特表2024-536356 | 知財ポータル「IP Force」

知財求人 - 知財ポータルサイト「IP Force」

青山学院大学 (神奈川県相模原市中央区淵野辺)

▶ ダイムラー・アクチェンゲゼルシャフトの特許一覧

特表2024-536356平文を暗号化する方法

書誌要約請求の範囲詳細な説明課題実施例実施するための形態図面の説明

目に優しい文字サイズ小中大 PDF Top

< >

1
2
3
4
5
6
7
8
9

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-10-04

(54)【発明の名称】平文を暗号化する方法

(51)【国際特許分類】

G09C 1/00 20060101AFI20240927BHJP

【ＦＩ】

G09C1/00 610A

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024520659

(86)(22)【出願日】2022-10-07

(85)【翻訳文提出日】2024-04-03

(86)【国際出願番号】 EP2022077966

(87)【国際公開番号】W WO2023066689

(87)【国際公開日】2023-04-27

(31)【優先権主張番号】102021005213.7

(32)【優先日】2021-10-19

(33)【優先権主張国・地域又は機関】DE

(81)【指定国・地域】

(71)【出願人】

【識別番号】598051819

【氏名又は名称】メルセデス・ベンツグループアクチェンゲゼルシャフト

【氏名又は名称原語表記】Ｍｅｒｃｅｄｅｓ－ＢｅｎｚＧｒｏｕｐＡＧ

【住所又は居所原語表記】Ｍｅｒｃｅｄｅｓｓｔｒａｓｓｅ１２０，７０３７２Ｓｔｕｔｔｇａｒｔ，Ｇｅｒｍａｎｙ

(74)【代理人】

【識別番号】100101856

【弁理士】

【氏名又は名称】赤澤日出夫

(72)【発明者】

【氏名】フリーセン，ヴィクター

(57)【要約】

本発明は、対称鍵Ｋを使用してブロックサイズＬＥのブロック暗号Ｅにより平文を暗号化する方法に関する。本発明は、２つの要求を満たすフィンガプリント関数（ＦＰ_ｕ）が使用され、２つの要求は、２つの不等のビットシーケンス（ＢＦ１≠ＢＦ２）から、適用のために十分に高い確率で、ビットシーケンスへのフィンガプリント関数（ＦＰ_ｕ）の適用の結果も不等の（ＦＰ_ｕ（ＢＦ１）≠ＦＰ_ｕ（ＢＦ２））という結果になること、及びフィンガプリント関数（ＦＰ_ｕ）に対してフィンガプリント逆関数（ＦＰ_ｕ ^－１）が存在し、それにより常にＦＰ_ｕ ^－１（ＦＰ_ｕ（ＢＦ）｜｜ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）＝ＢＦ［１．．ｕ］であり、ここで、ｕとＬ_Ｅは必ずしも同じである必要はなく、平文の最初の完全なｕビットＰＢ^ｕ _１と残りの平文の選択された、又はすべてのビットＦＰＩｎｐｕｔの連結にフィンガプリント関数が適用されることにより、一般的な暗号ＥＧｅｎが使用され、続いて、暗号文ＣＢ_１の最初のブロックが、ｕビット長の結果ＦＰ_ｕ（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ）のＥＧｅｎ暗号化、すなわちＣＢ_１：＝ＥＧｅｎ（ＦＰ_ｕ（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ））によって計算され、このように生成された平文ＣＢ_１の最初のｕビットの暗号化が、残りの平文の一部又は全部をブロック暗号Ｅにより暗号化するための初期化ベクトルＩＶ：＝ＣＢ_１として使用され、そのために、初期化ベクトル（ＩＶ）を必要とする任意の動作モードが利用される。

【特許請求の範囲】

【請求項1】

対称鍵Ｋを使用してブロックサイズＬ_Ｅのブロック暗号Ｅにより平文を暗号化する方法において、
２つの要求を満たすフィンガプリント関数（ＦＰ_ｕ）が使用され、前記２つの要求は、
２つの不等のビットシーケンス（ＢＦ１≠ＢＦ２）から、適用のために十分に高い確率で、前記ビットシーケンスへの前記フィンガプリント関数（ＦＰ_ｕ）の適用の結果が不等（ＦＰ_ｕ（ＢＦ１）≠ＦＰ_ｕ（ＢＦ２））となること、及び
前記フィンガプリント関数（ＦＰ_ｕ）に対してフィンガプリント逆関数（ＦＰ_ｕ ^－１）が存在し、それにより常にＦＰ_ｕ ^－１（ＦＰ_ｕ（ＢＦ）｜｜ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）＝ＢＦ［１．．ｕ］となる、ということであり、
ここで、ｕとＬ_Ｅは必ずしも同じである必要はなく、一般的な暗号ＥＧｅｎは、平文の最初の完全なｕビットＰＢ^ｕ _１と残りの平文の選択された、又はすべてのビットＦＰＩｎｐｕｔの連結に前記フィンガプリント関数を適用し、続いて、暗号文ＣＢ_１の前記最初のブロックを、ｕビット長の結果ＦＰ_ｕ（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ）のＥＧｅｎ暗号化、すなわちＣＢ_１：＝ＥＧｅｎ（ＦＰ_ｕ（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ））によって計算することによって使用され、このように生成された前記平文ＣＢ_１の前記最初のｕビットの前記暗号化が、残りの平文の一部又は全部をブロック暗号Ｅにより暗号化するための初期化ベクトルＩＶ：＝ＣＢ_１として使用され、そのために、初期化ベクトル（ＩＶ）を必要とする任意の動作モードが利用される
ことを特徴とする方法。

【請求項2】

フィンガプリント関数ＦＰ_ｕとして、フィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＢＦ）：＝Ｓｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）が利用され、ここで、Ｔａｇ_ｕは、任意の長さのビットシーケンスＢＦに対して意図される適用のために十分に高い確率で長さｕの一意の値を計算する関数であり、ここで、Ｓｃｒａｍｂｌｅ_ｕは、前記長さｕの前記ビットシーケンス（ＢＦ）を前記長さｕのビットシーケンス（ＢＦ）にマッピングする可逆関数であり、＠は、同じ長さの２つのビットシーケンス（ＢＦ）のビットごとのＸＯＲ結合を表す
ことを特徴とする、
請求項１に記載の方法。

【請求項3】

前記関数Ｔａｇ_Ｕとして、暗号ハッシュ関数が利用され、前記暗号ハッシュ関数のハッシュ値が安全な方法で前記長さｕに適合される
ことを特徴とする、
請求項２に記載の方法。

【請求項4】

前記関数Ｔａｇ_ｕは、非可逆性の特性を有し及び／又は少なくとも１つの点で衝突耐性がある
ことを特徴とする、
請求項２又は３に記載の方法。

【請求項5】

前記関数Ｔａｇ_ｕとして、鍵なし又は鍵依存の暗号ハッシュ関数ＨＡＳＨ_{（Ｋ＿Ｈ）}が利用される
ことを特徴とする、
請求項２～４のいずれか一項に記載の方法。

【請求項6】

ＰＢ^ｕ _１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤからなる平文メッセージＭ_Ｐ＝ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤの暗号化Ｍ_Ｃは、前記メッセージに属さない２つの明示的に含まれていないビットシーケンスＩｍｐｌＡＤとＩｍｐｌ_ｕに依存して、一般的な等長暗号ＥＧｅｎ及びブロック暗号Ｅを使用して、以下のように定義され、すなわち
Ｅ^{ＦＰ，ＥＧｅｎ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＰＢ^ｕ _１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤ，ＩｍｐｌＡＤ，Ｉｍｐｌ_ｕ）：＝
ＣＢ^ｕ _１｜｜Ｅ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ^ｕ _１），ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２）であり、
ここでＣＢ^ｕ _１：＝ＥＧｅｎ（ＦＰ_ｕ（ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）＠Ｉｍｐｌ_ｕ）であり、ＣＢ^ｕ _１’，ＣＴ^ＯＭ’，ＡＤ’からなる暗号文メッセージＭ_Ｃ’＝ＣＢ^ｕ _１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’の復号化Ｍ_Ｐ’は、前記メッセージに属さない前記２つの明示的に含まれていないビットシーケンスＩｍｐｌＡＤ’とＩｍｐｌ_ｕ’に依存して、以下のように定義され、すなわち
Ｄ^{ＦＰ，ＤＧｅｎ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＣＢ^ｕ _１’，ＣＴ^ＯＭ’，ＡＤ’，Ｌ_ＰＴ１，ＩｍｐｌＡＤ’，Ｉｍｐｌ_ｕ’）：＝
ＦＰ_ｕ ^－１（（ＤＧｅｎ（ＣＢ^ｕ _１’）＠Ｉｍｐｌ_ｕ’）｜｜ＰＴ^ＯＭ’［Ｌ_ＰＴ１＋１．．Ｌ（ＰＴ^ＯＭ’）］｜｜ＡＤ｜｜ＩｍｐｌＡＤ’）｜｜ＰＴ^ＯＭ’であり、
ここでＰＴ^ＯＭ’：＝Ｄ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ^ｕ _１’），ＣＴ^ＯＭ’）であることを特徴とする、請求項１～５のいずれか一項に記載の方法。

【請求項7】

前記暗号化法では、フィンガプリント関数ＦＰ_ｕとして、フィンガプリント関数ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}又はＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），Ｅ－Ｋ＿Ｓ}のうちの１つが使用される
ことを特徴とする、
請求項１～６のいずれか一項に記載の方法。

【請求項8】

前記暗号化法では、一般的な暗号ＥＧｅｎとして、対称Ｌ_Ｅビット長鍵Ｋを使用した前記ブロックサイズＬ_Ｅ＝ｕのブロック暗号ＥのＥ－Ｒａｗ暗号化、すなわちＥ^ＲＡＷ _Ｋが使用される
ことを特徴とする、
請求項１～７のいずれか一項に記載の方法。

【請求項9】

ＰＢ_１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤからなり、Ｌ（ＰＢ_１）＝Ｌ_Ｅである平文メッセージＭ_Ｐ＝ＰＢ_１｜｜ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤの暗号化Ｍ_Ｃは、前記メッセージに属さない２つの明示的に含まれていないビットシーケンスＩｍｐｌＡＤとＩｍｐｌ_ｕに依存して、ブロックサイズＬ_Ｅ＝ｕのブロック暗号を使用して、以下のように定義され、すなわち
Ｅ^{ＦＰ，Ｅ－Ｒａｗ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＰＢ_１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤ，ＩｍｐｌＡＤ，Ｉｍｐｌ_ｕ）：＝
ＣＢ_１｜｜Ｅ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ_１），ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２）であり、
ここでＣＢ_１：＝Ｅ^ＲＡＷ _Ｋ（ＦＰ（ＰＢ_１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）＠Ｉｍｐｌ_ｕ）であり、ＣＢ_１’，ＣＴ^ＯＭ’，ＡＤ’からなり、Ｌ（ＣＢ_１’）＝Ｌ_Ｅである暗号文メッセージＭ_Ｃ’＝ＣＢ_１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’の復号化Ｍ_Ｐ’は、Ｌ_ＰＴ１と前記メッセージに属さない２つの明示的に含まれていないビットシーケンスＩｍｐｌＡＤ’とＩｍｐｌ_ｕ’とに依存して、ブロックサイズＬ_Ｅ＝ｕのブロック暗号を使用して以下のように定義され、すなわち
Ｄ^{ＦＰ，Ｄ－Ｒａｗ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＣＢ_１’，ＣＴ^ＯＭ’，ＡＤ’，Ｌ_ＰＴ１，ＩｍｐｌＡＤ’，Ｉｍｐｌ_ｕ’）：＝
ＦＰ^－１（（Ｄ^ＲＡＷ _Ｋ（ＣＢ_１’）＠Ｉｍｐｌ_ｕ’）｜｜ＰＴ^ＯＭ’［Ｌ_ＰＴ１＋１．．Ｌ（ＰＴ^ＯＭ’）］｜｜ＡＤ｜｜ＩｍｐｌＡＤ’）｜｜ＰＴ^ＯＭ’であり、
ここでＰＴ^ＯＭ’：＝Ｄ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ^ｕ _１’），ＣＴ^ＯＭ’）である
ことを特徴とする、
請求項６～８のいずれか一項に記載の方法。

【請求項10】

ＣＢＣ動作モードはＯＭオペレーションモードとして使用され、前記最初のブロックの外側にあるブロックのパディングが省略され、その代わりに前記ＣＴＳ動作モードがＣＢＣ動作モードと組み合わせて適用される
ことを特徴とする、
請求項８又は９に記載の方法。

【請求項11】

Ｌ（ＣＢ_１）＝Ｌ_Ｅ，の場合、前記メッセージＭ_Ｃを送信する前に、前記最初のブロックＣＢ_１が再度暗号化される
ことを特徴とする、
請求項１～１０のいずれか一項に記載の方法。

