特表 2024-537151 量子耐性のある暗号化ハッシュベースの署名計算の高速化

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-10-10

(54)【発明の名称】量子耐性のある暗号化ハッシュベースの署名計算の高速化

(51)【国際特許分類】

   G09C 1/00 20060101AFI20241003BHJP

   H04L 9/32 20060101ALI20241003BHJP

【ＦＩ】

G09C1/00 650Z

H04L9/32 200A

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024520759

(86)(22)【出願日】2021-10-11

(85)【翻訳文提出日】2024-04-23

(86)【国際出願番号】 US2021054431

(87)【国際公開番号】W WO2023063924

(87)【国際公開日】2023-04-20

(81)【指定国・地域】

(71)【出願人】

【識別番号】502208397

【氏名又は名称】グーグル エルエルシー

【氏名又は名称原語表記】Ｇｏｏｇｌｅ ＬＬＣ

【住所又は居所原語表記】１６００ Ａｍｐｈｉｔｈｅａｔｒｅ Ｐａｒｋｗａｙ ９４０４３ Ｍｏｕｎｔａｉｎ Ｖｉｅｗ， ＣＡ Ｕ．Ｓ．Ａ．

(74)【代理人】

【識別番号】110001195

【氏名又は名称】弁理士法人深見特許事務所

(72)【発明者】

【氏名】スホムリノフ，バディム

(72)【発明者】

【氏名】オソリオ・ロザノ，ミゲル・エンジェル

(72)【発明者】

【氏名】フランツ，クリストファー・ジェイ

(57)【要約】

本文書では、量子耐性のある暗号化ハッシュベースの署名計算の高速化を目的とした技術および装置について説明する。入力メッセージを受信すると、１つまたは複数のプロセッサ（１０６）がハッシュマネージャ（１１４）を実装する。ハッシュマネージャ（１１４）は、変数を初期化し、入力メッセージおよび初期化された変数を入力バッファ（５０２）にロードし、ハッシュベースの署名計算（４０４、５２０）を実行するように構成されている。ハッシュベースの署名計算（４０４、５２０）は、所定の反復回数だけ繰り返され、各反復には、ダイジェストメッセージ（４１０、５２６）の少なくとも一部を入力バッファ（５０２）内の構成可能な位置に直接ロードすることが含まれる。そうすることで、この反復ハッシュ計算方法はメモリコピーとバスレイテンシをバイパスし、量子耐性のある暗号化ハッシュベースの署名計算を高速化する。

【特許請求の範囲】

【請求項1】

コンピュータが実行する方法であって、
第１の入力メッセージを入力バッファにロードすることと、
ハッシュエンジンが、前記第１の入力メッセージを入力として使用し、ハッシュ計算を計算することと
を含み、前記ハッシュ計算の結果、ダイジェストメッセージが生成され、
前記コンピュータが実行する方法は、
前記ダイジェストメッセージの少なくとも一部を前記入力バッファ内の構成可能な位置に直接ロードすることと、
前記ハッシュ計算を所定の反復回数だけ繰り返すことと
をさらに含み、前記繰り返されるハッシュ計算の各々により、ダイジェストメッセージの少なくとも一部が前記入力バッファ内の前記構成可能な位置に直接ロードされ、前記繰り返されるハッシュ計算のその後の反復で使用される入力として使用される、コンピュータが実行する方法。

【請求項2】

前記ハッシュエンジンは、暗号化ハッシュ関数を実装する暗号化プロセッサである、請求項１に記載のコンピュータが実行する方法。

【請求項3】

前記ダイジェストメッセージの長さは３２バイトである、請求項１に記載のコンピュータが実行する方法。

【請求項4】

前記入力バッファは、前記ハッシュエンジンのレジスタファイルである、請求項１に記載のコンピュータが実行する方法。

【請求項5】

前記ダイジェストメッセージの少なくとも一部を前記入力バッファ内の前記構成可能な位置に直接ロードすることは、前記ダイジェストメッセージを前記ハッシュエンジンの外部のメモリにロードすることなく実装される、請求項１に記載のコンピュータが実行する方法。

