特許 7430923 暗号化ハッシュ関数の原像要素を決定するための方法、コンピュータプログラム、およびデータ処理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-02-05

(45)【発行日】2024-02-14

(54)【発明の名称】暗号化ハッシュ関数の原像要素を決定するための方法、コンピュータプログラム、およびデータ処理システム

(51)【国際特許分類】

   G06N 10/60 20220101AFI20240206BHJP

   G09C 1/00 20060101ALI20240206BHJP

   G06F 17/10 20060101ALI20240206BHJP

【ＦＩ】

G06N10/60

G09C1/00 650Z

G06F17/10 Z

【請求項の数】 15

【外国語出願】

(21)【出願番号】P 2021186248

(22)【出願日】2021-11-16

(65)【公開番号】P2022083992

(43)【公開日】2022-06-06

【審査請求日】2022-03-08

(31)【優先権主張番号】20209837

(32)【優先日】2020-11-25

(33)【優先権主張国・地域又は機関】EP

(73)【特許権者】

【識別番号】521124319

【氏名又は名称】テラ クアンタム アーゲー

【氏名又は名称原語表記】ＴＥＲＲＡ ＱＵＡＮＴＵＭ ＡＧ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(72)【発明者】

【氏名】パホムチク・アレクセイ

(72)【発明者】

【氏名】ヴォロシノフ・ヴラジーミル

【審査官】金田 孝之

(56)【参考文献】

【文献】特表２０１７－５１５１９５（ＪＰ，Ａ）

【文献】特開２０１９－１４５９７０（ＪＰ，Ａ）

【文献】細部 博史，Ｃｈｏｒｕｓ： モジュール機構を備えた幾何制約解消系，レクチャーノート／ソフトウェア学 ２４ インタラクティブシステムとソフトウェアＶＩＩＩ，株式会社近代科学社，2000年12月20日，第１版，pp. 91-100，ISBN4-7649-0285-0

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｎ １０／００－１０／８０

Ｇ０９Ｃ １／００－ ５／００

Ｇ０６Ｆ １７／００－１７／１８

Ｈ０４Ｋ １／００－ ３／００

Ｈ０４Ｌ ９／００－ ９／４０

(57)【特許請求の範囲】

【請求項1】

データ処理システム（２０）で実行される、暗号化ハッシュ関数の原像要素を決定するための方法であって、
－暗号化ハッシュ関数の出力値および前記暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ（１０）と、
－前記ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ（１１）と、
－最適化問題を決定するステップ（１２）であって、
－前記出力値と、
－前記暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、
－前記暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、
前記少なくとも１つの制約は、前記少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む、最適化変数を含む、最適化問題を決定するステップと、
－前記最適化問題を解き（１３）、前記少なくとも１つの原像変数の最適化した値から前記暗号化ハッシュ関数の原像要素を決定するステップと
を含む、方法。

【請求項2】

前記ハッシュ関数演算は、非線形ブール関数、左ビット回転、右ビット回転、およびモジュラ加算のうちの少なくとも１つ、特に、

【数1】

の少なくとも１つを含む、請求項１に記載の方法。

【請求項3】

－前記ハッシュ関数演算のうちの少なくとも１つの要素的演算を決定するステップと、
－前記要素的演算の各々について、要素方程式および／または要素不等式を含む少なくとも１つの要素的関係を決定するステップ（１１ａ）と、前記少なくとも１つのハッシュ関数演算の前記要素的関係から前記少なくとも１つのハッシュ関数関係を決定するステップと、をさらに含む、請求項１または２に記載の方法。

【請求項4】

前記ハッシュ関数関係のうちの少なくとも１つおよび／または前記要素的関係のうちの少なくとも１つは、双線形方程式および／または線形方程式を含む、請求項３に記載の方法。

【請求項5】

前記ハッシュ関数関係のうちの少なくとも１つおよび／または前記要素的関係のうちの少なくとも１つは、複数の連続変数、複数のバイナリ変数、および、複数の整数の変数のうちの少なくとも１つを含み、
前記複数の連続変数のうちの少なくとも１つおよび／または前記複数のバイナリ変数のうちの少なくとも１つが、初期の最適化問題を解くことによって決定される、請求項４に記載の方法。

【請求項6】

前記ハッシュ関数関係のうちの少なくとも１つおよび／または前記要素的関係のうちの少なくとも１つは、連続的な係数、およびバイナリ変数の線形方程式を含む、請求項３に記載の方法。

【請求項7】

前記最適化問題を解くときに、初期内部状態の値および／または最終的内部状態の値が固定される、請求項１から６のいずれか一項に記載の方法。

【請求項8】

前記最適化問題を解く前に、前記最適化問題を少なくとも部分的に事前に解くステップ（１２ａ）をさらに含む、請求項１から７のいずれか一項に記載の方法。

【請求項9】

前記最適化問題は、整数混合線形プログラム、整数混合非線形プログラム、または二次の非制約バイナリ最適化問題である、請求項１から８のいずれか一項に記載の方法。

【請求項10】

前記最適化問題は、前記データ処理システム（２０）の量子処理デバイス（２２）において少なくとも部分的に解かれる、請求項１から９のいずれか一項に記載の方法。

【請求項11】

前記最適化変数は量子状態の重ね合わせに割り当てられ、および／またはオプティマイザは、前記最適化問題の最小値である、請求項１０に記載の方法。

【請求項12】

前記暗号化ハッシュ関数は、情報のセキュリティをもたらし、および／またはＭＤ４、ＭＤ５、ＳＨＡ－１、およびＳＨＡ－２のうちの１つである、請求項１から１１のいずれか一項に記載の方法。

【請求項13】

前記原像要素は、デジタル署名および／または検証されるメッセージおよび／またはデータファイルを含む、請求項１から１２のいずれか一項に記載の方法。

【請求項14】

コンピュータプログラムであって、前記コンピュータプログラムがデータ処理システム（２０）で実行されると、前記データ処理システム（２０）に、請求項１から１３のいずれか一項に記載の方法のステップを実行させる命令を含む、コンピュータプログラム。

【請求項15】

暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システム（２０）であって、
－暗号化ハッシュ関数の出力値および前記暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ（１０）と、
－前記ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ（１１）と、
－最適化問題を決定するステップ（１２）であって、
－前記出力値と、
－前記暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、
－前記暗号化ハッシュ関数の内部状態変数と少なくとも１つの原像変数とを含む最適化変数であって、
前記少なくとも１つの制約は、前記少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む、最適化変数を含む最適化問題を決定するステップと、
－前記最適化問題を解き（１３）、前記少なくとも１つの原像変数の最適化した値から前記暗号化ハッシュ関数の原像要素を決定するステップと
を実行することによって、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、特に量子アニーリングデバイスなどの量子コンピュータで、暗号化ハッシュ関数の原像要素を決定するための技術に関する。

【背景技術】

【0002】

反転の暗号化ハッシュ関数は、それぞれの暗号強度の分析に関する。式中Ｘが入力値の集合（入力ビットシーケンス、メッセージ）であり、Ｙが出力値の集合（ハッシュの値、固定の長さのビットシーケンス）であるハッシュ関数Ｈ：Ｘ→Ｙについて、Ｙにおける要素ｙのサイズ｜ｙ｜は通常、｜ｘ｜よりもはるかに小さい。したがって、ハッシュ関数は全単射ではなく、次式
Ｈ（ｘ）＝ｙ （１）
は一般に、多くの解を有し、すなわち、集合Ｈ^（－１）（ｙ）＝｛ｘ：Ｈ（ｘ）＝ｙ｝（特定のハッシュの値ｙに対応する原像要素または逆像要素の集合）は多くの要素を含むことができる。それにもかかわらず、それらのいずれかの模索は、「強力な」ハッシュ関数の計算上困難な問題である。近年、ハッシュ関数は、ブロックチェーン技術における重要な要素として使用されている。最も計算電力を消費する段階、いわゆるマイニングはまた、以下の不等式を解くと理解され得る。

