新箇所入力部
３０３ メモリ検証部
３０４ カウンタ更新部
３０５ 部分更新可能タグ更新部
３０６ 更新結果出力部
１１ メモリ処理装置
１２ メモリアドレス割り当て部
１３ タグ生成部
１４ ノード生成部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】