【請求項6】

前記第１の入力メッセージは、プレフィックス、カウンタ、および秘密シードの連結を含むビット文字列である、請求項１に記載のコンピュータが実行する方法。

【請求項7】

前記第１の入力メッセージの長さは５６バイトである、請求項６に記載のコンピュータが実行する方法。

【請求項8】

前記第１の入力メッセージは、前記バッファメモリ（buffer memory）内の前記構成可能な位置にロードされた秘密シードを含み、前記ダイジェストメッセージの少なくとも一部を前記入力バッファ内の前記構成可能な位置に直接ロードすることにより、前記秘密シードが置き換えられる、請求項１に記載のコンピュータが実行する方法。

【請求項9】

前記ハッシュ計算を前記繰り返すことは、２５６回実行される、請求項１に記載のコンピュータが実行する方法。

【請求項10】

反復カウンタをデクリメントすることと、
前記繰り返されるハッシュ計算への入力メッセージに１バイトカウンタが含まれる場合、１バイトカウンタをインクリメントすることと
をさらに含む、請求項１に記載のコンピュータが実行する方法。

【請求項11】

前記反復カウンタには、初期化時に０～２５５の範囲の値が割り当てられる、請求項１０に記載のコンピュータが実行する方法。

【請求項12】

前記反復カウンタは、前記ハッシュエンジンのレジスタにロードされる、請求項１１に記載のコンピュータが実行する方法。

【請求項13】

前記１バイトカウンタは、ハッシュベースの署名検証のために構成された値で始まる、請求項１０に記載のコンピュータが実行する方法。

【請求項14】

前記１バイトカウンタは単調増加する、請求項１３に記載のコンピュータが実行する方法。

【請求項15】

少なくとも１つのプロセッサと、
前記少なくとも１つのプロセッサによって実行されると、前記プロセッサに、先行する請求項のいずれか１項に記載の方法を実行させる命令を含む少なくとも１つのコンピュータ可読記憶媒体と
を備える、コンピューティングデバイス。

【発明の詳細な説明】

【背景技術】

【0001】

背景
社会のコンピュータ化が進み、それに伴うモノのインターネット（ＩｏＴ：Internet-of-Things）の拡大により、世界はさまざまなサイバー攻撃に対してますます脆弱になっている。これらのサイバー攻撃は、情報セキュリティだけでなく、身体の安全にも重大な影響を与える可能性がある。サイバー攻撃を阻止するために、コンピューティングデバイスには多数のセキュリティ対策が実装され、デバイスのデータや通信への不正アクセスや操作が防止される。これらのセキュリティ対策のいくつかはデジタル署名スキームを採用しており、多くの場合、リベストシャミアエーデルマン（ＲＳＡ：Rivest-Shamir-Adleman）および楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ：Elliptic Curve Digital Signature Algorithm）を含む非対称暗号アルゴリズムに基づいている。これらの非対称暗号アルゴリズムでは、セキュリティの側面は、古典的なコンピューティング技術を使用した解読に必要な膨大な時間に基づいている。

【0002】

しかし、量子コンピューティングの進歩により、これらの一般的に使用される非対称暗号アルゴリズムがサイバー攻撃に対して脆弱になる可能性がある。これは、量子コンピュータが古典的なコンピュータよりも指数関数的に高速に計算できるためである。たとえば、ＳｈｏｒのアルゴリズムおよびＧｒｏｖｅｒのアルゴリズムなどの量子コンピューティングアルゴリズムは、ブルートフォース検索の２次高速化を実現し得る。これに応えて、量子コンピュータによって実行される、サイバー攻撃に対して安全であると考えられる暗号アルゴリズムが開発された。ただし、これらの量子耐性のある暗号アルゴリズムの多くは計算に過度の時間がかかるため、ほとんどの実装は、制約のあるデバイス上などの多くのアプリケーションには適していない。