【0003】

Ｈ（｛ｘ，ｘ_{ｆｉｘｅｄ}｝）≦ｙ （２）

【0004】

式中、｛ｘ，ｘ_{ｆｉｘｅｄ}｝は、未知の部分ｘ（いわゆるノンス、通常は４バイトのフィールド）と、ブロックヘッダを伴う固定された残りの部分ｘ_{ｆｉｘｅｄ}とを含むハッシュ関数Ｈの引数であり、ハッシュの値ｙは、所定の閾値に対応する。式（２）の左辺および右辺はビットシーケンスであるが、整数のバイナリ表現として解釈することもできる。これにより、式（２）から、ハッシュの値ｙの事前定義された先頭ビット数はすべて０に等しい。例えば、ハッシュ関数が１２８ビットのハッシュ関数Ｈである場合、ハッシュの値ｙは、ｙ_ｍがシーケンス（ｙ_ｋ）_{（ｋ＝１，…，１２８）}内の最初の（左から）ゼロ以外のビットである（有限）シーケンスｙ＝（ｙ_ｋ）_{（ｋ＝１，…，１２８）}として書くことができる。したがって、式（２）は、以下に相当する。

【0005】

［Ｈ（｛ｘ，ｘ_{ｆｉｘｅｄ}｝）］_ｋ＝０（ｋ＝１：（ｍ－１）） （２’）

【0006】

ハッシュ関数Ｈの先頭ビット（ｍ－１）は０である。これにより、原像要素の集合のうちの１つを決定することができる。

【0007】

暗号化ハッシュ関数によって処理される入力にアクセスするか、またはそれを変更する主なタイプは、衝突攻撃と原像攻撃の２つである。衝突攻撃では、目標は、２つの異なるメッセージｘ_１，ｘ_２を見つけ、Ｈ（ｘ_１）＝Ｈ（ｘ_２）とすることである。ＭＤ５の暗号化ハッシュ関数に対するこのタイプの攻撃は既に知られており、約２^１８ＭＤ５の圧縮を必要とし、これは依然として網羅的な探索（２^６４ＭＤ５の圧縮を必要とする）よりもはるかに少ない。したがって、そのような攻撃は通常のＰＣで実行することができる。一方、原像攻撃は、より複雑であるが、衝突攻撃よりも強力である。原像攻撃の間、ｘは所与のｙに対して決定され、Ｈ（ｘ）＝ｙである。ＭＤ５の場合、そのような攻撃は現在、理論的なものに過ぎず、すなわち、網羅的な探索よりも少ないＭＤ５圧縮が必要とされるが（２^{１２３．４}対２^１２８）、既知の原像攻撃は、利用可能なコンピュータ上で完了することが、依然として事実上不可能である。

【発明の概要】

【0008】

本開示の目的は、効率的かつリソースを節約する方法で、暗号化ハッシュ関数によって処理されたハッシュの値に対応する原像要素を決定するための方法を提供することである。

【0009】

問題を解決するために、請求項１に記載の、データ処理システムで実行される、暗号化ハッシュ関数の原像要素を決定するための方法が提供される。さらに、コンピュータプログラムおよびデータ処理システムが、それぞれ独立請求項１４および１５に従って提供される。さらなる実施形態は、従属請求項に開示されている。

【0010】

一態様によれば、データ処理システムで実行される、暗号化ハッシュ関数の原像要素を決定するための方法が提供される。本方法は、暗号化ハッシュ関数の出力値および暗号化ハッシュ関数のハッシュ関数演算を提供することを含み、ハッシュ関数演算の各々について、式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定することと、最適化問題を決定するステップとを含む。最適化問題は、出力値と、暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約（最適化関係）と、暗号化ハッシュ関数の内部状態変数および少なくとも１つの原像変数を含む最適化変数とを含む。少なくとも１つの制約は、少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む。本方法は、最適化問題を解き、少なくとも１つの原像変数の最適化した値から暗号化ハッシュ関数の原像要素を決定するステップをさらに含む。

【0011】

別の態様によれば、コンピュータプログラムおよび／またはコンピュータプログラム製品が提供され、コンピュータプログラムおよび／またはコンピュータプログラム製品がデータ処理システムで実行されると、データ処理システムに、暗号化ハッシュ関数の原像要素を決定するための方法のステップを実行させる命令を含む。

【0012】

さらなる態様によれば、以下の暗号化ハッシュ関数の出力値および暗号化ハッシュ関数のハッシュ関数演算をもたらすステップ、ハッシュ関数演算の各々について、方程式および／または不等式を含む少なくとも１つのハッシュ関数関係を決定するステップ、最適化問題を決定するステップ、および最適化問題を解き、少なくとも１つの原像変数の最適化した値から暗号化ハッシュ関数の原像要素を決定するステップを実行することによって、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システムが提供される。最適化問題は、出力値と、暗号化ハッシュ関数の反復に割り当てられた少なくとも１つの制約と、暗号化ハッシュ関数の内部状態変数および少なくとも１つの原像変数を含む最適化変数とを含む。少なくとも１つの制約は、少なくとも１つのハッシュ関数関係から決定され、先行する反復に割り当てられた先行する内部状態変数を含む。

【0013】

少なくとも１つのハッシュ関数関係は、直前の反復に割り当てられた先行する内部状態変数を含むことができる。最適化問題は、複数の制約を含むことができる。暗号化ハッシュ関数は、複数の反復、特に４８、６４、８０、または１２８の反復を含むことができる。好ましくは、制約の各々を反復のうちの１つに割り当てることができる。さらに、反復の各々は、制約のうちの少なくとも１つを割り当てられてもよい。反復の各々は、制約のうちの少なくとも１つを割り当てることができ、その各々は、直前の反復に割り当てられた先行する内部状態変数のうちの少なくとも１つを含むことができる。制約は、最適化方程式、最適化不等式、および目的関数のうちの少なくとも１つを含むことができる。特に、式（１）または式（２）を最適化問題に対して用いるとき、明示的な目的関数（例えば、最小化されるべきである）が必要ない場合がある。したがって、最適化問題は、ダミー０定数の目的関数を含むことができる。複数の制約のいくつかは、ペナルティ項として目的関数要素に変換することもできる。

【0014】

少なくとも１つの原像変数の最適化した値は、最適化問題の最小値および／または最大値が決定されたときに仮定され得る。最適化問題は、複数の原像変数、例えば１６個の原像変数を含むことができる。原像要素は、原像変数の最適化した値を連結することによって決定され得る。最小値および／または最大値は、大域的および／または局在的であってもよい。

【0015】

暗号化ハッシュ関数の出力値は、好ましくは１２８または１６０ビットのサイズを有するハッシュの値（ダイジェスト）とすることができる。

【0016】

ハッシュ関数演算は、非線形ブール関数、左ビット回転、右ビット回転、およびモジュラ加算のうちの少なくとも１つ、特に、以下のうちの１つを含み得る。

【0017】

【数1】

【0018】

ハッシュ関数演算のうちの少なくとも１つ、好ましくは関数演算の各々は、暗号化ハッシュ関数の反復および／またはラウンドに割り当てられ得る。

【0019】

左ビット回転は、１つの桁または複数の桁によって左ビットを回転させることを含んでもよい。右ビット回転は、１つの桁または複数の桁によって右ビットを回転させることを含んでもよい。回転させる桁の数は、左ビットの回転および／または右ビットの回転に割り当てられた反復および／またはラウンドに依存し得る。

【0020】

方法は、ハッシュ関数演算のうちの少なくとも１つの要素的演算を決定するステップと、要素的演算の各々について、要素方程式および／または要素不等式を含む少なくとも１つの要素的関係を決定するステップと、少なくとも１つのハッシュ関数演算の要素的関係から少なくとも１つのハッシュ関数関係を決定するステップとを含み得る。好ましくは、要素的演算は、ＮＯＴ、ＡＮＤ、ＯＲ、およびＸＯＲのうちの少なくとも１つを含み得る。