【請求項12】

対称鍵Ｋを使用してブロックサイズＬ_Ｅのブロック暗号Ｅにより平文を暗号化する方法において、
フィンガプリント関数（ＦＰ_ｕ）として、フィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＢＦ）：＝Ｓｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）が利用され、ここで、Ｔａｇ_ｕは、任意の長さのビットシーケンスＢＦに対して意図される適用のために十分に高い確率で長さｕの一意の値を計算する関数であり、ここで、Ｓｃｒａｍｂｌｅ_ｕは、前記長さｕの前記ビットシーケンス（ＢＦ）を前記長さｕのビットシーケンス（ＢＦ）にマッピングする可逆関数であり、＠は、同じ長さの２つのビットシーケンス（ＢＦ）のビットごとのＸＯＲ結合を表し、
フィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}の前記Ｔａｇ_ｕ関数に含まれるビットシーケンスの新規性を保証するために、新メッセージごとに、安全な鍵依存ハッシュ関数ＨＡＳＨ_Ｋ＿Ｈがフィンガプリント関数ＦＰ_ｕ ^Ｋ＿ＨのＴａｇ_ｕ ^Ｋ＿Ｈ関数の基礎として使用され、ＥＧｅｎによる平文の最初のｕビットの追加の暗号化が省略され、その代わりに、最初のｕビットＣＢ^ｕ _１の暗号化としてＦＰ_ｕ ^Ｋ＿Ｈフィンガプリントが直接使用される
ことを特徴とする、方法。

【請求項13】

前記平文ＰＴのフォーマットは、前記最初の平文ブロックＰＢ_１が可能な限り予測可能な、特に強い一貫性ルールに従う、可能な最大限の冗長性を有する情報を含むように形成され、前記一貫性ルールの遵守が前記メッセージの復号化後に受信者により検査され、前記一貫性ルールの違反が確認された場合、例外処理が開始される
ことを特徴とする、
請求項１～１２のいずれか１項に記載の方法。

【請求項14】

関数Ｓｃｒａｍｂｌｅ_ｕとして、恒等関数又は等長暗号化関数が利用され、暗号化の場合、暗号化に適合する復号化関数が逆関数として利用される
ことを特徴とする、
請求項１～１３のいずれか一項に記載の方法。

【請求項15】

ブロックサイズＬ_Ｅ＝ｕのブロック暗号ＥとＬ_Ｅビット長さの対称鍵Ｋ＿Ｓには、前記関数Ｓｃｒａｍｂｌｅ_ｕとして、Ｋ＿ＳによるＥ－Ｒａｗ暗号化、すなわちＥ^ＲＡＷ _Ｋ＿Ｓが利用される
ことを特徴とする、
請求項１４に記載の方法。

【請求項16】

初期化ベクトルＩＶの長さは、選択された動作モードに依存して、及び／又はＣＢ_１の長さに依存して適合される
ことを特徴とする、
請求項１４又は１５のいずれか一項に記載の方法。

【請求項17】

前記暗号化は、少なくとも（ｕ＋１）ビット長の平文に使用される
ことを特徴とする、
請求項１～１６のいずれか一項に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、対称鍵Ｋを使用して、ブロックサイズＬ_Ｅのブロック暗号Ｅにより平文を暗号化する方法に関する。

【背景技術】

【0002】

短メッセージの高頻度の送受信は、車両エコシステム内のいくつかのアプリケーションにおいて非常に重要であり、これについては、例えば特許文献１に見出される。その場合、この刊行物に示されているように、多くの場合、メッセージの長さをそれほど長くすることなく、これらのメッセージに暗号の完全性保護及び／又は暗号リプレイ保護を提供することが不可欠であり、上記の公開公報に記載されるように、この目的には効率の理由から対称法のみが考慮の対象になり得る。ただし、場合によっては、例えば秘密の有効データを保護する、及び／又は潜在的な攻撃者が共に読み、解釈し、それによりメッセージ及び利用されたプロトコルをリバースエンジニアリングすることを妨げるために、メッセージ全体、又は有効データなど少なくともその一部を暗号化することが重要になり得る。

【0003】

特許文献１において完全性保護及びリプレイ保護についてなされたのと類似の考察が暗号化にも当てはまる。基本的に、特に短メッセージは、例えばＲＳＡベースの方法により非対称的に暗号化できる。ただし、平文のＲＳＡ暗号文は、暗号化に使用される鍵と少なくとも同じ長さ、すなわち、例えばＲＳＡー２０４８を使用した場合は２０４８ビットである。これにより、例えば２０バイト、すなわち１６０ビット長の暗号化されていないメッセージから、少なくとも２０４８ビット長の暗号化された転送メッセージになるが、これは、短メッセージを使用する必要性と完全に矛盾する。更に、非対称復号化は、対称暗号化又は復号化に比べて何倍も時間がかかる。したがって、これは、短い高頻度のメッセージの効率的な暗号化については、対称法のみが考慮の対象になる。

【0004】

現在、対称暗号化には、例えばＡＥＳなどのブロック暗号が主に使用される。本明細書中で、ブロック暗号ＥのブロックサイズはＬ_Ｅ又はＬ＿Ｅで示される。ブロックサイズＬ_Ｅのブロック暗号ＥによるＲａｗ暗号化では、正確にＬ_Ｅビット長の平文、いわゆる平文ブロックが対称鍵を用いて正確にＬ_Ｅビット長の暗号文、いわゆる暗号文ブロックに暗号化される。それに対応して、ブロックサイズＬ_Ｅのブロック暗号Ｅに属する復号化関数ＤによるＲａｗ復号化では、（正確にＬ_Ｅビット長の）暗号文ブロックが対称鍵を用いて（正確にＬ_Ｅビット長の）平文ブロックに復号化される。すなわち、どちらの場合も、常に正確に１つの完全なブロックが処理され、異なる長さの入力は受け入れられない。本明細書中で、Ｅ－Ｒａｗ暗号化とＤ－Ｒａｗ復号化は、Ｅ^ＲＡＷ若しくはＤ^ＲＡＷで示される。対称鍵ＫによるＥ－Ｒａｗ暗号化は、Ｅ^ＲＡＷ _Ｋで示され、対称鍵にＫによるＤ－Ｒａｗ復号化はＤ^ＲＡＷ _Ｋで示される。

【0005】

ブロック暗号Ｅにより暗号化する場合、Ｌ_Ｅビットより長い平文を暗号ブロックサイズＬ_Ｅ相当するブロックに分割し、次いで、これらが個別に対称鍵を用いて暗号化される。個々の平文ブロックの互いに完全に独立した暗号化は、ＥＣＢモード（ブロック暗号）と呼ばれる。Ｒａｗ暗号化とは異なり、ＥＣＢモードで動作する暗号は、任意の長さの入力を扱うことができる。その場合、最後の平文ブロックがブロック暗号のブロックサイズより短い場合、この最後の平文ブロックを規定の方法で埋める、いわゆるパディングが適用される。ＥＣＢはブロック暗号の最も単純な動作モードであるが、これには、同じ鍵を使用すると、同じ平文ブロックが同じ暗号文ブロックに暗号化され、それによって攻撃者が対応する平文ブロックに関して推論できるという欠点がある。

【0006】

このＥＣＢの弱点に対する対策として、より複雑な動作モード（ＣＢＣ，ＣＦＢ，ＯＦＢ，ＣＴＲなど）が開発されており、これらのモードでは、ＥＣＢモードのように個々の平文ブロックを互いに独立して直接暗号化する代わりに、個々の平文ブロックの暗号化が多少なりとも互いに密接に関わり合い、それにより次の平文ブロックの暗号化に、平文ブロック自体及び鍵に加えて、その先行ブロックの暗号化中に生成された、通常は１ブロックサイズの長さの更なるデータが含まれ、その際、次の平文ブロックの暗号化に含まれるこれらのデータが先行平文ブロックに依存し得る（ＣＢＣ，ＣＦＢ）か、又はそれに依存し得ない（ＯＦＢ，ＣＴＲ）。

【0007】

このようにして、大まかに言えば、通常、同じ平文ブロックが様々な暗号文ブロックに暗号化されるが、最初の平文ブロックには追加の入力データを受け取ることができる先行ブロックがないため、これは当てはまらない。これに対処するために、通常は最初のブロックを暗号化するときにこの追加のデータとして利用される１ブロックサイズ長の初期化ベクトルが使用される。その場合、初期化ベクトルはそれぞれ１回のみ、すなわち１つの平文に対してのみ使用することが許され、それ以外の場合は（同じ鍵で）また同じ平文ブロックに対して同じ暗号文ブロックが生成され、すなわち、同じ鍵を使用する間は初期化ベクトルはノンスでなければならない。その場合、初期化ベクトルは新規であるということ、すなわちノンスであることのみが必要であり、秘密にしておく必要はない。むしろ、暗号化に使用される初期化ベクトルは復号化にも必要であり、すなわち、初期化ベクトルは送信者と受信者の両方に知られている必要がある。初期化ベクトルは秘密にしておく必要がないため、メッセージの暗号化されない明示的な部分として転送することができ、これは例えばＴＬＳで行われる。これに当たる場合、平文ブロックとして存在する初期化ベクトルがなければ、受信者は暗号化されたメッセージを復号化できないため、初期化ベクトルを暗号化された形式で転送することが許されない。

【0008】

ただし、特に短メッセージの一部としての初期化ベクトルの明示的な転送は、初期化ベクトルが、通常１ブロックの長さ、例えばＡＥＳの場合は１２８ビットであるため、リソースを大量に消費する。同じ鍵で暗号化されるメッセージの数が事前に知られている場合、送信者の側で、新しいメッセージごとに１つずつインクリメントするカウンタを使うことができる。その場合、このカウンタから、例えば送信者と受信者の間で調整された適切なパディング法によって、カウンタビットをこのパディング法を用いて追加のビットで補完するか、又は暗号学的ハッシュ関数を用いて、続いて、場合によっては必要な長さの適応を行ない、新しいメッセージごとに、カウンタのインクリメントがその前に行われたために新しい、通常は１ブロック長の初期化ベクトルを送信者により生成し、メッセージの暗号化のために使用することができる。その場合、初期化ベクトル全体を各メッセージと一緒に送信する代わりに、カウンタのみ、すなわちカウンタを表す、それぞれのメッセージの数を表すカウンタビットのみが一緒に送信される。これにより、メッセージにおいて必要とされるスペースを、例えば１２８ビットから、例えば、３２ビット長のカウンタの場合は３２ビットに低減できる。

【0009】

最初に送信者と受信者が共通の開始初期化ベクトルと、現在の初期化ベクトルから新規の次の初期化ベクトルを生成するための規則とに合意し、次いで、新しいメッセージごとに、両者の側で同期して、前もって合意した規則を用いて、この次の新しい初期化ベクトルを生成することにより、暗黙的に共有される初期化ベクトルを使用することが特に省スペース的であろう。この場合の問題は、メッセージが失われるか、又は誤った順番で到着する可能性があり、それによって送信者及び受信者によって使用される初期化ベクトルの同期性が失われるということである。

【0010】

送信者と受信者の間で初期化ベクトルを暗黙的に同期するための、同様に省スペース的な別の方法は、いずれにしても転送される必要のあるメッセージ自体から初期化ベクトルを安全な方法で導出することであり、送信者と受信者はこれを互いに独立して行うことができる。この場合の問題は、初期化ベクトルが一方では暗号化プロセスの前に送信者に既知であり、したがって平文メッセージから導出可能でなければならないが、他方で、復号化プロセスの前に受信者に既知であり、したがって、暗号化されたメッセージから導出可能でなければならず、これは（一見したところ）矛盾する要求である。

【0011】

特別なＡＥＡＤ法（「ＡｕｔｈｅｎｔｉｃａｔｅｄＥｎｃｒｙｐｔｉｏｎｗｉｔｈＡｓｓｏｃｉａｔｅｄＤａｔａ」）、すなわち暗号化と認証の両方を可能にする方式で使用される、いわゆる合成初期化ベクトル（ＳＩＶ）は、メッセージから一意の認証スタンプ（タグ）が生成され、次いでこれがメッセージ又はメッセージの一部を初期化するときに初期化ベクトルとして使用されることにより、暗号化に使用される初期化ベクトルをメッセージ自体から生成することを特徴とする。例えばＣＭＡＣとＣＴＲ（ＳＩＶ－ＡＥＳ）の組み合わせ、ＡＥＳ－ＧＣＭ（ＡＥＳ－ＧＣＭ－ＳＩＶ）、又はＣＣＭ（ＣＣＭ－ＳＩＶ）などの様々なＡＥＡＤ動作モードに、合成初期化ベクトルに基づくＡＥＡＤの変形形態が開発されている（特許文献２も参照）。しかし初期化ベクトル、すなわち暗号化されていないメッセージから生成された認証スタンプは、メッセージを復号化するときにも必要とされるが、初期化ベクトルは、暗号化されたメッセージから受信者によって直接導出することができないため、初期化ベクトルは、暗号化されたメッセージと一緒に受信者に暗号化されずに送信される必要があり、それにより、上述した方法で合成初期化ベクトルを使用することによってメッセージ内のスペースが節約されない。