【発明の概要】

【発明が解決しようとする課題】

【0003】

概要
本文書では、量子耐性のある暗号化ハッシュベースの署名計算の高速化を目的とした技術および装置について説明する。入力メッセージを受信すると、１つまたは複数のプロセッサがハッシュマネージャを実装する。ハッシュマネージャは、変数を初期化し、入力メッセージと初期化された変数とを入力バッファにロードし、ハッシュベースの署名計算を実行するように構成されている。ハッシュベースの署名計算は、所定の反復回数だけ繰り返され、各反復は、ダイジェストメッセージの少なくとも一部が入力バッファ内の構成可能な位置に直接ロードすることを含む。そうすることで、この反復ハッシュ計算方法はメモリコピーとバスレイテンシとをバイパスし、量子耐性のある暗号化ハッシュベースの署名計算を高速化する。

【0004】

本概要は、量子耐性のある暗号化ハッシュベースの署名計算を高速化するための簡略化された概念を紹介するために提供されており、これについては以下の詳細な説明でさらに説明し、図面に示す。本概要は、特許請求の範囲に記載された主題の本質的な特徴を特定することを意図したものではなく、特許請求の範囲に記載された主題の範囲を決定するために使用することを意図したものでもない。

【図面の簡単な説明】

【0005】

この文書では、量子耐性のある暗号化ハッシュベースの署名計算を高速化する１つまたは複数の態様の詳細について、以下の図面を参照して説明する。

【図1】本文書で開示される１つまたは複数の態様に従って暗号技術および他のセキュリティ機能を実装することができる例示的なコンピューティングデバイスを含む例示的な動作環境を示す図である。

【図2】暗号化コプロセッサとして実装された集積回路コンポーネントの１つの例を示す図である。

【図3】プロセッサによって実行されるときのハッシュマネージャの動作を示す図である。

【図4】ハッシュマネージャによって実装され、反復ハッシュベースの署名計算を高速化する方法の例を示す図である。

【図5】ハッシュマネージャによって実装され、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードし、所定の反復回数にわたってハッシュ計算を実行することによって反復ハッシュベースの署名計算を高速化する方法の例を示す図である。

【図6】反復ハッシュベースの署名計算を高速化するさまざまな態様を実装できるシステムオンチップ（ＳｏＣ：System-on-Chip）として実装された集積回路コンポーネントを示す図である。

【発明を実施するための形態】

【0006】

さまざまな場合における同じ番号の使用は、同様の機能およびコンポーネントを示す場合がある。

【0007】

詳細な説明
概説
コンピューティングデバイスには、欠陥、攻撃、その他の潜在的な侵害イベントに対する保護手段を提供するセキュリティ回路とソフトウェアとを有する集積回路が含まれていることがよくある。セキュリティ回路およびソフトウェアは、国立規格技術研究所（ＮＩＳＴ：National Institute of Standards and Technology）および／または公開鍵暗号規格（ＰＫＣＳ：Public-Key Cryptography Standards）で概説されているガイドラインを含むガイドラインに準拠するものなど、多くのセキュリティパラダイムを実装する場合がある。たとえば、ファームウェアの更新中に、ＰＫＣＳ規格に準拠したセキュリティ回路およびソフトウェアは、デジタル署名（たとえば、暗号署名）を使用してコンピューティングデバイスが受信および実行するデータの信頼性および完全性を検証する場合がある。デジタル署名スキームは、デジタルメッセージまたは文書を検証するために使用される数学的スキームである。有効なデジタル署名は、メッセージが既知の送信者によって生成されたものであること（「信頼性」）と、送信中に操作されていないこと（「完全性」）とを受信者に確信させることができる。そうすることで、セキュリティ回路およびソフトウェアは、情報が不用意に公開されるか、または一部の機能が有害な方法もしくはその他の不正な方法で使用される機会を低減する。