【0021】

実施形態では、ハッシュ関数関係のすべては、要素的関係から決定されてもよい。代わりに、ハッシュ関数関係の少なくとも１つまたはすべては、ハッシュ関数演算から直接決定される。

【0022】

ハッシュ関数関係のうちの少なくとも１つおよび／または要素的関係のうちの少なくとも１つは、双線形方程式および／または線形方程式を含み、好ましくは連続変数、バイナリ変数、および整数の変数のうちの少なくとも１つを含み得る。

【0023】

ハッシュ関数関係のうちの少なくとも１つおよび／または要素的関係のうちの少なくとも１つは、

【数2】

の形式を有し、バイナリ変数および／または整数の変数が

【数3】

を含み、連続変数が、

【数4】

を含み、ｑは、ハッシュ関数演算および／または要素的演算のうちの１つである。

【0024】

連続および／またはバイナリ変数の少なくとも１つが、初期の最適化問題（補助的最適化問題）、好ましくは制約付き二次問題を解くことによって決定され得る。

【0025】

特に、変数

【数5】

は、初期最適化問題を解くことによって決定され得る。初期最適化問題は、（с_１－１）^２の形式の目的関数を含むことができ、ここではｃ_１は

【数6】

の第１の成分である。この形態は、正規化を可能にする。初期最適化問題は、

【数7】

のうちの少なくとも１つを含む補助的制約を含むことができる。特に、初期の最適化問題は次のようになり得る。

【0026】

【数8】

【0027】

ここで、ｆは実行可能な構成のセットを示し、Ｎ_ａは式（４）での補助変数の数を示す。

【0028】

好ましくは初期最適化問題によって決定される、ハッシュ関数関係の少なくとも１つおよび／または要素的関係の少なくとも１つは、連続的な係数、好ましくは整数の値の係数、およびバイナリ変数の線形方程式を含み得る。

【0029】

例えば、要素的関係の少なくとも１つは、ｘ＋ｙ－１＝０、ｘ＋ｙ－２ｚ－ａ＝０、ｘ＋ｙ－２ｚ＋ａ＝０、およびｘ＋ｙ－ｚ－２ａ＝０の少なくとも１つを含むことができ、ここで、ｘ、ｙ、ｚ、およびａは、バイナリ変数である。さらに、要素的関係の少なくとも１つは、ｘ＋３ｙ＋２ｚ－６Ｆ＋２ａ_０－３ａ_１＋２ａ_２＝０、３ｘ＋２ｙ－ｚ－６Ｇ－３ａ_０＋２ａ_１＋２ａ_２＝０、ｘ＋ｙ＋ｚ－Ｈ－２ａ_０＝０、ｘ＋２ｙ－ｚ－２Ｉ＋ａ_０－４ａ_１＝０，および（ｘ＋ｙ＋ｚ－２Ｊ－ａ＝０）の少なくとも１つを含むことができ、ｘ、ｙ、ｚ、ＦからＪ、およびａ_０からａ_２は、バイナリ変数である。

【0030】

要素的関係のうちの少なくとも１つはまた、以下の要素不等式｛ｚ≦ｘ，ｚ≦ｙ，ｚ≧ｘ＋ｙ－１｝、｛ｘ≦ｚ，ｙ≦ｚ，ｚ≦ｘ＋ｙ，ｚ≦１｝；および｛ｚ≦ｘ＋ｙ，ｚ≧ｘ－ｙ，ｚ≧ｙ－ｘ，ｚ≦２－ｘ－ｙ｝の集合のうちの少なくとも１つを含むことができ、式中、ｘおよびｙは、バイナリ変数であり、ｚは連続変数である。ハッシュ関数関係の不等式は、要素不等式の集合のうちの少なくとも１つから決定され得る。

【0031】

最適化問題を解くときに、初期内部状態の値および／または、好ましくは最後の反復に割り当てられる最終的な内部状態の値、が固定され得る。最適化変数は、最後の反復に割り当てられた内部状態変数を含まなくてもよい。

【0032】

方法は、最適化問題を解く前に、最適化問題を少なくとも部分的に事前に解くステップをさらに含み得る。最適化問題を事前に解くことにより、制約および／または最適化変数の数を減らすことができる。最適化問題を事前に解くことは、最適化問題の値、好ましくは最適の値を決定することを含んでもよい。事前に解くことはまた、制約のうちの少なくとも１つの他の制約を代替する少なくとも１つの代替の制約を決定することを含むことができる。

【0033】

最適化問題は、整数混合線形プログラム（ＭＩＬＰ）、整数混合非線形プログラム（ＭＩＮＬＰ）、または二次の非制約バイナリ最適化（ＱＵＢＯ）問題であり得る。最適化問題はまた、制約付き整数プログラムであり得る。ＱＵＢＯ問題の目的関数は、ＭＩＬＰおよび／または、ＭＩＮＬＰに対して決定された制約から、好ましくは制約を二乗することによって決定することができる。最適化問題は、別個の探索空間を含むことができる。

【0034】

最適化問題は、データ処理システムの量子処理デバイス、好ましくは量子アニーリングデバイスにおいて（少なくとも部分的に）解くことができる。

【0035】

例えば、量子アニーリングデバイスは、Ｄ波アニーリングデバイスであってもよい。最適化問題は、汎用量子コンピュータ上で解くこともできる。この目的のために、量子近似最適化アルゴリズムを使用して最適化問題を解くことができる。

【0036】

あるいは、最適化問題は、古典的な処理デバイス、好ましくはデータ処理システムにおいてのみ解くことができる。古典的な処理デバイスは、プロセッサおよびメモリを備えることができる。要素的関係を決定すること、ハッシュ関数関係を決定すること、最適化問題を決定すること、および／または少なくとも１つの原像変数の最適化した値から暗号ハッシュ関数の原像要素を決定することは、古典的なデータ処理デバイスにおいて、特に古典的な処理デバイスのプロセッサによって実行され得る。

【0037】

データ処理システムは、量子処理デバイス、特に量子アニーリングデバイスを備えてもよい。あるいは、量子処理デバイスは、データ処理システムから分離されてもよい。

【0038】

少なくとも１つの制約、好ましくはすべての制約は、量子処理デバイス、好ましくは古典処理デバイス、特に古典処理デバイスのメモリから転送されてもよい。制約を転送することは、最適化中に固定値、例えば暗号化ハッシュ関数の出力値を転送することを含むことができる。

【0039】

最適化変数は量子状態の重ね合わせに割り当てられ、および／またはオプティマイザは、最適化問題の最小値、好ましくは大域的最小値であり得る。

【0040】

特に、最適化変数の可能な各々の値の割り当ては、好ましくは量子処理デバイスによって生成される量子状態のうちの１つに対応することができる。初期において、重畳の量子状態の各々は同じ重みを有することができる。重畳は、制約から決定された処方に従って量子処理デバイスによって時間的に発展させることができる。処方は、例えばハミルトニアンによって表されてもよい。少なくとも１つの原像変数の最適化した値（割り当て）は、最終時刻における重畳から決定されてもよい。最後に、最適化した値割の当てに対応する量子状態の最適化量子状態は、重畳の量子状態の最大重みを有することができる。最適化量子状態は、例えば、ハミルトニアンの基底状態に対応し得る。

【0041】

少なくとも１つの原像変数の最適化した値は、最適化量子状態を決定することによって決定され得る。最適化した値は、古典的なデータ処理デバイスに転送されてもよい。これにより、原像要素は、古典的なデータ処理デバイス、特に古典的な処理デバイスのメモリに設けられてもよい。

【0042】

暗号化ハッシュ関数は、好ましくは認証および／またはデータ破損検出のための情報のセキュリティをもたらすことができる。暗号化ハッシュ関数は、さらに、ＭＤ４、ＭＤ５、ＳＨＡ－１、およびＳＨＡ－２のうちの１つであってもよい。

【0043】

原像要素は、好ましくはデータの完全性および／またはプルーフオブワークのために、デジタル署名および／または検証されるメッセージおよび／またはデータファイルを含み得る。プルーフオブワークにより、ブロックチェーン内のトランザクションを確認することができ、および／またはブロックチェーンの新しいブロックを生成することができる。