【0012】

これに関連して、基本的に特許文献３を参照することができる。

【0013】

特許文献４では、ブロック暗号に基づくＣＢＣ－ＭＡＣに類似の認証方法が定義されており、この方法は、例えばＣＢＣ－ＭＡＣの場合のようにメッセージ自体のみを介する代わりに、メッセージのハッシュ値を含む接頭辞の分だけ拡張したメッセージを介して計算する。

【0014】

前述したように、ＥＣＢモードの主要な弱点は、同じ鍵を使用すると、同じ平文が同じ暗号文に暗号化されるという事実である。この問題は同じ鍵を使用するという文脈においてのみ存在し、鍵を取り替えた場合には問題がある程度リセットされるため、ドキュメントの残りの部分には固定の共有対称鍵Ｋが想定される。

【0015】

すべての新しい平文を暗号化するために新規の初期化ベクトルを利用するという一般に広く普及している要求は、上記の弱点を解消するために十分ではあるが必ずしも必要ではない。すなわち平文の最初のブロックが常に新規であることを確保できる場合、ブロックを連結する際に先行ブロック、特に先行暗号文ブロックを共に含める（例えばＣＢＣ，ＣＦＢ）動作モードにおいて、新規の初期化ベクトルを利用するという要求を省略することができる。すなわち、特定の場合には、固定鍵については、初期化ベクトルと最初の平文ブロックとの組み合わせが新規であることで十分である。最初の平文ブロックが常に新規である場合、これらの特定の場合には、初期化ベクトルの使用を完全に省略することさえできる。

【0016】

例えば、スペース上の理由から、暗号化されるべき各平文について保証された新規の（明示的又は明示的に含まれていない）初期化ベクトルを省略したいか、又は省略しなければならない場合、平文の最初のブロックが常に新規である確率が最大化されるように平文のフォーマットを設計することが有意義である。

【0017】

個々の平文が「新規」である確率、すなわちペアで異なる確率は、それぞれの平文の最初のブロックが新規、すなわちペアで異なる確率より大きいので、可能な限り最大の確率で新規の最初のブロックを達成するために、平文全体の「新規性」を最初のブロックに集めること、すなわち最初のブロックが２つの異なった平文とも常に異なるようにそれぞれの平文の最初のブロックを設計することが有意である。

【0018】

ここで、２つの平文間の差異は、平文対に応じて平文の様々な箇所に現れる可能性があり、すなわち「新規性」は平文のビットポジション全体に分散され得る。したがって、一般的な場合、それぞれの平文ビットを単純に再ソートすることによってでは、最大限可能な新規の最初の平文ブロックを保証する平文フォーマットを見つけることはできない。しかし、平文に含まれる「新規性」は、その組み合わせが新規である可能性のある選択された特定のビットのシーケンスに暗号ハッシュ関数ＨＡＳＨを適用することによって非常に良好に蓄積することができる。その場合、２つの異なる平文に属し、ハッシュ値の形成に使用される２つのビットシーケンスＢＦ１及びＢＦ２に、ビットのうちの少なくとも１つに違いが現れた場合、非常に高い確率で、この異なるビットを含む２つのビットシーケンスのハッシュ値ＨａｓｈＴａｇ１：＝ＨＡＳＨ（ＢＦ１）及びＨａｓｈＴａｇ２：＝ＨＡＳＨ（ＢＦ２）も異なる。

【0019】

次いで、このようにして計算されたハッシュ値ＨａｓｈＴａｇ：＝ＨＡＳＨ（ＢＦ）を初期化ベクトルとして直接使用できるか、又はそこから、ハッシュ値の計算に含まれる平文ビットシーケンスＢＦがある場合は常に新規である初期化ベクトルを導出することができる。上記の合成初期化ベクトル（ＳＩＶ）の場合、例えばこのように行われる。その場合、問題は、上で既に説明したように、受信者が完全に、又は部分的に暗号化された平文を復号化できるようにするために、受信者が初期化ベクトルを知っていなければならないということである。スペース節約の理由から望ましくないが、初期化ベクトルを平文の一部として暗号化せずに明示的に転送したくない場合、これは、ハッシュ値ＨａｓｈＴａｇを形成するために使用されるビットシーケンスＢＦの一部が暗号化されてはならないことを意味する。なぜなら、そうでなければ受信者は、送信者によって暗号化の際に使用された初期化ベクトルを、受信した、部分的又は完全に暗号化された平文から導き出すことができないからである。

【先行技術文献】

【特許文献】

【0020】

【特許文献1】独国特許出願公開第１０２０２１００１０９５号明細書

【特許文献2】独国特許出願公開第１０２０１９１１３０２６号明細書

【特許文献3】米国特許出願公開第２０１５／０３４９９５０号明細書

【特許文献4】国際公開第２００９／０１３４２０号

【発明の概要】

【発明が解決しようとする課題】

【0021】

したがって、本発明の課題は、対称鍵Ｋを使用してブロック暗号により平文を暗号化するための改良された方法、及びこのために必要なメカニズムを提供することである。

【課題を解決するための手段】

【0022】

本発明によれば、上記課題は、請求項１に記載の特徴により解決される。有利な実施形態は、請求項１に従属する従属請求項から明らかになる。上記課題は更に、請求項１２に記載の特徴によって解決される。この場合も有利な発展形態は、請求項１２に従属する従属請求項から明らかになる。

【0023】

最初に、平文の最初のブロックにおける平文の新規性全体をコーディングし、それにより第１のブロックを含めた平文全体における任意の変更が第１の平文ブロックの変更として作用するようにする方法が必要である。

【0024】

本発明による対称鍵Ｋを使用して、ブロックサイズＬ_Ｅのブロック暗号Ｅにより平文、殊に少なくとも（ｕ＋１）ビット長の平文を暗号化するための本発明による方法は、フィンガプリント関数（ＦＰ_ｕ）を平文の完全な最初のｕビットと、残りの平文の選択された、又はすべてのビットの連結に適用した結果を、初期化ベクトルと平文の最初のｕビットの組み合わせの代用として利用する。その場合フィンガプリント関数は、２つの不等のビットシーケンス（ＢＦ１≠ＢＦ２）の結果として、適用のために十分に高い確率で、上記で定義した意味において、２つのビットシーケンスのフィンガプリントも不等である（ＦＰ_ｕ（ＢＦ１）≠ＦＰ_ｕ（ＢＦ２））ということ、及び１つのフィンガプリント関数（ＦＰ_ｕ）に対して１つのフィンガプリント逆関数（ＦＰ_ｕ ^－１）が存在し、それにより常にＦＰ_ｕ ^－１（ＦＰ_ｕ（ＢＦ）｜｜ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）＝ＢＦ［１．．ｕ］となるということの２つの要求が満たされさえすればよい。

【0025】

その場合、ｕとＬ_Ｅとは必ずしも同じである必要はない。平文の最初のｕビットＰＢ^ｕ _１の暗号化には、上述のように、ＦＰ_ｕが平文の完全な最初のｕビットＰＢ^ｕ _１と残りの平文の選択された、又はすべてのビットＦＰＩｎｐｕｔの連結に適用され、続いて、暗号文ＣＢ_１の最初のブロックがｕビット長の結果ＦＰ_ｕ（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ）のＥＧｅｎ暗号化によって計算されることにより、一般に初期化ベクトルを要求しない暗号ＥＧｅｎが使用される。その場合、記号｜｜は２つのビットシーケンスの連結を表す。すなわちその場合、ＣＢ_１：＝ＥＧｅｎ（ＦＰ（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ））となる。その場合、基本的に、ＥＧｅｎが等長であること、すなわち、実際にたいていはそうなるとしても、ＣＢ_１もｕビット長である必要はない。

【0026】

したがって、このようにして生成された平文ＣＢ_１の最初のｕビットの暗号化は、ブロック暗号Ｅを用いて平文の一部又は残りのすべての平文の一部を暗号化するための初期化ベクトルＩＶ：＝ＣＢ_１として使用でき、そのために、初期化ベクトル（ＩＶ）を要求する任意の動作モードを利用することができる。

【0027】

ＥＧｅｎにより暗号化する前にフィンガプリント関数ＦＰ_ｕを使用することによって、新規の平文が非常に高い確率で暗号ＥＧｅｎへの新規の入力をもたらし、そのことがまた非常に高い確率で新規の暗号文ＣＢ_１をもたらし、したがって新規の初期化ベクトルＩＶをもたらす。例えば、フィンガプリント関数ＦＰ^{Ｔａｇ，＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}をＦＰ_ｕとして使用する場合、疑似ランダムなＣＢ_１の計算に、平文ＰＢ^ｕ _１の最初のｕビット（Ｓｃｒａｍｂｌｅ_ｕ経由）と平文の残り（Ｔａｇ_ｕ経由）の両方が等しく含められ、したがって、最初の平文全体も新規である場合、ＦＰ^{Ｔａｇ、＿ｕ、Ｓｃｒａｍｂｌｅ＿ｕ}、及びＥＧｅｎによって暗号化された最初のｕビットＣＢｕ_１から導出される初期化ベクトルＩＶが新規であることが、非常に高い確率で保証される。

【0028】

本発明による解決策の非常に有利な実施形態によれば、長さがｕより大きいビットシーケンスＢＦのｕビット長のフィンガプリントを生成するために、フィンガプリントは関数ＦＰ_ｕ（ＢＦ）若しくはＦＰ^{Ｔａｇ＿ｕ、Ｓｃｒａｍｂｌｅ＿ｕ}（ＢＦ）の結果として実現されることが企図され、これはＳｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠（図においては○内に＋）Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）として定義され、Ｔａｇ_ｕは任意の長さのビットシーケンスについて、適用のために十分に高い確率で一意の、長さの例えば疑似ランダムな値を計算する関数であり、ここで、Ｓｃｒａｍｂｌｅ_ｕは、長さｕのビットシーケンス（ＢＦ）を長さｕのビットシーケンスにマッピングする可逆関数であり、＠は、２つのビットシーケンス（ＢＦ）のビット単位のＸＯＲ結合を表す。

【0029】

すなわち、平文全体の新規性を平文の最初のｕビットにコーディングし、この事実を暗号化に利用できるようにするために、自然数ｕ＞０について関数ＦＰ_ｕ（「フィンガプリント」）が検索され、これは、ビットシーケンスＢＦ、だしＬ（ＢＦ）＞ｕ（Ｌ（ＢＦ）はこのドキュメントにおいてビットシーケンスＢＦのビット長を示す）の場合、長さｕのビットシーケンスＦＰ_ｕ（ＢＦ）を次のように決定する。
－２ビットシーケンスＢＦ１≠ＢＦ２）から、アプリケーションのために十分に高い確率でＦＰ_ｕ（ＢＦ１）≠ＦＰ_ｕ（ＢＦ２）という結果になること、
－ＦＰ_ｕに対してＦＰ逆関数ＦＰ_ｕ ^－１が存在し、それにより常にＦＰ_ｕ ^－１（ＦＰ_ｕ（ＢＦ）｜｜ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）＝ＢＦ［１．．ｕ］となり、
ここで、ビットシーケンスＢＦと自然数ｉ、ｊ、ただし１≦ｉ≦ｊ≦Ｌ（ＢＦ）の場合、ＢＦ［ｉ．．ｊ］はビットｉ～ｊからなるＢＦの部分シーケンスを示し、すなわち例えばＢＦ＝ＢＦ［１．．Ｌ（ＢＦ）］であり、｜｜は、２つのビットシーケンス又はバイトシーケンスの連結を示す。

【0030】

その場合、「適用のために十分に高い確率で」とは、２つのビットシーケンスＢＦ１、ＢＦ２、ただしＢＦ１≠ＢＦ２、の所定の適用の場合に、とりわけｕのサイズに基づいてＦＰ_ｕ（ＢＦ１）≠ＦＰ_ｕ（ＢＦ２）という結果を十分確実にもたらす確率と理解できる。この場合、原理により、関数Ｔａｇは（ｕ＋ｘ）長のビットシーケンスＢＦのｕ長さのビットシーケンスへのマッピングであるため、正確な値を示すことができず、それにより２つの異なるビットシーケンスＢＦ１、ＢＦ２では、それらのタグは、「できるだけ」異なり、すなわちＢＦ１≠ＢＦ２から「可能な限り」Ｔａｇ（ＢＦ１）≠Ｔａｇ（ＢＦ２）となる。

【0031】

ただし、実際には、Ｔａｇ（ＢＦ）は常にｕビット長であり、したがって「たいていの」ビットシーケンスより短いため、すべてのＢＦ１、ＢＦ２に対してこれを１００％保証する関数Ｔａｇはない。例えば、ｕ＝２を選択した場合、００、０１、１０、１１という４つの異なるタグのみがある。したがって、５つの任意の異なるビットシーケンスＢＦ１．．ＢＦ５の場合、１００％の確率で少なくとも１つの衝突、すなわち、５つのタグＴａｇ（ＢＦ１）．．．Ｔａｇ（ＢＦ５）のうちの少なくとも２つが重複する。更に、ｕ＝２の場合、ランダムに選択された２つのビットシーケンスＢＦ１、ＢＦ２の場合、すなわちＴａｇ（ＢＦ１）＝Ｔａｇ（ＢＦ２）では衝突の確率が少なくとも２５％である。したがって、関数Ｔａｇ_ｕの「質」（すなわち、（ＢＦ１≠ＢＦ２→Ｔａｇ（ＢＦ１）≠Ｔａｇ（ＢＦ２）の品質又は確率）は、最大でもｕのサイズと同程度である。