【0008】

今日のコンピューティング環境では、悪意のある者が暗号化されたデータを暴くか、または多数の攻撃ベクトルを使用して無数のレベルでコンピューティングデバイスを攻撃する可能性がある。たとえば、量子コンピューティングの最近の発展により、これらのセキュリティパラダイムの多くは古典的なコンピューティング技術を使用した攻撃を前提としているため、保護が大幅に低下する。その結果、量子コンピューティングを使用する攻撃者は、さまざまなサイバー攻撃によってコンピューティングデバイスもしくはデバイスデータへの不正アクセスまたは制御を取得できる可能性がある。たとえば、コンピューティングデバイスは極秘データを暗号論的に暗号化して、暗号化されたデータをネットワーク経由で送信する場合がある。ネットワークに接続した攻撃者は、暗号化されたデータを取得し、量子コンピューティングを使用して暗号化されたデータを復号する可能性がある。別の例では、攻撃者は、Ｗｉ－Ｆｉ（登録商標）ルータまたはＩｏＴデバイスなどのコンピューティングデバイスのファームウェアアップデートにマルウェアを注入できる可能性がある。攻撃者が、コンピューティングデバイスがファームウェアアップデートの信頼性または完全性を検証することなく、不正なコードセグメントをコンピューティングデバイスにインストールすることに成功した場合、コンピューティングデバイスの不正な再構成により、機密データもしくは極秘データが漏洩するか、またはデバイスを意図せず動作させる可能性があり、人間のオペレータに潜在的な安全上のリスクをもたらす可能性がある。

【0009】

コンピューティングデバイスに対するこれらの潜在的な攻撃に対抗し、安全なデータ伝送を試みるために、本開示では、量子耐性セキュリティパラダイムの統合について説明する。量子コンピュータのサイバー攻撃に耐性があると理論化されているそのようなソフトウェアベースのセキュリティパラダイムの１つは、反復ハッシュベースの署名計算（「ハッシュ計算」）である。ハッシュベースの署名スキームは、ワンタイム署名スキーム（たとえば、Lamportワンタイム署名スキーム）とマークルツリー構造（たとえば、単一の大きな構造内で多くのキーを結合する手法）を組み合わせたものである。ワンタイム署名スキームは、暗号化ハッシュ関数（たとえばハッシュアルゴリズム、トラップ関数、不可逆関数）など、暗号的に安全な一方向関数から構築される。

【0010】

暗号化ハッシュ関数は、任意の長さの入力データストリーム（「入力メッセージ」）を固定長の出力（「ダイジェストメッセージ」）にマッピングする数学関数である。反復ハッシュ計算には、暗号化ハッシュ関数を反復回数繰り返すことが含まれる。この反復ハッシュ計算方法により、入力メッセージを変更すると、非常に高い確率でメッセージダイジェストが完全に変更されてしまう（たとえば電子雪崩効果（avalanche effect））。したがって、暗号化ハッシュ関数は、安全で効率的なデジタル情報の送信および処理に効果的である。

【0011】

ただし、反復ハッシュ計算用のハードウェアアーキテクチャを採用したセキュリティ回路に量子耐性のあるソフトウェアベースのセキュリティパラダイムを実装するアプローチは、時間に敏感で制約のあるデバイスにはあまり適していない。たとえば、従来のハードウェアアーキテクチャで反復ハッシュ計算を実行している間、暗号化プロセッサは１回の反復中に多数のバストランザクションを実行して、結果を送信および取得することがある。さらに、暗号化プロセッサはハッシュエンジンを再プログラムし、反復ごとに新しい入力をロードする場合がある。したがって、反復ハッシュ計算スキームで１回のハッシュ計算を実行するのに必要な時間は、多くの場合、非反復ハッシュ計算スキームで１回のハッシュ計算を実行する時間の２倍になる。前述の動作の各々を反復ごとに実行しながら、ハッシュアルゴリズムなどの計算量の多いアルゴリズムを実行すると、処理が大幅に遅くなり、制約のあるデバイスでは電力も消費する。