【0044】

暗号化ハッシュ関数の原像要素を決定するための方法に関する前述の実施形態は、暗号化ハッシュ関数の原像要素を決定するように構成されたデータ処理システムに対応して提供することができる。

【図面の簡単な説明】

【0045】

以下では、例として、図面を参照して実施形態を説明する。

【図1】ＭＤ５ハッシュ関数の図形による表示を示す。

【図2】ＳＨＡ－１ハッシュ関数の図形による表示を示す。

【図3】暗号化ハッシュ関数の原像要素を決定するための方法の図形による表示を示す。

【図4】データ処理システムの図形による表示を示す。

【発明を実施するための形態】

【0046】

図１は、ＭＤ５ハッシュ関数の図形による表示を示す。ハッシュ関数の入力データ、例えばメッセージは、ハッシュ関数の異なる反復ｋに対応する固定されたブロック長（ＭＤ５の場合３２ビット）のメッセージブロック（原像データブロック）Ｍ_ｋに分割される。ハッシュ関数は、反復ｋごとの内部状態を含み、各内部状態は、４つの３２ビットのブロックＡ_ｋ，Ｂ_ｋ，Ｃ_ｋ，Ｄ_ｋからなる。

【0047】

初期内部状態（Ａ_０，Ｂ_０，Ｃ_０，Ｄ_０）から開始して、ハッシュ関数の演算が第１の反復の中の初期内部状態（Ａ_０，Ｂ_０，Ｃ_０，Ｄ_０）に適用され、その結果、第１の内部状態（Ａ_１，Ｂ_１，Ｃ_１，Ｄ_１）が得られ、これにより、ひいては、ハッシュ関数の演算を適用する第２の反復の開始点が得られる。図１に示す図は、反復ｋのためのハッシュ関数演算の適用を示す。各反復ｋの中で、メッセージブロックＭ_ｋが処理され、内部状態を修正するために使用される。最大反復回数（ＭＤ５の場合は６４）に達した後、最後の内部状態の３２ビットブロックが連結され、暗号化ハッシュ関数の出力値が生成される。

【0048】

ＭＤ５ハッシュ関数（ＭＤ４、ＳＨＡ－１、およびＳＨＡ－２などの広く使用されている暗号化ハッシュ関数の大半と同様に）は、以下のハッシュ関数演算を含む。
－ビット単位の論理演算に基づく非線形ブール関数Ｆ_ｋ、
－１６、３２ビットの整数のモジュロ２^１６または２^３２の加算、
－ビット数分のビットシーケンスのシフト。

【0049】

ＭＤ５ハッシュ関数の６４回の反復は、１６回の演算の４回にグループ化される。各ラウンドについて、異なるブール関数Ｆ_ｋが使用され、Ｋ_ｋは３２ビットの定数からなり、反復ｋごとに異なる。記号

【数9】

は、反復ごとにｓが変化するｓの桁による、左ビット回転を示す。記号

【数10】

は、加算モジュロ２^３２を示す。

【0050】

反復ｋに対して、内部状態（Ａ_{（ｋ－１）}，Ｂ_{（ｋ－１）}，Ｃ_{（ｋ－１）}，Ｄ_{（ｋ－１）}）から開始して、図１に従い、内部状態の値は以下のように処理される。

【0051】

【数11】

【0052】

この関数μは、以下のように定義される。

【0053】

【数12】

【0054】

非線形ブール関数Ｆ_ｋは、反復ｋに応じて、以下のように定義される。

【0055】

【数13】

【0056】

第１の１６の反復ｋは第１のラウンドを構成し、その後の１６の反復は第２のラウンドを構成し、第３の１６の反復は第３のラウンドを構成し、最後の１６の反復は第４のラウンド兼最後のラウンドを構成する。記号

【数14】

は、論理演算ＯＲ、ＡＮＤ、ＸＯＲ、およびＮＯＴをそれぞれ示す。変数Ｂ、Ｃ、およびＤは、３２ビットのワードである。

【0057】

Ａ_ｋ，Ｂ_ｋ，Ｃ_ｋ，Ｄ_ｋ，Ｍ_μ（ｋ），Ｋ_ｋすべてが３２ビットの符号なしの整数として扱われ得る。Ａ_６４，Ｂ_６４，Ｃ_６４，Ｄ_６４は、最終的なハッシュの値の３２ビットブロックである。ｋ∈０．．．１５であるＭ_ｋは、求められる入力メッセージを構成し、最適化変数（原像変数）として用いられる。式（１）および（２）に示される変数ｙは、内部状態／データブロックＡ_６４，Ｂ_６４，Ｃ_６４，Ｄ_６４の和集合である。

【0058】

したがって、所与のハッシュの値ｙに対する原像要素ｘを求めることは、所与のＡ_６４，Ｂ_６４，Ｃ_６４，Ｄ_６４に対する原像変数Ｍ_ｋを求めることに相応する。

【0059】

図２は、反復ｋのためのハッシュ関数演算の適用を示す、ＳＨＡ－１ハッシュ関数の対応する図形による表示である。各反復の内部状態は、５つの３２ビットデータブロックＡ_ｋ，Ｂ_ｋ，Ｃ_ｋ，Ｄ_ｋ，Ｅ_ｋからなる。Ｍ_ｋは反復ｋのメッセージブロックを表し、Ｋ_ｋは反復ｋごとに異なる定数である。

【0060】

ＭＤ５およびＳＨＡ－１で使用される非線形ブール関数Ｆ_ｋは、以下のように定義される。

【0061】

【数15】

【0062】

上記のブール関数のうちの２つのみがＭＤ５およびＳＨＡ－１の両方で使用されるが、すべてのブール関数は、バイナリ変数

【数16】

に対する要素的なブール演算の合成である。

【0063】

ビットレベルでは、ＮＯＴの演算は、０と１との間の切り替え、すなわち、！１＝０および！１＝０に相当する。他の３つの要素的演算は、以下のように定義される（なお、

【数17】

は加算モジュロ２に対応する）。

【0064】

【表1】

【0065】

左ビット回転演算および加算モジュロ演算は、以下の式で表すことができる。Ｎビット数ｘのｓ桁ごとの左シフト回転ｙは、以下のように定義される。

【0066】

【数18】

【0067】

式中、記号「／／」はフロアの分割を示し、記号「＜＜」および「＞＞」はそれぞれ左シフトおよび右シフトを示す。右シフトの回転は、ｙ＝ｘ＞＞＞_ｓ＝（ｘ＞＞ｓ）｜（ｘ＜＜（Ｎ－ｓ））＝ｘ／／２^ｓ＋ｘ・２^Ｎ－ｓｍｏｄ２^Ｎと定義される。加算モジュロ２^Ｎは、加算に続いて２^Ｎ除算後の剰余を計算することを意味する。

【0068】

ａ．原像要素を決定するための方法
式（２）Ｈ（｛ｘ，ｘ_{ｆｉｘｅｄ}｝）≦ｙの左辺および右辺がバイナリ表記で表される場合、式（２）は、Ｈ（｛ｘ，ｘ_{ｆｉｘｅｄ}｝）の先頭ビットの数ｎ_Ｚ（ｙの値によって事前定義される）が０に等しい場合に限り成立する。式（２）を満たす原像要素ｘを決定することは、ｎ_Ｚが大きいほど困難である。（ｂ）_ｋで表すと、（バイナリ）有限シーケンスｂのｋ番目のビットとされ、式（２）は、以下の方程式系で定式化することができる。

【0069】

（Ｈ（｛ｘ，ｘ_{ｆｉｘｅｄ}｝））_ｋ＝０，ｋ＝１，…，ｎ_Ｚ （９）

【0070】

式（１）、Ｈ（ｘ）＝ｙ、および式（９）は、バイナリ変数を有する整数混合計画問題、特に制約として線形方程式および／または線形不等式を含む制約を有する整数混合線形計画問題（ＭＩＬＰ）としてさらに再定式化することができる。