【0032】

その一方で、Ｔａｇ_ｕとして使用し、十分な大きさのｕを前提として、この望ましい特性（ＢＦ１≠ＢＦ２→Ｔａｇ（ＢＦ１）≠Ｔａｇ（ＢＦ２））を「ほぼ１００％」で保証する衝突耐性のある暗号ハッシュ関数がある。ただし、これらのハッシュ関数は、これを１００％保証することはできない、上記の考慮事項を参照。ただし、衝突耐性のある暗号ハッシュ関数をタグとして使用する場合（ＢＦ１≠ＢＦ２→Ｔａｇ（ＢＦ１）≠Ｔａｇ（ＢＦ２））となる確率が非常に高いと考えられているため、安全であると考えられている多くの暗号メカニズムのセキュリティはこれに基づいている。前述の確率の原理は、例えば法的にも耐えられるデジタル署名などにも基づく。

【0033】

例えば、ＳＨＡ－２５６がそうするように、ハッシュ関数が例えば２５６ビットの値（ハッシュタグ）を提供することもある。本発明による関数Ｔａｇは、ｕ＝２０の値を利用するものとする。その場合、ＳＨＡ－２５６によって提供されるハッシュタグの最初の２０ビットをタグとして使用できる。これにより、ＳＨＡ－２５６によって提供される「ほぼ１００％」の質が得られるが、ｕ＝２０の利用によりこれは大幅に低下する。その場合、ｕと関数Ｔａｇの有意義な選択は、それぞれの個別ケース若しくは使用ケースに依存する。例えば、ｕ＝１２８と、タグとして、ＳＨＡ－２５６によって提供される値の最初の１２８ビットとを選択した場合、現在の認識によれば、すべてのアプリケーションに対して「安全サイドにある」とみなされる。ただし、特定のアプリケーションについては、実際には例えばｕ＝８０ビットで絶対的に十分であり、したがって、ＢＦ１≠ＢＦ２の場合、この適用のために十分に高いＦＰ_ｕ（ＢＦ１）≠ＦＰ_ｕ（ＢＦ２）の確率が保証される場合も断じてあり得る。確率の値を数字にする必要がある場合、実際には、ほぼすべてのケースでｕ＞＝８０が選択され、それによって適切なタグを用いて（１－２^－２０）をはるかに超える確率が得られる。

【0034】

その場合、本発明による解決策のこの有利な実施形態では、関数ＦＰ_ｕに対して、一般的形式ＦＰ_ｕ（ＢＦ）ｂｚｗ．ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}：＝Ｓｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）を使用することが提案され、ここで
－Ｔａｇ_ｕは、任意の長さのビットシーケンスに対して、適用のために十分に高い確率で長さｕの一意の、例えば疑似ランダム値を計算する関数、例えば暗号ハッシュ関数であり、暗号ハッシュ関数のハッシュ値は、必要な場合に安全な方法で、すなわち、例えば過度に長いハッシュ値の場合、このハッシュ値の最後のｕビットがＴａｇ_ｕ（ＢＦ）として利用されるか、又はハッシュ値が過度に短い場合、これが例えば暗号キーストレッチング法を用いて長さｕへと引き伸ばされることにより長さｕに適合される。
ｏＴａｇ_ｕを適切に選択することで、弱－弱及び弱－強ＦＰ衝突耐性を達成できる他、後から更に説明されるように、非可逆性、強－弱ＦＰ衝突耐性、及び強－強ＦＰ衝突耐性も可能にすることができる。
－Ｓｃｒａｍｂｌｅ_ｕは、長さｕのビットシーケンスを長さｕのビットシーケンスにマッピングする可逆関数、例えば、等長暗号化（関連する復号化を逆転関数として伴う）であり、
ｏＳｃｒａｍｂｌｅ_ｕの適切な選択により、同時にＴａｇ_ｕ関数を適切に選択した場合、後から更に説明するように、攻撃者にのみ関連する非可逆性、強－弱ＦＰ衝突耐性、及び強－強ＦＰ衝突耐性の特性を達成できる。

【0035】

－＠は、同じ長さの２つのビットシーケンスのビットごとのＸＯＲ結合を示す。

【0036】

その場合、ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}ＦのＦＰ逆関数は、（ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}）^－１（ＢＦ）＝Ｓｃｒａｍｂｌｅ_ｕ ^－１（ＢＦ［１．．ｕ］＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）によって求められる。関数ＦＰ_ｕが上述の一般的形式を有する場合、この関数は、２つの関数Ｔａｇ_ｕとＳｃｒａｍｂｌｅ_ｕによって一意に決定される。

【0037】

したがって、このフィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ、Ｓｃｒａｍｂｌｅ＿ｕ}により、セキュリティをそれほど損なうことなく、新規の平文の対称暗号化において初期化ベクトルの使用を省略し、その際、平文を完全に暗号化することが可能になる。

【0038】

その場合、非常に有利な発展形態によれば、暗号ハッシュ関数が関数Ｔａｇ_ｕとして利用され、このハッシュ関数のハッシュ値が安全な方法で長さｕに適合されることを企図することができる。

【0039】

更に、本発明による方法の有利な発展形態では、関数Ｔａｇ_ｕが非可逆性の特性を有し、及び／又は少なくとも１つの種類で耐衝突性であることを企図することもできる。

【0040】

その場合、非可逆性は、攻撃者が、ＢＦ１＝ＦＰ_ｕ（ＢＦ２）｜｜ＢＦ１［ｕ＋１．．Ｌ（ＢＦ）］となるような、与えられたビットシーケンスＢＦ１に対するビットシーケンスＢＦ２を見つけることを事実上不可能にする。その場合、攻撃者とは、本明細書の意味において、「非攻撃者」とは対照的に、ＦＰ_ｕを定義若しくは決定するときに利用される（秘密の）鍵を知らない者と理解することができる。

【0041】

衝突耐性に関しては、４つの異なる種類が考えられ、これらはここではそれぞれ（ｒ１，ｒ２）∈｛ｓｔｒｏｎｇ，ｗｅａｋ｝×｛ｓｔｒｏｎｇ，ｗｅａｋ｝の形式の２つのタプルと呼ばれ、ここでは第１の要素ｒ１は本来のＦＰ衝突耐性を示し、第２の要素ｒ２の意味は、暗号ハッシュ関数から既知の衝突耐性項に基づいている。
－［弱－弱ＦＰ衝突耐性］与えられたビットシーケンスＢＦ１に対して、ＢＦ１［１．．ｕ］＝ＢＦ２［１．．ｕ］、ＢＦ１［ｕ＋１．．Ｌ（ＢＦ１）］≠ＢＦ２［ｕ＋１．．Ｌ（ＢＦ２）］及びＦＰ_ｕ（ＢＦ１）＝ＦＰ_ｕ（ＢＦ２）となるようなビットシーケンスＢＦ２を見つけることは事実上不可能である。
－［強－弱ＦＰ衝突耐性］攻撃者が与えられたビットシーケンスＢＦ１に対してＢＦ１≠ＢＦ２及びＦＰ_ｕ（ＢＦ１）＝ＦＰ_ｕ（ＢＦ２）となるようなビットシーケンスＢＦ２を見つけることは事実上不可能である。
－［弱－強ＦＰ衝突耐性］ＢＦ１［１．．ｕ］＝ＢＦ２［１．．ｕ］、ＢＦ１［ｕ＋１．．Ｌ（ＢＦ１）］≠ＢＦ２［ｕ＋１．．Ｌ（ＢＦ２）］及びＦＰ_ｕ（ＢＦ１）＝ＦＰ_ｕ（ＢＦ２）となるような２つのビットシーケンスＢＦ１及びＢＦ２を見つけることは事実上不可能である。

【0042】

－［強－強ＦＰ衝突耐性］攻撃者が、ＢＦ１≠ＢＦ２及びＦＰ_ｕ（ＢＦ１）＝ＦＰ_ｕ（ＢＦ２）となるような２つのビットシーケンスＢＦ１と及びＢＦ２を見つけることは事実上不可能である。

【0043】

その場合、非可逆性とすべての種類の衝突耐性は、十分な大きさのｕの場合にのみ達成できることは明らかである。

【0044】

この方法の非常に有利な発展形態は、鍵なし又は鍵依存の暗号ハッシュ関数ＨＡＳＨ_{（Ｋ＿Ｈ）}が関数Ｔａｇ_ｕとして利用されることを更に企図することができ、ここで、Ｋ＿ＨはＨＡＳＨが場合によっては依存し、かつ括弧により示される鍵を示し、ＨＡＳＨはＫ＿Ｈに依存し得るか、又は依存しない。

【0045】

更に、方法の非常に有利な実施形態は、恒等関数又は等長暗号化関数が関数Ｓｃｒａｍｂｌｅ_ｕとして利用されることも企図することができ、暗号化する場合、暗号化に適合する復号化関数が逆関数として利用される。これの有利な発展形態によれば、ブロックサイズＬ_Ｅ＝ｕを有するブロック暗号及びＬ_Ｅビット長の対称鍵Ｋ＿Ｓに対して、Ｋ＿Ｓを用いるＥ－Ｒａｗ暗号化、すなわちＥ^ＲＡＷ _Ｋ＿Ｓが、関数Ｓｃｒａｍｂｌｅ_ｕとして利用されることを更に企図することができる。

【0046】

有利な実施形態では、このようにして生成された平文ＣＢ_１の最初のｕビットの暗号化を、ブロック暗号Ｅにより残りの平文の一部又は全部を暗号化するための初期化ベクトルＩＶ：＝ＣＢ_１として使用することが更に提案され、そのために、任意の１つの初期化ベクトルを要求する動作モードを利用でき、その前に、場合によってはＣＢ_１の長さに依存して、かつ選択した動作モードに応じて、それぞれの動作モードにより要求される初期化ベクトルの長さへの安全な方法での初期化ベクトルＩＶの適合、例えばＬ（ＣＢ_１）＝Ｌ_Ｅでは、ＩＶをＣＴＲ動作モードのノンスとして使用する場合に短縮が行われる。

【0047】

本発明の別の有利な実施形態によれば、対称鍵Ｋを使用してブロックサイズＬ_Ｅのブロック暗号Ｅにより平文を暗号化する場合、上記の種類のＦＰ関数、すなわちＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}を利用すること、ここで一般的な場合、ｕ≠Ｌ_Ｅであり得、かつ初期化ベクトルを要求しない一般的な暗号ＥＧｅｎを使用することが提案され、その際、ＦＰ^{Ｔａｇ，＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}が平文（「平文ブロック」）及び残りの平文のすべてのビットＦＰＩｎｐｕｔの完全な最初のｕビットＰＢ^ｕ _１の連結に適用され、続いて暗号文の最初のブロックＣＢ_１が、ｕビット長の結果ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ）のＥＧｅｎ暗号化により計算され、すなわち、ＣＢ_１：＝ＥＧｅｎ（ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ））になる。

【0048】

この方法の１つの目標は、できるだけ短いメッセージを生成することであるため、等長暗号を一般暗号ＥＧｅｎとして選択することが提案され、それにより例えば、常にＬ（ＣＢ_１）＝ｕとなる。暗号文ＣＢ_１はＣＢ^ｕ _１で表される。

【0049】

その際、残りの平文を暗号化するための動作モードを選択する場合に、そのように計算された初期化ベクトルの実際の新規性がどの程度保証されるのかを推定することができる。例えばビットシーケンスＢＦに完全な非反復カウンタを取り込むことによって、初期化ベクトルの新規性が保証されている場合、新規の初期化ベクトルを必要とする各動作モードを安全に使用できる。これに対して、初期化ベクトルの新規性が平文自体の新規性に依存してのみ保証され、しかしこの新規性が平文の新規性が、例えば可能性が高いが、確実ではない場合、比較的高いリスクは、例えばＯＦＢ若しくはＣＴＲ、しかし更にＣＦＢの使用と関係があり、好ましくは、例えばＣＢＣを利用しなければならない。

【0050】

それによって、多くの場合、セキュリティを損なわないか、又はそれほど損なわずに、最初のブロックを暗号化する際に初期化ベクトルの使用を省略することができる。したがって、新規の平文に新規な暗号化された最初のブロックを残りのブロックの暗号化の初期化ベクトルとして使用することにより、残りのブロックの暗号化のために、ＣＢＣ、ＣＦＢ、ＯＦＢ、ＣＴＲなどの初期化ベクトルを必要とする動作モードを利用できる。

【0051】

その場合、本発明による方法の有利な発展形態によれば、初期化ベクトルＩＶの長さは、選択された動作モードに応じて、及び／又はＣＢ_１の長さに依存して適合される。

【0052】

請求項１２に記載の本発明による方法の代替的解決策は、対称鍵Ｋを使用したブロックサイズＬ_Ｅのブロック暗号Ｅによる、平文、殊に少なくとも（Ｕ＋１）ビット長の平文の暗号化を企図し、フィンガプリント関数（ＦＰ_ｕ）としてフィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＢＦ）：＝Ｓｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）が利用される。その場合、Ｔａｇ_ｕは、意図される適用のために十分に高い確率で長さｕの一意の値を計算する関数であり、ここで、Ｓｃｒａｍｂｌｅ_ｕは、長さｕのビットシーケンス（ＢＦ）を長さｕのビットシーケンス（ＢＦ）にマッピングする可逆関数であり、＠は、同じ長さの２つのビットシーケンスＢＦ）のビットごとのＸＯＲ結合を表す。新しいメッセージごとにフィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ、Ｓｃｒａｍｂｌｅ＿ｕ}のＴａｇ_ｕ関数に含まれるビットシーケンスの新規性を保証する場合、安全な鍵依存ハッシュ関数ＨＡＳＨ_Ｋ＿Ｈがフィンガプリント関数ＦＰ_ｕ ^Ｋ＿ＨのＴａｇ_ｕＫ＿Ｈ関数の基礎として使用され、ＥＧｅｎによる平文の最初のｕビットの追加の暗号化が省略され、代わりに最初のｕビットＣＢ^ｕ _１の暗号化としてＦＰ_ｕ ^Ｋ＿Ｈフィンガプリントが直接使用される。

【0053】

したがって、ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＢＦ）：＝Ｓｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）によって定義される、形式ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}のフィンガプリント関数が使用され、ここで、Ｔａｇ_ｕは安全な鍵依存のハッシュ関数ＨＡＳＨ_Ｋ＿Ｈによって実現され、このハッシュ関数の出力長はｕに適切に適合され、ここで、Ｓｃｒａｍｂｌｅ_ｕは、長さｕのビットシーケンス（ＢＦ）を長さｕのビットシーケンス（ＢＦ）にマッピングする可逆関数であり、ここで、＠は同じ長さの２つのビットシーケンス（ＢＦ）のビットごとのＸＯＲ結合を表し、ｕ及びＬ_Ｅは、必ずしも同じでなくてよく、その際、フィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}は、平文及び残りの平文の選択された又はすべてのビットＦＰＩｎｐｕｔの完全な最初のｕビットＰＢ^ｕ _１への連結に適用され、かつフィンガプリント関数ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}のＴａｇ_ｕ関数に含まれるビットシーケンスＦＰＩｎｐｕｔの新規性が、新しいメッセージごとに保証されている場合、最初のｕビットＣＢ^ｕ _１の暗号化として、ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}フィンガプリントが直接使用され、すなわちＣＢ_１：＝ＦＰ^{Ｔａｇ＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}（ＰＢ^ｕ _１｜｜ＦＰＩｎｐｕｔ）であり、そのように生成された平文，ＣＢ_１の最初のｕビットの暗号化が、ブロック暗号Ｅにより残りの平文又はすべての残りの平文の一部を暗号化するために初期化ベクトルＩＶ：＝ＣＢ_１として使用され、そのために、初期化ベクトル（ＩＶ）を要求する任意の動作モードが利用される。

【0054】

本発明による方法の他の有利な改良形態及び様々な実施形態は、請求項１及び１２に従属する更なる従属請求項から明らかになり、かつ図面を参照しながら以下で詳しく説明される例示的な実施形態から明確になる。

【図面の簡単な説明】

【0055】

【図1】フィンガプリント（ＦＰ）関数をその反転と共に示す概略図である。

【図2】独立したコンポーネントとしての２つの一般的なＦＰ関数を使用した暗号化及び復号化の動作原理を示す図である。

【図3】構成要素に分解されたＦＰ関数ＦＰ^{Ｔａｇ，＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}及び（ＦＰ^{Ｔａｇ，＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}）^－１を使用した暗号化及び復号化の動作原理を示す図である。

【図4】２つのＦＰ関数ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}（ｆｕｒｕ＝Ｌ_Ｅ）及びＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），Ｅ－Ｋ＿Ｓ}の動作原理を要約した形で示す図である。

【図5】独立したコンポーネントとしての２つのＦＰ関数を使用した暗号化及び復号化（ｕ＝Ｌ_ＥのときのＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}及びＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），Ｅ－Ｋ＿Ｓ}の場合）の動作原理を示す図である。

【図6】構成要素に分解されたＦＰ関数としての２つのＦＰ関数を使用した暗号化及び復号化（ｕ＝Ｌ_ＥのときのＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}及びＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），Ｅ－Ｋ＿Ｓ}の場合）の動作原理を示す図である。

【図7】代替的暗号化及び復号化方法の手順を示す図である。

【図8】代替的暗号化及び復号化方法の手順を示す図である。

【図9】本発明による方法の補足としての特許文献１の方法の概略図である。

【発明を実施するための形態】

【0056】

暗号化する方法の第１の関連する態様は、ビットシーケンスのｕビット長のフィンガプリント（ＦＰ_ｕ）を生成する方法である。その場合、この態様は、平文全体の新規性を平文の最初のｕビットでコーディングし、この事実を暗号化に利用できるようにするために用いられ、すなわち自然数ｕ＞０の場合に関数ＦＰ_ｕ（「フィンガプリント」）が求められ、この関数は、Ｌ（ＢＦ）＞ｕ（このドキュメントにおいてＬ（ＢＦ）はビットシーケンスＢＦのビット長を示す）の場合、長さｕのビットシーケンスＦＰ_ｕ（ＢＦ）を次のように決定し、すなわち
－ＢＦ１≠ＢＦ２から、非常に高い確率でＦＰ_ｕ（ＢＦ１）ＦＰ_ｕ（ＢＦ２）になり、
－ＦＰ_ｕに対してＦＰ逆関数ＦＰ_ｕ ^－１が存在し、それにより常にＦＰ_ｕ ^－１（ＦＰ_ｕ（ＢＦ）｜｜ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）＝ＢＦ［１．．ｕ］となり、
ここで、ビットシーケンスＢＦ及び自然数ｉ、ｊ、ただし１≦ｉ≦ｊ≦Ｌ（ＢＦ）の場合、ＢＦ［ｉ．．ｊ］はビットｉ～ｊからなるＢＦの部分シーケンスを示し、すなわち例えばＢＦ＝ＢＦ［１．．Ｌ（ＢＦ）］であり、｜｜は、２つのビットシーケンス又はバイトシーケンスの連結を示し、
－任意的に、非可逆性の条件が満たされ、すなわち、与えられたビットシーケンスＢＦ１に対して、攻撃者が、ＢＦ１＝ＦＰ_ｕ（ＢＦ２）｜｜ＢＦ１［ｕ＋１．．Ｌ（ＢＦ）］となるようなビットシーケンスＢＦ２を見つけることは事実上不可能である。
－任意的にＦＰ_ｕも衝突耐性がある。

【0057】

関数ＦＰ_ｕには、一般的形式ＦＰ_ｕ（ＢＦ）＝Ｓｃｒａｍｂｌｅ_ｕ（ＢＦ［１．．ｕ］）＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）を使用することが提案され、ここで
－Ｔａｇ_ｕは、任意の長さのビットシーケンスに対して高い確率で長さｕの一意の、例えば疑似ランダムの値、例えば暗号ハッシュ関数を計算し、この暗号ハッシュ関数のハッシュ値は、必要な場合に安全な方法で、すなわち、例えばハッシュ値が過度に長い場合、その最後のｕビットがＴａｇ_ｕ（ＢＦ）として利用されるか、又はハッシュ値が過度に短い場合、このハッシュ値は、例えば暗号キーストレッチング法を用いて長さｕに引き伸ばされることにより長さｕに適合される。
ｏＴａｇ_ｕの適切な選択によって、弱－弱、弱－強のＦＰ衝突耐性を達成でき、非可逆性、強－弱ＦＰ衝突耐性、及び強－強ＦＰ衝突耐性を可能にすることができる。
－Ｓｃｒａｍｂｌｅ_ｕは、長さｕのビットシーケンスを長さｕのビットシーケンスにマッピングする可逆関数、例えば、等長暗号化（関連する復号化を逆転関数として伴う）であり、
ｏＳｃｒａｍｂｌｅ_ｕの適切な選択によって、Ｔａｇ_ｕ関数を適切に選択した場合に、非可逆性、強－弱ＦＰ衝突耐性、及び強－強ＦＰ衝突耐性という攻撃者にのみ関連する特性を達成できる。
－＠は、同じ長さの２つのビットシーケンスのビットごとのＸＯＲ結合を示す。

【0058】

その場合、ＦＰ_ｕのＦＰ逆関数は、ＦＰ_ｕ ^－１（ＢＦ）＝Ｓｃｒａｍｂｌｅ_ｕ ^－１（ＢＦ［１．．ｕ］＠Ｔａｇ_ｕ（ＢＦ［ｕ＋１．．Ｌ（ＢＦ）］）によって与えられる。関数ＦＰ_ｕが上述の一般的形式を有する場合、この関数は、２つの関数Ｔａｇ_ｕとＳｃｒａｍｂｌｅ_ｕによって一意に決定される。これら２つの関数によって記述されるＦＰ関数は、ここではＦＰ^{Ｔａｇ＿ｕ、Ｓｃｒａｍｂｌｅ＿ｕ}で示される。これらは、図１のフローチャートに認識できる。

【0059】

一般的な暗号ＥＧｅｎ（Ｅｎｃｒｙｐｔｉｏｎ）、これに関連する復号化関数ＤＧｅｎ（Ｄｅｃｒｙｐｔｉｏｎ）、及びビットシーケンスＢＦの場合、ＥＧｅｎ（ＢＦ）はＥＧｅｎによりＢＦを暗号化した結果を示し、ＤＧｅｎ（ＢＦ）はＤＧｅｎによりＢＦを復号化することを示し、すなわち常に（ＥＧｅｎ（ＢＦ））＝ＢＦである。

【0060】

ブロック暗号Ｅ（Ｅｎｃｒｙｐｔｉｏｎ）、及びこれに関連する復号化関数Ｄ（Ｄｅｃｒｙｐｔｉｏｎ）と、初期化ベクトルを必要とする動作モードＯＭ（「ＯｐｅｒａｔｉｏｎＭｏｄｅ」）の場合、Ｅ^ＯＭ _Ｋ（ＩＶ、ＰＴ）は、初期化ベクトルＩＶを使用して動作モードＯＭで鍵Ｋを用いる、Ｅ^ＯＭに適合する長さの平文ＰＴ（「ｐｌａｉｎｔｅｘｔ」）のＥ暗号化の結果を示し、Ｄ^ＯＭ _Ｋ（ＩＶ，ＣＴ）は、初期化ベクトルＩＶを使用して動作モードＯＭで鍵Ｋを用いる、Ｅ^ＯＭに適合する長さの暗号文ＣＴのＤ復号化の結果を示す。

【0061】

提案される暗号化方法は、メッセージＭ_Ｐのいくつかの構成要素を入力として受け取り、その一部を鍵Ｋで暗号化する。暗号化方法の以下の説明は、その方法が使用するコンポーネントの説明、入力フォーマットの説明、及び平文メッセージＭ_Ｐの構成要素からなるコンポーネントを使用して完全に、又は部分的に暗号化されたメッセージＭ_Ｃを生成する本来の方法の説明からなる。

【0062】

暗号化システムのコンポーネントには次のものが含まれる。すなわち
－一般的な、等長で安全な暗号ＥＧｅｎ
－ブロックサイズＬ_Ｅのブロック暗号Ｅ
－Ｅ^ＯＭ、長さＬ_{ＯＭ－ＩＶ}の初期化ベクトルを必要とする動作モードＯＭで動作するブロック暗号Ｅ
－以下にＦＰと略されるフィンガプリント関数ＦＰ_ｕ、
－長さｕのビットシーケンスから疑似ランダムなＯＭ初期化ベクトルを安全な方法で、例えばビットシーケンスがまず対称的に暗号化され、続いて確立された方法でＬ_{ＯＭ－ＩＶ}への長さの適合が行われることにより生成する、任意的に動作モードＯＭに適合させた後処理関数ＯＭ－ＮＢ。