【0071】

式（１）および（９）は、双一次関数を含み、バイナリ変数の実現可能な値に対する追加の制約なしの二次制約なしバイナリ最適化問題（ＱＵＢＯ）として定式化することもできる。ＭＩＬＰおよびＱＵＢＯの両方は、利用可能な古典的なソルバ（例えば、ＣＰＬＥＸ、Ｇｕｒｏｂｉ、ＸＰＲＥＳＳ、またはＳＣＩＰ）を使用して解くことができるが、量子処理デバイスで解くことも可能である。特に、Ｄ－Ｗａｖｅなどの量子アニーリングデバイスを使用してＱＵＢＯを解くことができる。ＱＵＢＯは、最適化変数のすべての可能な値の割り振りを含む離散探索空間を含むことができるので、可能な値の割り振りは並列に処理することができ（量子並列度）、原像要素を決定する際の実質的な高速化を達成することができる。

【0072】

式（１）および（９）などの方程式系を解く任意の顕著な加速は、特に、ブロックチェーンシステムなどのデータの完全性またはプルーフオブワークに依存するシステムのパフォーマンスを大幅に向上させる。現在、ノンス探索には１０分の制限時間が許容されている。特にこの状況において、量子アニーリングデバイスは、必要な計算時間を数秒に短縮するのに役立ち得る。

【0073】

図３は、データ処理システムで実行される、暗号化ハッシュ関数の原像要素を決定するための方法の図形による表示を示す。

【0074】

最初のステップ１０では、式（８）の暗号化ハッシュ関数（ＭＤ５またはＳＨＡ－１など）で定義される場合のハッシュ関数の演算Ｆ，…，Ｊが得られる。各ハッシュ関数演算Ｆ，…，Ｊについて、１つの対応するハッシュ関数関係または複数の対応するハッシュ関数関係が決定される（ステップ１１）。各ハッシュ関数関係は方程式とすることができる。あるいは、複数の対応するハッシュ関数は、不等式の集合であり得る。方程式は、好ましくは低次元の補助的な（初期の）最適化問題を解くことによって決定することができる。

【0075】

ハッシュ関数関係は、ハッシュ関数演算から直接、または任意選択の中間ステップ１１ａを介して決定される。ステップ１１ａにおいて、ハッシュ関数演算Ｆ，…，ＪのＮＯＴ、ＡＮＤ、ＯＲ、および／またはＸＯＲを含む要素的演算が決定され、各要素的演算について、対応する要素方程式および／または要素不等式の集合が決定される。

【0076】

ハッシュ関数関係を決定した後、ＭＩＬＰ、ＱＵＢＯなどの最適化問題が決定される（ステップ１２）。最適化問題は、ハッシュ関数関係から確立されたハッシュ関数の反復ごとの最適化方程式または最適化不等式（制約）の集合を含む。最適化問題は、ハッシュ関数の内部状態（ＭＤ５の場合Ａ_ｉ，Ｂ_ｉ，Ｃ_ｉ，Ｄ_ｉ）および（ＳＨＡ－１の場合Ａ_ｉ，Ｂ_ｉ，Ｃ_ｉ，Ｄ_ｉ，Ｅ_ｉ）））および原像変数Ｍ_ｉを、最適化変数としてさらに含む。 初期内部状態（Ａ_０，Ｂ_０，Ｃ_０，…）および最終的内部状態（結果として得られるハッシュの値に対応する）は既知であり、最適化中固定されたままである。特定の反復に割り当てられた制約は、先行する反復に割り当てられた内部状態変数を含む。

【0077】

任意選択のステップ１２ａでは、制約および／または最適化変数の数を減らすことができる。これは、制約および／または最適化変数を事前に解くことによって達成することができる。

【0078】

最適化問題を決定した後、最適化問題が解かれ、最適化問題の最適化変数の集合（オプティマイザ）からハッシュ関数の原像要素が決定される（ステップ１３）。

【0079】

図４は、データ処理システム２０の図形による表示を示す。データ処理システム２０は、古典的処理デバイス２１を備える。さらに、データ処理システム２０は、量子処理デバイス２２、例えば量子アニーリングデバイスを備えてもよい。古典処理デバイス２１と量子処理デバイス２２との間でデータの授受が行われてもよい。特に、Ｄ－Ｗａｖｅ量子アニーリングデバイスを使用する場合、Ｄ－Ｗａｖｅ Ｐｙｔｈｏｎ ＡＰＩをデータ交換に使用することができる。ステップ１０から１２は、古典的処理デバイス２１内で実行されることが好ましい。また、ステップ１３は、古典的処理デバイス２１内で実行されてもよい。しかし、ステップ１３は、最適化問題が量子処理デバイス２２において解かれるときに著しく加速される。

【0080】

ｂ．要素的演算の要素的関係の決定
ステップ１１ａに従って要素的関係を決定することは、各要素的演算！ｘ＝ｙ，ｘ∧ｙ＝ｚ，ｘ∨ｙ＝ｚ，および

【数19】

について（要素的）方程式または不等式の集合を確立することを含む。

【0081】

ＭＩＬＰ制約に対する基本的なブール関数での方程式の削減を考慮する。
ＮＯＴ演算は、バイナリ変数ｘ，ｙについて、減算の演算を含む式に対応し、以下の等価性をもたらす。

【0082】

！ｘ＝ｙ⇔ｙ＝１－ｘ （１０）

【0083】

より一般的には、（ブール関数である）他の要素的演算のうちの１つに対応する線形方程式系を決定するために、それぞれの初期の最適化問題が解かれる。以下では、

【数20】

は、要素的演算ｑ、入力変数の集合

【数21】

および出力

【数22】

のためのジョイントベクトル

【数23】

として定義される。さらに、ｆは、実現可能な構成の集合を示す。決定される式は、以下の形式を有する。

【0084】

【数24】

【0085】

式中、

【数25】

はバイナリ係数の補助ベクトルであり、ｂは連続係数であり、

【数26】

は連続的な係数のベクトルであり、

【数27】

はバイナリ変数のベクトルである。ベクトルの転置は（・）^Ｔで表される。特に、式（１１）は

【数28】

において線形である。

【0086】

線形系は、以下を満たさなければならない。

【0087】

【数29】

【0088】

初期の最適化問題によって決定されるべき求められる係数は、連続変数

【数30】

である。初期の最適化問題は、ＭＩＬＰとして定式化することができ、以下のように式（１２）から求められる。まず、式（１２）の付随

【数31】

の数Ｎ_ａが選択される。元の問題における変数の数はＮ_ｘで示される。ＭＩＬＰは、補助制約の集合と目的の関数とからなる。実現可能な構成からの各ベクトルは、連続変数

【数32】

およびＮ_ａ、新しいバイナリ変数

【数33】

の補助制約のうちの１つをもたらす。

【0089】

【数34】

【0090】

実行不可能な構成からの各ベクトル

【数35】

に対して、２^Ｎａの新しい補助制約が追加される。

【0091】

【数36】

【0092】

補助制約の数は指数関数的に増加するが、最も一般的なハッシュ関数は、少数の入力変数および出力変数のみを有する関数を有する。これは、ＭＤハッシュ関数およびＳＨＡハッシュ関数を含んでいた。総和は考慮しない。そのための対応する線形方程式を本発明者らが発明したからである。

【0093】

結果として、｜ｆ｜＋２^Ｎａ｜ｆ^＊｜の補助制約（｜ｆ｜および｜ｆ^＊｜はそれぞれ実現可能な構成および実現不可能な構成の数である）およびＮ_ｘ＋Ｎ_ａ＋１＋｜ｆ｜・Ｎ_ａの変数のＭＩＬＰが確立される。そのような均一のＭＩＬＰは多くの解を有する（すべての係数に同じ数を乗算すると解がまた得られる）。したがって、