【0063】

入力フォーマット：
－長さＬ_Ｅの対称鍵Ｋ、
－暗号化される平文部分ＰＴと後続の関連部分ＡＤ（「ＡｓｓｏｃｉａｔｅｄＤａｔａ」）からなるメッセージＭ_Ｐ、すなわちＭ_Ｐ＝ＰＴ｜｜ＡＤであり、ここでＬ（ＰＴ）＞ｕであり、すなわちＰＴはｕより長い。関連部分ＡＤは暗号化されないが、ＯＭ初期化ベクトルの形成、したがってその新規性に寄与する。
平文部分ＰＴは３つの部分ＰＢ^ｕ _１、ＰＴ^ＯＭ _１、及びＰＴ^ＯＭ _２からなり、すなわちＰＴ＝ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２であり、ここでＰＢ^ｕ _１とＰＴ^ＯＭ _２はＯＭ初期化ベクトルの形成に寄与し、ＰＴ^ＯＭ _１はＯＭ初期化ベクトルの形成に寄与せず、ここで
・Ｌ（ＰＢ^ｕ _１）＝ｕ，ＰＢ^ｕ _１、すなわち正確にｕビット長であり、
・ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２はＥ^ＯＭに適合する長さを有するため、Ｅ^ＯＭのＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２は暗号化できる。
－ＯＭ初期化ベクトルの新規性の確率を高めるのに寄与することができ、かつ送信者と受信者に同様に知られており、それによってメッセージＭ_Ｐの一部ではない、例えば両方の側に知られたカウンタ又はそのようなカウンタのハッシュ値若しくは暗号化である２つの明示的に含まれていないビットシーケンス。
ｏフィンガプリント関数ＦＰの追加入力として用いられる任意の長さのビットシーケンスＩｍｐｌＡＤ（「ｉｍｐｌｉｃｉｔａｄｄｉｔｉｏｎａｌｄａｔａ」）。
・ＩｍｐｌＡＤの使用を省略する場合、空のビットシーケンスをＩｍｐｌＡＤとして選択できる。
ｏＦＰフィンガプリントＸＯＲ結合するために用いられる長さｕのビットシーケンスＩｍｐｌ_ｕ。
・Ｉｍｐｌ_ｕの使用を省略する場合、ｕ０ビットからなるビットシーケンスをＩｍｐｌ_ｕとして選択できる（０ビットはＸＯＲに関して中立の要素である）。

【0064】

鍵Ｋによる暗号化^ＥＦＰ、ＥＧｅｎ、ＯＭ、ＯＭ－ＮＢ、すなわちＥ^{ＦＰ、ＥＧｅｎ、ＯＭ、ＯＭ－ＮＢ} _Ｋ：
－入力：
１．ＰＢ^ｕ _１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤｍｉｔＭ_Ｐ＝ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ
２．ＩｍｐｌＡＤ，Ｉｍｐｌ_ｕ
－Ｍ_Ｃの暗号化された部分Ｍ_Ｃの決定：
１．ＦＰＢ：＝ＦＰ（ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）
２．ＣＢ^ｕ _１：＝ＥＧｅｎ（ＦＰＢ＠Ｉｍｐｌ_ｕ）
３．ＯＭ－ＩＶ：＝ＯＭ－ＮＢ（ＣＢ^ｕ _１）
４．ＣＴ^ＯＭ：＝Ｅ^ＯＭ _Ｋ（ＯＭ－ＩＶ，ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２）
－出力：
１．ＣＢ^ｕ _１，ＣＴ^ＯＭ，この場合、
Ｍ_Ｃ：＝ＣＢ^ｕ _１｜｜ＣＴ^ＯＭ｜｜ＡＤである
－要約するとＰＢ^ｕ _１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤからなる平文メッセージＭ_Ｐ＝ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤの暗号化Ｍ_Ｃを以下のように決定することが提案される。
Ｅ^{ＦＰ，ＥＧｅｎ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＰＢ^ｕ _１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤ，ＩｍｐｌＡＤ，Ｉｍｐｌ_ｕ）：＝
ＣＢ^ｕ _１｜｜Ｅ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ^ｕ _１），ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２）であり、
ここでＣＢ^ｕ _１：＝ＥＧｅｎ（ＦＰ（ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）＠Ｉｍｐｌ_ｕ）である。

【0065】

復号化システムのコンポーネントには次のものが含まれる。
－一般的に安全な等長暗号ＥＧｅｎに属する復号化関数ＤＧｅｎ
－ブロック暗号Ｅに属する復号化関数Ｄ
－Ｅ^ＯＭに属する復号化関数Ｄ^ＯＭ
－暗号化の場合のようにＦＰ，ＯＭ－ＮＢ，ＦＰ^－１ＦＰに対する逆関数

【0066】

入力フォーマット：
－暗号化の場合のように対称鍵Ｋ
－暗号文ＣＴ’と後続の暗号化されない関連部分ＡＤ’とからなるメッセージＭ_Ｃ’、すなわちＭ_Ｃ’＝ＣＴ’｜｜ＡＤ’，ここでＬ（ＣＴ’）＞ｕ。
ｏ暗号文部分ＣＴ’もまた２つの部分、すなわち暗号化された最初のブロックＣＢ^ｕ _１’と後続の暗号文ＣＴ^ＯＭ’、すなわちＣＴ’＝ＣＢ^ｕ _１’｜｜ＣＴ^ＯＭ’及びＭ_Ｃ’＝ＣＢ^ｕ _１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’，とからなり、ここで
・Ｌ（ＣＢ^ｕ _１’）＝ｕ，ＣＢ^ｕ _１’、すなわち正確にｕビット長であり
・ＣＴ^ＯＭ’はＤ^ＯＭに適合する長さを有し、それによりＣＴ^ＯＭ’をＤ^ＯＭにより復号化することができる。
－暗号化の場合にようにＩｍｐｌＡＤ’，Ｉｍｐｌ_ｕ’

【0067】

鍵Ｋによる復号化Ｄ^{ＦＰ，ＤＧｅｎ，ＯＭ，ＯＭ－ＮＢ}，すなわちＤ^{ＦＰ，ＤＧｅｎ，ＯＭ，ＯＭ－ＮＢ} _Ｋ：
－入力：
１．ＣＢ^ｕ _１’，ＣＴ^ＯＭ’，ＡＤ’、ここで
Ｍ_Ｃ’＝ＣＢ^ｕ _１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’
２．Ｌ_ＰＴ１，平文部分ＰＴ^ＯＭ _１の長さ
３．ＩｍｐｌＡＤ’，Ｉｍｐｌ_ｕ’
－Ｍ_Ｐ’の復号化された部分の決定：
１．ＯＭ－ＩＶ’：＝ＯＭ－ＮＢ（ＣＢ^ｕ _１’）
２．ＰＴ^ＯＭ’：＝Ｄ^ＯＭ _Ｋ（ＯＭ－ＩＶ’，ＣＴ^ＯＭ’）
３．ＰＴ^ＯＭ _１’：＝ＰＴ^ＯＭ’［１．．Ｌ_ＰＴ１］及び
ＰＴ^ＯＭ _２’：＝ＰＴ^ＯＭ’［Ｌ_ＰＴ１＋１．．Ｌ（ＰＴ^ＯＭ’）］
４．ＰＢ^ｕ _１’：＝ＦＰ^－１（（ＤＧｅｎ（ＣＢ^ｕ _１’）＠Ｉｍｐｌ_ｕ’）｜｜ＰＴ^ＯＭ _２’｜｜ＡＤ｜｜ＩｍｐｌＡＤ’）
－出力：
１．ＰＢ^ｕ _１’，ＰＴ^ＯＭ’，この場合
Ｍ_Ｐ’：＝ＰＢ^ｕ _１’｜｜ＰＴ^ＯＭ’｜｜ＡＤ’

【0068】

要約すると、ＣＢ^ｕ _１’，ＣＴ^ＯＭ’，ＡＤ’からなる暗号文メッセージ
Ｍ_Ｃ’＝ＣＢ^ｕ _１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’の復号化Ｍ_Ｐ’を次のように定義することが提案される。
Ｄ^{ＦＰ，ＤＧｅｎ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＣＢ^ｕ _１’，ＣＴ^ＯＭ’，ＡＤ’，Ｌ_ＰＴ１，ＩｍｐｌＡＤ’，Ｉｍｐｌ_ｕ’）：＝
ＦＰ^－１（（ＤＧｅｎ（ＣＢ^ｕ _１’）＠Ｉｍｐｌ_ｕ’）｜｜ＰＴ^ＯＭ’［Ｌ_ＰＴ１＋１．．Ｌ（ＰＴ^ＯＭ’）］｜｜
ＡＤ｜｜ＩｍｐｌＡＤ’）｜｜ＰＴ^ＯＭ’であり、
ここでＰＴ^ＯＭ’：＝Ｄ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ^ｕ _１’），ＣＴ^ＯＭ’）である。

【0069】

２つの図２及び図３は、一方は独立したコンポーネントとして２つの一般的なＦＰ関数を使用し、もう一方は構成要素に分解されたＦＰ関数ＦＰ^{Ｔａｇ，＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}及び（ＦＰ^{Ｔａｇ，＿ｕ，Ｓｃｒａｍｂｌｅ＿ｕ}）^－１を用いた暗号化及び復号化の動作原理を示す。

【0070】

その場合、ＦＰ部分関数Ｔａｇ_ｕには、例えばＳＨＡ－２５６やＳＨＡ－５１２などの鍵なしの、或いは例えばＨＭＡＣ、ＣＢＣ－ＭＡＣ、又はＣＭＡＣなどの鍵依存の暗号ハッシュ関数を基礎として使用することができる。鍵のない暗号ハッシュ関数の使用には、鍵を知っているかどうかに関係なく、暗号ハッシュ関数の一方向性と、場合によっては弱若しくは強衝突耐性が適用されるという利点があるが、鍵依存の暗号ハッシュ関数の場合、使用される鍵が知られている場合には、これらの特性がいつも与えられるとは限らない。鍵依存の暗号ハッシュ関数の使用には、潜在的な攻撃者が鍵を知ることなしにはこの攻撃者が知るビットシーケンスからハッシュ値を計算できないという利点がある。ＨＭＡＣ又は鍵導出関数（ＫＤＦ）は、２つの手法の組み合わせ、したがって２つのクラスのハッシュ関数の利点を兼ね備える。本明細書では、鍵レス暗号ハッシュ関数をＨＡＳＨで示し、鍵Ｋ＿Ｈを使用する鍵依存暗号ハッシュ関数をＨＡＳＨ_Ｋ＿Ｈで示し、鍵なし暗号ハッシュ関数又は鍵Ｋ＿Ｈを使用する鍵依存暗号ハッシュ関数のどちらかをＨＡＳＨ_{（Ｋ＿Ｈ）}で示す。Ｔａｇ_ｕ ^Ｋ＿Ｈという名称は、Ｔａｇ_ｕが鍵Ｋ＿Ｈに依存するハッシュ関数ＨＡＳＨ_Ｋ＿Ｈを基礎として使用する場合に利用され、ＦＰ_ｕ ^Ｋ＿Ｈは、これに関連するＴａｇ_ｕ関数が鍵Ｋ＿Ｈに依存するハッシュ関数ＨＡＳＨ_Ｋ＿Ｈを基礎として使用することを示す。ＦＰ_ｕがＴａｇ_ｕの基礎として、弱（強）ハッシュ衝突耐性の条件を満たす暗号ハッシュ関数を使用する場合、ＦＰ_ｕは弱－弱（弱－強）ＦＰ衝突耐性の特性を有する。更に、Ｔａｇ_ｕの基礎として暗号ハッシュ関数を使用することによって、非可逆性、ＦＰ_ｕの強－弱若しくは強－強のＦＰ衝突耐性の前提条件が形成される。

【0071】

ＨＡＳＨ_{（Ｋ＿Ｈ）}がｕとは異なる長さのハッシュ値を生成する場合は、長さ適合関数ＬＡ_ｕを用いてＨＡＳＨ_（Ｋ＿Ｈ）によって生成されたハッシュ値をｕに適合させ、その結果得られる合成ＬＡ_ｕ○ＨＡＳＨ_{（Ｋ＿Ｈ）}をＴａｇ_ｕとして使用することが提案され、ここで、ＬＡ_ｕは、暗号学で知られている方法を用いて、例えば、出力ビットシーケンスＰＺＢＦが過度に長い場合、ＰＺＢＦの最後のｕビットがＬＡ_ｕ（ＰＺＢＦ）として利用されるか、又はビットシーケンスＰＺＢＦが過度に短い場合、これが例えばキーストレッチング法を用いて長さｕに引き伸ばされることにより任意の長さの擬似ランダムビットシーケンスＰＺＢＦから長さｕの擬似ランダムビットシーケンスを生成する関数である。

【0072】

更に、関数Ｓｃｒａｍｂｌｅ_ｕの場合、ビットシーケンスをそのまま変えない恒等関数ＩＤを使用することも提案され、これは、Ｓｃｒａｍｂｌｅ_ｕ関数の省略と同等である。恒等関数の逆関数は恒等関数ＩＤ自体である。この特に単純なＳｃｒａｍｂｌｅ_ｕの変形形態もまた、例えばＦＰ_ｕ関数の非可逆性及び強－弱若しくは強－弱のＦＰ衝突耐性が要求されない場合に有利に利用できる単純なＦＰ_ｕ関数をもたらす。

【0073】

鍵なし又は鍵依存の暗号ハッシュ関数ＨＡＳＨ_{（Ｋ＿Ｈ）}の場合、ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}は、ＨＡＳＨ_{（Ｋ＿Ｈ）}をＴａｇ_ｕ関数として、恒等関数ＩＤをＳｃｒａｍｂｌｅ_ｕ関数として利用するＦＰ_ｕ関数を示し、対応する長さ適合関数ＬＡ_ｕの適用が考えられる。したがって、ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ）、ＩＤ}は、最初の平文ブロックの外側にある平文のビットのＨＡＳＨ_{（Ｋ＿Ｈ）}ハッシュ値を形成し、これを、ＬＡ_ｕによる長さ適合後、＠を使用して平文ブロックの変更されていない最初のｕビットに追加する。ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ）、ＩＤ}は、ＨＡＳＨ_{（Ｋ＿Ｈ）}自体に弱若しくは強衝突耐性がある場合、弱－弱若しくは弱－強のＦＰ衝突耐性をもつ。

【0074】

ただし、ＦＰ_ｕ関数の非可逆性、及び／又はその強－弱及び／又は強－強のＦＰ衝突耐性が有利であるコンステレーションがある可能性がある。例えば、このような場合、関数Ｓｃｒａｍｂｌｅ_ｕに等長暗号化を使用することが提案される。Ｓｃｒａｍｂｌｅ_ｕの結果は公開されず、更にＥＧｅｎにより暗号化されるため、この暗号化は必ずしも強である必要はないが、対応するＦＰ_ｕ関数の、攻撃者に関連する特性の強度は、使用されるＳｃｒａｍｂｌｅ_ｕの暗号化の強度に直接依存することに注意しなければならない。

【0075】

ブロック暗号Ｅについてｕ＝Ｌ_Ｅの場合、Ｅ^ＲＡＷ暗号化は、攻撃者が計算できない、若しくは元に戻すことができない、初期化ベクトルを必要としない等長暗号化として有利に使用できる。ｕが対称暗号Ｅのブロックサイズに等しい場合、すなわちｕ＝Ｌ_Ｅの場合、Ｅ－Ｒａｗ暗号化を、Ｓｃｒａｍｂｌｅ_ｕ関数として、すなわち、対称鍵Ｋ＿ＳにＳｃｒａｍｂｌｅ_ｕ：＝Ｅ^ＲＡＷ _Ｋ＿Ｓを使用することが提案される。Ｅ^ＲＡＷ _Ｋ＿Ｓの逆関数は、これに関連する復号化関数Ｄ^ＲＡＷ _Ｋ＿Ｓである。Ｅ－Ｒａｗ暗号化をＳｃｒａｍｂｌｅ_ｕとして使用し、同時に暗号ハッシュ関数ＨＡＳＨ_{（Ｋ＿Ｈ）}をＴａｇ_ｕとして使用することによって、ＦＰ_ｕ関数の非可逆性、強－弱ＦＰ衝突耐性若しくは強－強ＦＰ衝突耐性という攻撃者のみに関連する特性も達成される。

【0076】

鍵なし又は鍵依存の暗号ハッシュ関数ＨＡＳＨ_{（Ｋ＿Ｈ）}と、一致する対称鍵Ｋ＿Ｓを有するブロック暗号Ｅについては、ＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ）Ｅ－Ｋ＿Ｓ}は、ＨＡＳＨ_{（Ｋ＿Ｈ）}をＴａｇ_ｕ関数として、及びＥ^ＲＡＷ _Ｋ＿ＳをＳｃｒａｍｂｌｅ_ｕ関数として利用するＦＰ_ｕ関数を示し、ここでｕ＝Ｌ_Ｅであり、対応する長さ適合関数ＬＡ_Ｌ＿Ｅの適用が考えられる。すなわち、ＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ）、Ｅ－Ｋ＿Ｓ}は、最初の平文ブロックの外側にある平文のビットのＨＡＳＨ_{（Ｋ＿Ｈ）}ハッシュ値を形成し、これを、ＬＡ_Ｌ＿Ｅによる長さ適合後、＠により最初の平文ブロックのＥ－Ｒａｗ暗号化に追加する。ＨＡＳＨ_{（Ｋ＿Ｈ）}が弱若しくは強突耐性をもつ場合、ＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ）、Ｅ－Ｋ＿Ｓ}は非可逆性の特性をもち、かつ強－弱若しくは強－強ＦＰ衝突耐性をもつ。

【0077】

図４は、２つのＦＰ関数ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}（ｕ＝Ｌ_Ｅの場合）及びＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），Ｅ－Ｋ＿Ｓ}の動作原理をまとめた形で示し、ここで、ＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），（Ｅ－Ｋ＿Ｓ）}はこれらのＦＰ関数の両方を表し、（Ｅ^ＲＡＷ _Ｋ＿Ｓ）は恒等関数ＩＤ又はＥ－Ｒａｗ暗号化Ｅ^ＲＡＷ _Ｋ＿Ｓを示し、（Ｄ^ＲＡＷ _Ｋ＿Ｓ）は恒等関数ＩＤ又はＥ－Ｒａｗ復号化Ｄ^ＲＡＷ _Ｋ＿Ｓを示す。

【0078】

その場合、上述した暗号化方法、例えばＥ^{ＦＰ，ＥＧｅｎ，ＯＭ，ＯＭ－ＮＢ} _ＫではＦＰ関数として、ＦＰ_ｕ ^{ＨＡＳＨ（Ｋ＿Ｈ），ＩＤ}又はＦＰ^{ＨＡＳＨ（Ｋ＿Ｈ），Ｅ－Ｋ＿Ｓ}を使用することができる。

【0079】

両方の図５及び図６は、一方は独立したコンポーネントとして２つのＦＰ関数を使用し、もう一方はその構成要素に分解されたＦＰ関数を用いる暗号化と復号化（ｕ＝Ｌ_Ｅの場合）の動作原理を示す。

【0080】

上述した本発明による暗号化方法、例えばＥ^{ＦＰ，ＥＧｅｎ，ＯＭ，ＯＭ－ＮＢ}の別の有利な実施形態は、一般的な暗号ＥＧｅｎとして、対称のＬ_Ｅビット長の鍵Ｋ、すなわちＥ^ＲＡＷ _Ｋを使用して、ブロックサイズＬ_Ｅ＝ｕのブロック暗号ＥのＥ－Ｒａｗ暗号化を使用することである。

【0081】

ＥＧｅｎとしてＥ^ＲＡＷ _Ｋを使用すると、ＰＢ_１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤからなる平文メッセージＭ_Ｐ＝ＰＢ_１｜｜ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ、ただしＬ（ＰＢ_１）＝Ｌ_Ｅの暗号化Ｍ_Ｃはメッセージに属さない２つの明示的に含まれていないビットシーケンスＩｍｐｌＡＤ及びＩｍｐｌ_ｕに依存して次のように定義でき、
Ｅ^{ＦＰ，Ｅ－Ｒａｗ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＰＢ_１，ＰＴ^ＯＭ _１，ＰＴ^ＯＭ _２，ＡＤ，ＩｍｐｌＡＤ，Ｉｍｐｌ_ｕ）：＝
ＣＢ_１｜｜Ｅ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ_１），ＰＴ^ＯＭ _１｜｜ＰＴ^ＯＭ _２）であり、
ここでＣＢ_１：＝Ｅ^ＲＡＷ _Ｋ（ＦＰ_ｕ（ＰＢ_１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）＠Ｉｍｐｌ_ｕ）であり、ＣＢ_１’，ＣＴ^ＯＭ’，ＡＤ’からなる、Ｌ（ＣＢ_１’）＝Ｌ_Ｅである暗号文メッセージＭ_Ｃ’＝ＣＢ_１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’の復号化Ｍ_Ｐ’がＬ_ＰＴ１と、メッセージに属さない２つの明示的に含まれていないビットシーケンスＩｍｐｌＡＤ’及びＩｍｐｌ_ｕ’とに依存して次のように定義される。
Ｄ^{ＦＰ，Ｄ－Ｒａｗ，ＯＭ，ＯＭ－ＮＢ} _Ｋ（ＣＢ_１’，ＣＴ^ＯＭ’，ＡＤ’，Ｌ_ＰＴ１，ＩｍｐｌＡＤ’，Ｉｍｐｌ_ｕ’）：＝ＦＰ_ｕ ^－１（（Ｄ^ＲＡＷ _Ｋ（ＣＢ_１’）＠Ｉｍｐｌ_ｕ’）｜｜ＰＴ^ＯＭ’［Ｌ_ＰＴ１＋１．．Ｌ（ＰＴ^ＯＭ’）］｜｜ＡＤ｜｜ＩｍｐｌＡＤ’）｜｜
ＰＴ^ＯＭ’
ここで、ＰＴ^ＯＭ’：＝Ｄ^ＯＭ _Ｋ（ＯＭ－ＮＢ（ＣＢ^ｕ _１’），ＣＴ^ＯＭ’）である。

【0082】

任意の十分な大きさのｕの場合に、安全な鍵依存ハッシュ関数ＨＡＳＨ_Ｋ＿Ｈ、例えば鍵Ｋ＿Ｈを使用する安全な鍵導出関数が、ＦＰ関数ＦＰ_ｕ ^Ｋ＿ＨのＴａｇ_ｕ ^Ｋ＿Ｈ関数の基礎として使用される場合、攻撃者は、鍵Ｋ＿Ｈを知ることなしには、指定されたビットシーケンスＢＦに対して値Ｔａｇ_ｕ ^Ｋ＿Ｈ（ＢＦ）を決定することができない。更に、値Ｔａｇ_ｕ ^Ｋ＿Ｈ（ＢＦ）の計算に含まれるビットシーケンスＢＦが新しいメッセージごとに新規であることが保証される場合、Ｔａｇ_ｕ ^Ｋ＿Ｈを用いて計算された値Ｔａｇ_ｕ ^Ｋ＿Ｈ（ＢＦ）も新しいメッセージごとに新規である。これら２つの条件が満たされる場合、平文の最初のｕビットへの_ｕ関数の適用のｕビット長の結果を同様にｕビット長の（新規かつ秘密の）値Ｔａｇ_ｕ ^Ｋ＿Ｈ（ＢＦ）にＸＯＲ結合することによって求められるｕビット長のフィンガプリントを、ｕビット長さの新規の鍵Ｔａｇ_ｕ ^Ｋ＿Ｈ（ＢＦ）を用いた平文の最初のｕビットの暗号化とみなすことができる。

【0083】

したがって、フィンガプリント関数ＦＰ_ｕのＴａｇ_ｕ関数に含まれるビットシーケンスの新規性が保証される場合、新しいメッセージごとに安全な鍵依存ハッシュ関数ＨＡＳＨ_Ｋ＿ＨをＦＰ関数ＦＰ_ｕ ^Ｋ＿ＨのＴａｇ_ｕ ^Ｋ＿Ｈ関数の基礎として使用すること、ＥＧｅｎによる平文の最初のｕビットの追加の暗号化を省略すること、その代わりに、最初のｕビットＣＢ^ｕ _１の暗号化としてＦＰ_ｕ ^Ｋ＿Ｈフィンガプリントを直接使用すること、すなわち、例えば上述の暗号化方法Ｅ^{ＦＰ，ＥＧｅｎ，ＯＭ，ＯＭ－ＮＢ}の場合、ＣＢ^ｕ _１として、値ＦＰ_ｕ ^Ｋ＿Ｈ（ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）、すなわち、ＣＢ^ｕ _１：＝ＦＰ_ｕ ^Ｋ＿Ｈ（ＰＢ^ｕ _１｜｜ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）を使用することが提案される。このようにＥ^{ＦＰ，ＥＧｅｎ，ＯＭ，ＯＭ－ＮＢ}から導出される暗号化方法は、Ｅ^{ＦＰ－Ｋ＿Ｈ，ＯＭ，ＯＭ－ＮＢ}で示される。次の２つの図７及び図８は、そのような方法の手順を示す。その場合、ＣＢ^ｕ _１新規性は（ＰＴ^ＯＭ _２｜｜ＡＤ｜｜ＩｍｐｌＡＤ）の新規性によって既に保証されているため、暗黙の値Ｉｍｐｌ_ｕ使用は省略できる。最初のｕビットの暗号化のためにＥ^{ＦＰ－Ｋ＿Ｈ，ＯＭ，ＯＭ－ＮＢ}を適用する場合、鍵Ｋ＿Ｈのみが使用され、その場合、特に鍵Ｋは使用されないことに注意しなければならない。更に、この方法はＦＰ_ｕ ^Ｋ＿ＨのＳｃｒａｍｂｌｅ_ｕに対して特別な要件を課さないことにも注意しなければならない。