【数37】

の第１の係数ｃ_１は１に設定され、追加の補助制約または対応するペナルティ項ｃ_１＝１をもたらす。

【0094】

次いで、初期の最適化問題は次のようになる。

【0095】

【数38】

【0096】

実数値変数を含む

【数39】

およびバイナリ変数を含む

【数40】

を伴う。以下では、例として、要素的演算ｚ＝ｘ∧ｙの要素方程式の決定について説明する。演算の実現可能な構成および実現不可能な構成は以下の通りである。

【0097】

【表2】

【0098】

式（１３）はｃ_ｘｘ＋ｃ_ｙｙ＋ｃ_Ｚｚ＋ｃ_ａａ＝ｂに簡略化され、係数ｃ_ｘ，ｃ_ｙ，ｃ_Ｚ，ｃ_ａ，ｂは次のように決定される。

【0099】

ｚ＝ｘ∧ｙ⇔（∃ａ∈｛０，１｝：ｃ_ｘｘ＋ｃ_ｙｙ＋ｃ_ｚｚ＋ｃ_ａａ＝ｂ） （１６）

【0100】

次いで、初期の最適化問題は次のようになる。

【0101】

【数41】

【0102】

上記の初期の最適化問題は、最先端のソルバ（ＣＰＬＥＸなど）に直接移されてもよく、あるいは古典的なＭＩＮＬＰ（不等式の制約なし）またはＭＩＬＰに変換されてもよい。

【0103】

最適化問題は、要素的演算ｚ＝ｘ∧ｙに対して、補助変数ａを有する以下の要素方程式をもたらす。

【0104】

ｘ＋ｙ－２ｚ－ａ＝０ （１８）

【0105】

式（１８）は、式（１８）が成立するようにバイナリａが存在する場合、およびその場合にのみ、バイナリ変数ｘ，ｙ，ｚのトリプルは、ｚ＝ｘ∧ｙを満たすという意味でｚ＝ｘ∧ｙに相当する。これは、以下の表（ｘ，ｙ，ｚの実行可能なトリプルに対する太字の点のゼロ）により分かるように保持されている。

【0106】

【表3】

【0107】

式でｚ＝ｘ∧ｙを表す代わりに、要素的演算は不等式の集合で表すこともできる。

【0108】

ｚ≦ｘ，ｚ≦ｙ，ｚ≧ｘ＋ｙ－１ （１９）

【0109】

重要なことに、ｘ，ｙがバイナリである場合、およびｚが式（１９）を満たす場合は、ｚは別個の値０および１のみをとることができ、ｚがバイナリであることを明示的に必要としない。これにより、原像のＭＩＬＰ表現の複雑さ、および／またはマイニングの問題を低減することができる。

【0110】

これに対応して、さらなる要素的演算ＯＲは、
ｘ∨ｙ＝ｚ （２０）
であり、以下の要素方程式をもたらす。

【0111】

ｘ＋ｙ－２ｚ＋ａ＝０ （２１）

【0112】

これは、以下の表を介して確認することができる。

【0113】

【表4】

【0114】

（要素的）不等式の集合に関して、要素的演算ＯＲは、以下のように表される。

【0115】

ｘ≦ｚ，ｙ≦ｚ，ｚ≦ｘ＋ｙ，ｚ≦１ （２２）

【0116】

ｘ，ｙがやはりバイナリであり、ｚが式（２２）を満たしている場合、ｚは、ｚがバイナリであることを明示的に要求することなく、別個の値０および１のみをとることができる。

【0117】

要素的関係ＸＯＲが、次式の場合

【数42】

対応する要素方程式は、以下となり、
ｘ＋ｙ－ｚ－２ａ＝０ （２４）

【0118】

これは、以下の表によって確認することができる。

【0119】

【表5】

【0120】

ＸＯＲ演算は、不等式の集合によって表すこともできる。

【0121】

ｚ≦ｘ＋ｙ，
ｚ≧ｘ－ｙ，
ｚ≧ｙ－ｘ，
ｚ≦２－ｘ－ｙ （２５）

【0122】

上述したように、連続変数ｚがバイナリｘおよびｙを伴う以下の式（２５）を満たす場合、依然、値０および１をとることしかできない。

【0123】

ｃ．ハッシュ関数関係の決定
ステップ１１で決定されるハッシュ関数関係は、要素的関係と同様に、方程式または不等式であり得る。方程式の場合、式は、式（１５）のような形式で初期の最適化問題を解くことによって決定することができる。あるいは、各ハッシュ関数演算を構成する要素的演算に対応する不等式の集合から、不等式の集合を決定することができる。

【0124】

ハッシュ関数演算Ｆ（式（８．１）参照）の場合、
Ｆ（ｘ，ｙ，ｚ）＝（ｘ∧ｙ）∨（！ｘ∧ｚ） （２６）

【0125】

ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。

【0126】

ｘ＋３ｙ＋２ｚ－６Ｆ’＋２ａ_０－３ａ_１＋２ａ_２＝０ （２７）

【0127】

バイナリ変数Ｆ’およびバイナリ補助変数、ａ_０、ａ_１、およびａ_２を含む。要素不等式からハッシュ関数演算のための不等式の集合を決定するために、式（２６）は次のように再定式化される。

【0128】

Ｆ（ｕ_Ｆ，ｖ_Ｆ）＝ｕ_Ｆ∨ｖ_Ｆ （２８）

【0129】

連続補助変数ｕ_Ｆ＝（ｘ∧ｙ）およびｖ_Ｆ＝（！ｘ∧ｚ）を伴う、ただし、実際にはバイナリ値のみをとる。ハッシュ関数演算Ｆのための不等式の集合は、次のように決定される。

【0130】

ｕ_Ｆ≦ｘ，ｕ_Ｆ≦ｙ，ｕ_Ｆ≧ｘ＋ｙ－１，
ｖ_Ｆ≦１－ｘ，ｖ_Ｆ≦ｚ，ｖ_Ｆ≧ｚ－ｘ，ｖ_Ｆ≧０，
ｖ_Ｆ≦Ｆ’，ｕ_Ｆ≦Ｆ’，Ｆ’≦ｕ_Ｆ＋ｖ_Ｆ，Ｆ’≦１ （２９）

【0131】

バイナリ変数Ｆ’を伴う。式（２７）および式（２９）は、最適化問題における制約、好ましくはＭＩＬＰを決定するためにそれぞれ使用することができる。

【0132】

ハッシュ関数演算Ｇの場合、
Ｇ（ｘ，ｙ，ｚ）＝（ｘ∧ｚ）∨（ｙ∧！ｚ） （３０）

【0133】

ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。

【0134】

３ｘ＋２ｙ－ｚ－６Ｇ’－３ａ_０＋２ａ_１＋２ａ_２＝０ （３１）

【0135】

バイナリ変数Ｇ’’およびバイナリ補助変数ａ_０、ａ_１、およびａ_２を含む。要素不等式からハッシュ関数演算のための不等式の集合を決定するために、式（３０）は次のように再定式化される。

【0136】

Ｇ（ｕ_Ｇ，ｖ_Ｇ）＝ｕ_Ｇ∨ｖ_Ｇ （３２）

【0137】

連続した補助変数ｕ_Ｇ＝（ｘ∧ｚ）およびｖ_Ｇ＝（ｙ∧！ｚ）を伴い、バイナリ値をとる。ハッシュ関数演算Ｇのための不等式の集合は、次のように決定される。

【0138】

ｕ_Ｇ≦ｘ，ｕ_Ｇ≦ｚ，ｕ_Ｇ≧ｘ＋ｚ－１，
ｖ_Ｇ≦１－ｚ，ｖ_Ｇ≦ｙ，ｖ_Ｇ≧ｙ－ｚ，ｖ_Ｇ≧０，
ｖ_Ｇ≦Ｇ’，ｕ_Ｇ≦Ｇ’，Ｇ’≦ｕ_Ｇ＋ｖ_Ｇ，Ｇ’≦１ （３３）