【0084】

提案される方法は、受信メッセージの特定の弱い完全性検査を可能にする。その理由は、暗号ハッシュ関数ＨＡＳＨ_{（Ｋ＿Ｈ）}を用いて生成されたハッシュ値が、最初の平文ブロックＰＢ_１の暗号化に含まれており、復号化の際にここから再び「引かれ」るためである。したがって、暗号化されたメッセージＭ_Ｃ’、すなわち暗号文ＣＴ’又は追加データＡＤ’の各変更は、特にこの変更が行われたブロックに関係なく、元の平文ブロックＰＢ_１からの復号化時に取得された最初の平文ブロックＰＢ_１’との差違をもたらす（このことは、メッセージの他の部分、特に暗号文ＣＴ’の他のブロックには通常該当しない）。したがって、最初の平文ブロックＰＢ_１が可能な限り予測可能な、すなわちエントロピがほとんど含まれない、特に強い一貫性ルールに従う、すなわち最大限可能な冗長性を有する情報を含むように平文ＰＴのフォーマットを形成し、それにより一貫性検査によって、例えばその受信者が最初の平文ブロックの変更を高い確率で、例えばそれを解析して認識できる見込みが高くなるようにすることが提案される。受信者が復号化後に一貫性ルールの１つが違反されていることを確認した場合、それにより受信者は、メッセージＭ_Ｃが操作されたことを認識し、場合によっては例外処理を開始できる。このような冗長性を含む情報の例としては、受信者ＩＤ、送信者ＩＤ、利用されるプロトコルバージョンなどであり得る。

【0085】

例えばＣＢＣなどのいくつかの動作モードでは、完全な平文ブロックのみを暗号化できる。最後の平文ブロックが不完全な場合は、パディング法を使用してそれを埋める。パディングが使用され、かつ短いデータグラムのようなメッセージではよくあるが、平文が送信者と受信者に知られた固定長である場合、この場合どの平文でも同じ数Ｌ_ｐａｄの使用されないパディングビットを最初の平文ブロックＰＢ_１の固定位置、例えばその末尾に挿入すること、及びそれに対応して平文の残部をＬ_ｐａｄビットの分だけ平文の末尾へシフトさせることが提案される。このようにして、最後の平文ブロックが完了し、パディングの必要がなくなるが、暗号化された平文ＣＴの長さがそれによって変化することはない。更に、このようにして第１の平文ブロックＰＢ_１に追加されたビットをメッセージの認証を強化することが提案され、その際、これらのＬ_ｐａｄビットが受信者によって検査可能な値ＰＡＤで、例えば固定値、例えば０ビットのシーケンスで、或いは、平文メッセージから導出可能な値、例えば当初の完全な平文メッセージ、すなわちＰＡＤビットが挿入されない完全な平文メッセージのＨＡＳＨ_Ｋ＿Ｈを用いて形成されたハッシュ値の最後のＬ_ｐａｄビットで占められる。その場合、復号化後、復号化されたメッセージ内の既知の位置にあるビットシーケンスのＰＡＤ値が、受信者に知られているか、又はＰＡＤ’ビットが暗号化された後に復号化されたメッセージから導出される予想ＰＡＤ値に相当するかどうかを確認することができる。それに当たらない場合、メッセージが操作されていると考えることができる。

【0086】

提案される暗号化法の欠点は、最初の平文ブロックが一方では復号化プロセスの最後に初めて復号化され、したがって最初の平文ブロックに含まれる情報も全部の復号化プロセスが終わって初めて使用できるということである。その一方で、このブロックがなければ暗号文の残部の復号化ができないため、このブロックが最初に転送される必要がある。したがって、最初に転送される平文ブロックＰＢ_１に含まれる情報は、復号化プロセスの完了後に初めて使用することができ、これは、欠点であるかもしれないが、意図された短メッセージであるためそれほど重要ではない。この欠点を更に軽減するためには、最初のブロックは、可能な限り、復号化プロセス中に必要とされない情報を含まなければならない。したがって、最初の平文ブロックに属する情報の選択は、「最小エントロピ」の要求と「緊急でない使用」の要求という、場合によっては互いに緊張関係にある２つの要求によって決定される。

【0087】

既に何度か示唆したように、場合によっては新規ではない初期化ベクトルを使用する場合、ＣＢＣ動作モードは多くの状況で、例えば等長ＣＦＢ、ＯＦＢ、及びＣＴＲ動作モードより安全である。なぜなら、ＣＢＣ動作モードで繰り返し使用される初期化ベクトルは、通常、暗号文の公開につながらないが、例えばＣＴＲでは一般的なしばしば起こるコンステレーションはこれに当てはまるからである。したがって提案される方法について、この方法が初期化ベクトルの新規性についての確率を高めることができるが、この確率は、一般的な場合、ブロック暗号Ｅの動作モードＯＭとしてＣＢＣを使用することを保証しないものと考えられる。従来のＣＢＣ動作モードの大きな欠点は、この動作モードがブロック全体しか暗号化できないということであり、これにより、不完全なブロックはパディングで完全にされる必要があり、このことが生成される暗号文の長さ、ひいては転送されるメッセージの長さに不都合に作用する。

【0088】

しかしながら、ＣＢＣ動作モードは、ＣＴＳモード（「ＣｉｐｈｅｒｔｅｘｔＳｔｅａｌｉｎｇ」）と既知の方法で組み合わせることができ、それにより、ＣＢＣ動作モードを使用する場合でも、平文長と等しい暗号文長が達成される。ＣＴＳモードは、使用されるブロック暗号Ｅのブロックサイズより長い、すなわちＬ_Ｅより長い平文にのみ適用できる。暗号化される平文ＰＴの長さがＬ_Ｅより大きい場合、上述の暗号化法をＣＢＣ－ＣＴＳモードと組み合わせることができる。ＣＢＣを使用することによって、上述の方法は、場合によっては新規でない初期化ベクトルに対してロバストになり、ＣＴＳを使用することによって、暗号文の長さが平文の長さを超えなくなる。したがって、上述の方法で、ＣＢＣ－ＣＴＳ動作モードを動作モードＯＭとして利用することが提案される。

【0089】

状況によっては、例えば、攻撃者が傍受したメッセージを解析するのを困難にするために、転送される初期化ベクトルを暗号化することが有意義である。メッセージＭ_Ｃを送信する前に、最初のブロックＣＢ_１をもう一度暗号化すること、すなわち、例えばメッセージＭ_Ｃ＝ＣＢ_１｜｜ＣＴ^ＯＭ｜｜ＡＤの代わりに、メッセージＭ_ＣＣ＝ＣＣＢ_１｜｜ＣＴ^ＯＭ｜｜ＡＤを送信することが提案され、ここで、ＣＣＢ_１：＝Ｅ^ＲＡＷ _Ｋ＿ＩＶ（ＣＢ_１）は、送信者と受信者に同様に知られているビット長Ｌ_Ｅの秘密対称鍵Ｋ＿ＩＶを表す。メッセージＭ_ＣＣ’＝ＣＣＢ_１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’を受信した後、第１のステップにおいて、最初のブロックＣＣＢ_１’がＫ＿ＩＶ、すなわちＣＢ_１’：＝Ｄ^ＲＡＷ _Ｋ＿ＩＶ（ＣＣＢ_１’）で復号化され、続いて、メッセージＭ_Ｃ’：＝ＣＢ_１’｜｜ＣＴ^ＯＭ’｜｜ＡＤ’が上記の方法で復号化される。

【0090】

特許文献１において、抜け落ちて再び取り戻された短メッセージを認識し、リプレイ攻撃から保護するためのカウンタベースの方法が提案される。その場合、特に、送信者（Ｓ）と受信者（Ｅ）により、各新しいメッセージＭを送信若しくは受信する場合に１ずつインクリメントされる固定ビット長の同期カウンタＳ．ＴｏｔＣｏｕｎｔｅｒ若しくはＥ．ＴｏｔＣｏｕｎｔｅｒを用いること、及びこのカウンタを固定長の２つの部分、本体カウンタＴｒｕｎｋＣｏｕｎｔｅｒと後続の転送カウンタＴｒａｎｓＣｏｕｎｔｅｒとに分割することが提案され、それによりＳ．ＴｏｔＣｏｕｎｔｅｒ＝Ｓ．ＴｒｕｎｋＣｏｕｎｔｅｒ｜｜Ｓ．ＴｒａｎｓＣｏｕｎｔｅｒ及びＥ．ＴｏｔＣｏｕｎｔｅｒ＝Ｅ．ＴｒｕｎｋＣｏｕｎｔｅｒ｜｜Ｅ．ＴｒａｎｓＣｏｕｎｔｅｒとなり、ここでＴｒａｎｓＣｏｕｎｔｅｒのビット長はＴｒａｎｓＣｏｕｎｔｅｒで示される。更に、その中で、ＴｒａｎｓＣｏｕｎｔｅｒ部分のみを各メッセージＭと共にＭ．ＴｒａｎｓＣｏｕｎｔｅｒとして転送すること、及び受信者の側で特許文献１に記載される方法に従いＥ．ＴｒｕｎｋＣｏｕｎｔｅｒ及びＭ’．ＴｒａｎｓＣｏｕｎｔｅｒからトータルカウンタＥ．ＴｏｔＣｏｕｎｔｅｒを再構築することが提案される。（図９を参照）

【0091】

次に、Ｍ．ＴｒａｎｓＣｏｕｎｔｅｒを含むメッセージＭの特定の部分を暗号化する場合、メッセージごとに新規の初期化ベクトルを取得しながらメッセージにおけるスペースを節約するために、トータルカウンタＳ．ＴｏｔＣｏｕｎｔｅｒを使用して初期化ベクトルを形成するべく、例えばＳ．ＴｏｔＣｏｕｎｔｅｒから疑似ランダムな初期化ベクトルを、例えば１ブロックサイズ長さの値Ｓ．ＩＶ：＝ＬＡ（ＨＡＳＨ_{（Ｋ＿Ｈ）}（Ｓ．ＴｏｔＣｏｕｎｔｅｒ））が送信者により暗号化のための初期化ベクトルとして使用されることによって安全な方法で導出することが考えられる。送信者がＳ．ＴｒａｎｓＣｏｕｎｔｅｒをメッセージＭの一部として、すなわちＭ．ＴｒａｎｓＣｏｕｎｔｅｒとして共に送信した場合、受信者はメッセージを受信した後、Ｓ．ＴｒｕｎｋＣｏｕｎｔｅｒ＝Ｅ．ＴｒｕｎｋＣｏｕｎｔｅｒが両方の側で暗黙的に存在するため、暗号化に使用された初期化ベクトルをＥ．ＩＶ：＝ＬＡ（ＨＡＳＨ_{（Ｋ＿Ｈ）}（Ｅ．ＴｒｕｎｋＣｏｕｎｔｅｒ｜｜Ｍ’．ＴｒａｎｓＣｏｕｎｔｅｒ））として再構築できる。ただし、この手順はＭ．ＴｒａｎｓＣｏｕｎｔｅｒが平文で転送される場合にしか機能しない。これに対して、Ｍ．ＴｒａｎｓＣｏｕｎｔｅｒが暗号化されて転送されるべきときには、受信者はメッセージの転送カウンタの値を直接、特にＭ’が復号化される前に読み取ることができないため、従来の手法はもはや機能しない。

【0092】

この場合、本明細書に提案される方法は、このようにして、初期化ベクトルと暗号化される平文の最初のブロックとの組み合わせが高い確率で新規であり、Ｍ．ＴｒａｎｓＣｏｕｎｔｅｒがメッセージＭの暗号化された部分の一部として転送され、それでも送信者により暗号文ＣＴの復号化を行うことができるということを達成できるため、有利に用いることができる。このために、Ｓ．ＴｒａｎｓＣｏｕｎｔｅｒはメッセージＭの最初の平文ブロックＰＢ_１に取り込まれ、このことは実際にはＴｒａｎＣｏｕｎｔｅｒ長＜Ｌ_Ｅが常に有効であるため、常に可能であるはずであり、両方の側で既知のカウンタ部分Ｓ．ＴｒｕｎｋＣｏｕｎｔｅｒ＝Ｅ．ＴｒｕｎｋＣｏｕｎｔｅｒから安全な方法で、例えばＳ．Ｉｍｐｌ_ｕ：＝ＬＡ（ＨＡＳＨ_Ｋ＿Ｈ（Ｓ．ＴｒｕｎｋＣｏｕｎｔｅｒ）），によって、Ｓ．ＴｒａｎｓＣｏｕｎｔｅｒを含む最初の平文ブロックＰＢ_１と組み合わせてユニークな、特に新規の組み合わせを形成するＳ．Ｉｍｐｌ_ｕのための疑似ランダム値が決定される。最後に、提案される方法によれば、メッセージＭは、Ｓ．Ｉｍｐｌ_ｕを使用して対称鍵Ｋにより暗号化される。その場合、トータルカウンタＳ．ＴｏｔａｌＣｏｕｎｔｅｒ＝Ｓ．ＴｒｕｎｋＣｏｕｎｔｅｒ｜｜の新規性は、Ｓ．ＴｒｕｎｋＣｏｕｎｔｅから導出された値Ｓ．Ｉｍｐｌ_ｕとカウンタ部分Ｓ．ＴｒａｎｓＣｏｕｎｔｅｒを含む最初の平文ブロックＰＢ_１との組み合わせが、非常に高い確率でユニークな、すなわち新規であることを保証する。

【図1】