【0139】

バイナリ変数Ｇ’を伴う。

【0140】

ハッシュ関数演算Ｈ（式（８．３）参照）の場合、

【数43】

【0141】

ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。

【0142】

ｘ＋ｙ＋ｚ－Ｈ’－２ａ＝０ （３５）

【0143】

バイナリ変数Ｈ’’およびバイナリ補助変数ａを含む。要素不等式からハッシュ関数演算のための不等式の集合を決定するために、式（３４）は次のように再定式化される。

【0144】

【数44】

【0145】

連続した補助変数

【数45】

を伴い、バイナリ値をとる。ハッシュ関数演算Ｈのための不等式の集合は、次のように決定される。

【0146】

ｕ_Ｈ≦ｘ＋ｙ，Ｈ’≦ｕ_Ｈ＋ｚ，
ｕ_Ｈ≧ｘ－ｙ，Ｈ’≧ｕ_Ｈ－ｚ，
ｕ_Ｈ≧ｙ－ｘ，Ｈ’≧ｚ－ｕ_Ｈ，
ｕ_Ｈ≦２－ｘ－ｙ，Ｈ’≦２－ｕ_Ｈ－ｚ （３７）

【0147】

バイナリ変数Ｈ’を伴う。

【0148】

ハッシュ関数演算Ｉの場合、

【数46】

ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。

【0149】

ｘ＋２ｙ－ｚ－２Ｉ’＋ａ_０－４ａ_１＝０ （３９）

【0150】

バイナリ変数Ｉ’’およびバイナリ補助変数ａ_０、およびａ_１を含む。要素不等式からハッシュ関数演算Ｉのための不等式の集合を決定するために、式（３８）は次のように再定式化される。

【0151】

【数47】

【0152】

連続した補助変数ｕ_ｉ＝ｘ∨！ｚを伴って、バイナリ値をとる。ハッシュ関数演算Ｉのための不等式の集合は、次のように決定される。

【0153】

ｘ≦ｕ_Ｉ，１－ｚ≦ｕ_Ｉ，ｕ_Ｉ≦ｘ－ｚ＋１，ｕ_Ｉ≦１．
Ｉ’≦ｙ＋ｕ_Ｉ，Ｉ’≧ｙ－ｕ_Ｉ，Ｉ’≧ｕ_Ｉ－ｙ，Ｉ’≦２－ｙ－ｕ_Ｉ， （４１）

【0154】

バイナリ変数Ｉ’を伴う。

【0155】

ハッシュ関数演算Ｊの場合、
Ｊ（ｘ，ｙ，ｚ）＝（ｘ∧ｙ）∨（ｘ∧ｚ）∨（ｙ∧ｚ）， （４２）

【0156】

ｘ，ｙ，ｚは３２ビットワードＢ、Ｃ、およびＤからの相互ビットに対応して、以下の式が決定される。

【0157】

ｘ＋ｙ＋ｚ－２Ｊ’－ａ＝０， （４３）

【0158】

バイナリ変数Ｊ’’およびバイナリ補助変数ａを含む。要素不等式からハッシュ関数演算Ｊのための不等式の集合を決定するために、式（４２）は次のように再定式化される。

【0159】

Ｊ（ｕ_Ｊ，ｖ_Ｊ）＝ｕ_Ｊ∨ｖ_Ｊ （４４）

【0160】

連続した補助変数ｐ_Ｊ＝（ｘ∧ｙ），ｑ_Ｊ＝（ｘ∧ｚ），ｕ_Ｊ＝（ｐ_Ｊ∨ｑ_Ｊ），およびｖ_Ｊ＝（ｙ∧ｚ）を伴い、バイナリ値をとる。ハッシュ関数演算Ｊのための不等式の集合は、次のように決定される。

【0161】

ｐ_Ｊ≦ｘ，ｐ_Ｊ≦ｙ，ｐ_Ｊ≧ｘ＋ｙ－１，
ｑ_Ｊ≦ｘ，ｑ_Ｊ≦ｚ，ｑ_Ｊ≧ｘ＋ｚ－１，
ｖ_Ｊ≦ｙ，ｖ_Ｊ≦ｚ，ｖ_Ｊ≧ｙ＋ｚ－１，
ｐ_Ｊ≦ｕ_Ｊ，ｑ_Ｊ≦ｕ_Ｊ，ｕ_Ｊ≦ｐ_Ｊ＋ｑ_Ｊ，ｕ_Ｊ≦１，
ｕ_Ｊ≦Ｊ’，ｖ_Ｊ≦Ｊ’，Ｊ’≦ｕ_Ｊ＋ｖ_Ｊ，Ｊ’≦１ （４５）

【0162】

バイナリ変数Ｊ’を伴う。式（４３）および式（４５）は、最適化問題における制約、好ましくはＭＩＬＰを決定するためにそれぞれ使用することができる。

【0163】

ハッシュ関数演算が線形方程式系

【数48】

に作用するシフト演算で、式中

【数49】

が変数のベクトルで、

【数50】

はパラメータの固定ベクトル（最適化中の定数）である場合、対応する変数のリネーミングのみが行われる。

【0164】

【数51】

に関し、シフトされたベクトル

【数52】

は、右回転（ｘ’＝ｘ＞＞＞ｓ）の場合は

【数53】

左回転（ｘ’＝ｘ＜＜＜ｓ）の場合は

【数54】

で示す。したがって、シフト演算を適用した後の線形方程式系は、単なる別の再指数化線形方程式系

【数55】

である。

【0165】

ハッシュ関数演算が加算モジュロ演算である場合、ａ_ｉ∈Ｚに作用する、すなわち、

【数56】

被加数ｂ∈Ｚに関し、式（４６）の各ビットの桁が考慮されるべきである。ａ_ｉｊ，ｂ_ｊがａ_ｉとｂの第ｊビットである式

【数57】

それぞれを展開すると、式（４６）は、以下に相当する。

【0166】

【数58】

【0167】

式中Ｃ_ｉは、ａ_ｉおよびｂの第ｉビットのキャリービット数である。

【0168】

ハッシュ関数演算Ｆ，Ｇ，Ｈ，Ｉ，およびＪのためのＭＩＬＰ制約のための決定されたハッシュ関数式から開始して、対応するＱＵＢＯペナルティ項を決定することができる、すなわち、
Ｑ_Ｆ（Ｆ，Ｂ，Ｃ，Ｄ，Ａ_０，Ａ_１）＝－２ＢＣ＋２ＢＤ＋４ＢＦ＋４ＢＡ_０＋４ＢＡ_１－４ＣＦ
－４ＣＡ_０＋４ＤＡ_１＋４ＦＡ_０＋４ＦＡ_１－４Ｂ＋４Ｃ－２Ｄ－２Ｆ－４Ａ_１＋４
Ｑ_Ｇ（Ｇ，Ｂ，Ｃ，Ｄ，Ａ_０，Ａ_１）＝２ＢＤ－４ＢＧ＋４ＢＡ_０－２ＣＤ－４ＣＧ
＋４ＣＡ_１＋４ＤＡ_０－４ＤＡ_１－４ＧＡ_０－４ＧＡ_１＋２Ｃ＋６Ｇ＋４Ａ_１
Ｑ_Ｈ＝（Ｈ，Ｂ，Ｃ，Ｄ，Ａ_０，Ａ_１）＝４ＢＤ－４ＢＡ_０－４ＢＡ_１－４ＣＨ－４ＣＡ_０＋４ＣＡ_１
－４ＤＡ_０－４ＤＡ_１＋４ＨＡ_０－４ＨＡ_１＋２Ｂ＋２Ｃ＋２Ｄ＋２Ｈ＋４Ａ_０＋４Ａ_１
Ｑ_Ｉ＝（Ｉ，Ｂ，Ｃ，Ｄ，Ａ_０，Ａ_１）＝－２ＢＤ＋４ＢＡ_０＋４ＢＡ_１＋４ＣＩ＋４ＣＡ_０
－４ＣＡ_１－４ＤＡ_０－４ＤＡ_１＋４ＩＡ_０－４ＩＡ_１－２Ｃ＋２Ｄ－２Ｉ＋８Ａ_１＋２
Ｑ_Ｊ（Ｊ，Ｂ，Ｃ，Ｄ）＝２ＢＣ＋２ＢＤ－４ＢＪ＋２ＣＤ－４ＣＪ－４ＤＪ＋６Ｊ （４８）

【0169】

式（４８）のＱＵＢＯペナルティは、対応する決定されたハッシュ関数方程式をＭＩＬＰ形式で二乗することによって直接得られるものよりも効率的な最適化を必ずしももたらさない。上記のＱＵＢＯペナルティは、例えば、より多くのバイナリ補助変数を含むことができる。

【0170】

一般に、離散的な変数が多いほど、使用される潜在可能性がある分岐の限定されたアルゴリズム探索木のサイズが大きくなるため、付加的なバイナリ変数は、回避するべきである。一方、最先端のＭＩＬＰソルバは、パフォーマンスを著しく損なうことなく、数千の連続変数を許容することができる。

【0171】

さらに、１つのハッシュ関数演算に対して１つの方程式の代わりに不等式の集合を使用する場合、実行可能な不等式の集合を作成する異なる代替的な方法がある。

【0172】

ｄ．最適化問題の決定
ハッシュ関数関係を決定した後、ステップ１２に従って最適化問題を決定する。この目的のために、暗号化ハッシュ関数の各反復内でのハッシュ関数関係は、図１または２に示すように、ハッシュの値を計算するときに、それらの（時系列の）順序に対応して結合される。

【0173】

ＭＤ５の場合、および、初期内部状態のデータブロック（内部状態変数）Ｂ_０，Ｃ_０，およびＤ_０から始まって、ハッシュ関数関係として方程式を使用するとき、最適化問題の第１の制約は、

【数59】

【0174】

Ｂ_０，Ｃ_０，Ｄ_０，Ｆ_１および補助変数ベクトル

【数60】

を、それぞれ式（２７）における変数ｘ，ｙ，ｚ，Ｆ^’，および（ａ_０，ａ_１，ａ_２）について（第１ラウンドの）ハッシュ関数演算子Ｆの式に挿入することによって、決定される。続いて、図１に従って、原像変数Ｍ_μ（１）および定数Ｋ_１を用いたモジュラ加算Ｆ_１＝Ｆ（Ｂ_０，Ｃ_０，Ｄ_０）が実行される。式（４７）の対応するハッシュ関数関係にＦ_１、Ｍ_μ（１）、およびＫ_１を挿入し、方程式の左辺にあるすべての項を配置し、制約
Σ（Ｆ_１，Ａ_０，Ｍ_μ（１），Ｋ_１，ＦＭ_１，ξ_１，１）＝０ （５０）
は、補助変数ξ_１，１を伴って決定される。これに続いて、得られた項ＦＭ_１がシフトされて、Ｂ_０に追加され、次の制約が得られる。

【0175】

【数61】

【0176】

これは、補助変数ξ_１，２を伴う。結果として得られるモジュラ加算の項は、次の反復に割り当てられる内部状態変数Ｂ_１に対応する。内部状態変数Ｂ_０，Ｃ_０，およびＤ_０を、次の反復に割り当てられるそれぞれの内部状態変数Ｃ_１，Ｄ_１，およびＡ_１に割り当てることを表すために、さらなる制約が決定される。

【0177】

要約すると、最初の反復に割り当てられた以下の制約が決定される。

【0178】

【数62】

【0179】

後続の反復に割り当てられる制約は同様に決定され、以下の制約の集合（ここでは最適化方程式）が得られる。

【0180】

【数63】

【0181】

式（５３）は、式（５３）のすべての制約を満たす実現可能な解を決定する制約充足問題（ＣＳＰ）をもたらす。特に、Ａ_６４、Ｂ_６４、Ｃ_６４、Ｄ_６４は、ハッシュの値ｙの一部であり、ｋ＝１、．．．、１６の場合のＭ_ｋは、ハッシュ関数の引数の一部（原像要素）である。

【0182】

一般に、変数Ａ_０，Ｂ_０，Ｃ_０，Ｄ_０，Ａ_６４，Ｂ_６４，Ｃ_６４，Ｄ_６４，およびＫ_ｋｆｏｒｋ＝１，…，６４は既知であり、最適化の最中固定される。残りの変数は、最適化変数を構成する。

【0183】

最適化方程式の場合、すべてのＭ_ｋは事前に未知であり、Ａ_６４、Ｂ_６４、Ｃ_６４、Ｄ_６４は固定である。

【0184】

最適化不等式（式（９）を参照）の場合、Ｍ_ｋの一部（例えば、ｋ＝３、．．．、１６）は固定され、残りのもの（例えば、Ｍ_１、Ｍ_２）のみが未知の変数である。さらに、Ａ_６４、Ｂ_６４、Ｃ_６４、Ｄ_６４の各々を有限シーケンスとして扱う場合、例えば、Ａ_６４は０ビットシーケンスに固定され、残りの変数は任意の値をとることができる。

【0185】

次いで、最適化問題、すなわち制約（式（５３））のＭＩＬＰが解かれ、最適化変数の最適値が得られる。メッセージブロックＭ_ｋの最適値は、暗号化ハッシュ関数ＭＤ５の原像要素の１つを構成する。ＳＨＡ－１および他の暗号化ハッシュ関数の場合、制約は同様に決定することができる。

【0186】

任意選択の事前に解くステップ１２ａでは、制約および／または最適化変数の数を減らすことができる。制約を解析することにより、全体として最適化問題を解く前に、一部の最適化変数の値を決定することができる。例えば、以下を含む制約で開始すると、

【数64】

【0187】

関係ｘ＋ｙ＝１－ｚ≦１を決定することができ、このことから、ｘ＋ｙ＝１およびｚ＝０の関係を決定することができる。続いて、より少ない最適化変数／制約を伴う修正された制約の集合が決定される。

【0188】

【数65】

【0189】

事前に解くことはまた、ＳＣＩＰの中のＰａＰＩＬＯといった事前に解く際のライブラリーを使用することによって、行うことができる。

【0190】

最適化問題をＭＩＬＰとして決定して解く代わりに、最適化問題をＱＵＢＯ問題として決定して解くこともできる。特に、ＭＩＬＰ（式（５３）および（５４））をＱＵＢＯに変換することができる。これに対して、制約（式（５３））がそれぞれ二乗され、合計され、その結果、ＱＵＢＯ目的関数ｆ_ＱＵＢＯが最小化される。

【0191】

【数66】

【0192】

最適化問題は、利用可能なソルバを使用して解くこともできる。ＭＩＬＰおよびＭＩＮＬＰは、例えばＣＰＬＥＸ、Ｇｕｒｏｂｉ、Ｆｉｃｏ ＸＰＲＥＳＳ、ＰａｒａＳＣＩＰ、ＦｉｂｅｒＳＣＩＰ、および／またはオープンソースＳＣＩＰを使用して古典的に解くことができる。ＱＵＢＯ問題は、一般的なアニーリングソルバ、例えば、デジタルアニールおよび／またはＳｉｍｕｌａｔｅｄ Ｂｉｆｕｒｃａｔｉｏｎ Ｍａｃｈｉｎｅを使用して、古典的に解決することができる。

【0193】

量子処理デバイスを用いてＱＵＢＯ問題を解く場合、量子アニーリングデバイス（例えば、Ｄ－Ｗａｖｅアニールデバイス）を用いることができる。この目的のために、ＱＵＢＯ目的関数ｆ_ＱＵＢＯが量子アニーリングデバイスに伝達される。次に、量子アニーリングデバイスでＱＵＢＯが解かれ、最適化変数、特に原像変数Ｍ_ｋの最適値の最適値割り当てが得られる。これにより、暗号化ハッシュ関数の原像要素を決定することができる。

【0194】

本明細書、図および／または特許請求の範囲に開示された特徴は、単独でまたはそれらの様々な組み合わせで解釈される、様々な実施形態の実現のための材料であり得る。

【図1】

【図2】

【図3】

【図4】