【0012】

対照的に、本文書では、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードすることにより、量子耐性のある暗号化ハッシュベースの署名計算を高速化することを目的とした技術および装置について説明する。そうすることで、この反復ハッシュ計算方法はメモリコピーとバスレイテンシとをバイパスし、量子耐性のある暗号化ハッシュベースの署名計算を高速化する。

【0013】

以下の説明では、動作環境、動作環境で使用できる技術、例示的方法、および動作環境のコンポーネントを具現化できるシステムオンチップ（ＳｏＣ：System on Chip）について説明する。本開示の文脈において、動作環境への言及は単なる例として行われる。

【0014】

動作環境
以下の説明では、動作環境、動作環境で使用できる技術、および動作環境のコンポーネントを具現化できるさまざまなデバイスまたはシステムについて説明する。本開示の文脈において、動作環境への言及は単なる例として行われる。

【0015】

図１は、暗号技術および他のセキュリティ機能を実装することができる例示的なコンピューティングデバイス１０２を含む例示的な動作環境１００を示す図である。コンピューティングデバイス１０２の例には、スマートフォン１０２－１、タブレットコンピュータ１０２－２、ワイヤレスルータ１０２－３、セットトップボックス１０２－４、ネットワーク接続ストレージ（ＮＡＳ：network-attached storage）デバイス１０２－５、ウェアラブルコンピューティングデバイス１０２－６（たとえば、コンピュータ化された時計）、および自動車１０２－７が含まれる。図示されていないが、コンピューティングデバイス１０２は、移動局（たとえば、固定ＳＴＡまたは移動ＳＴＡ）、モバイル通信デバイス、クライアントデバイス、ホームオートメーションおよび制御システム、エンターテイメントシステム、ゲームコンソール、パーソナルメディアデバイス、健康監視デバイス、ドローン、カメラ、ワイヤレスインターネットアクセスおよびブラウジングが可能なインターネット家電製品、ＩｏＴデバイス、セキュリティシステムなどのうちのいずれかとして実装されてもよい。電子デバイス１０２は、ウェアラブル、ウェアラブルではないがモバイル、または比較的動かないもの（たとえば、デスクトップ、家電製品）であり得ることに留意されたい。また、電子デバイス１０２は、自動車内またはラップトップコンピュータへの付属品としてなど、多くの電子デバイス１０２または周辺機器と共に使用するか、またはその中に埋め込むことができることにも留意されたい。コンピューティングデバイス１０２は、特定の種類のコンピューティングデバイスのセキュリティ機能を有効にする、安全なネットワークアクセスを有効にする、ストレージ用のデータを暗号化する、ソフトウェア署名を検証する、ユーザまたは他のデバイスを認証する、電子ファイルまたは文書に署名するなど、任意の適切な目的のために暗号化機能またはセキュリティ機能を実装することができる。コンピューティングデバイス１０２は、他の機能を提供することもできるし、明瞭化または視覚的簡潔さのために図１から省略されたコンポーネントまたはインターフェースを含むこともできる。

【0016】

コンピューティングデバイス１０２は、コンピューティングデバイスのコンポーネントおよび相互接続が具現化されるプリント回路基板アセンブリ１０４（ＰＣＢＡ：printed circuit board assembly）１０４を含む。代替的または追加的に、コンピューティングデバイス１０２のコンポーネントは、フレキシブル回路材料または他の絶縁材料などの他の基板上に具現化することができる。図示されていないが、コンピューティングデバイス１０２は、ハウジング、さまざまな人間入力デバイス、ディスプレイ、バッテリパック、アンテナなども含むことができる。一般に、コンピューティングデバイス１０２の電気コンポーネントおよび電気機械コンポーネントは、プリント回路基板（ＰＣＢ：printed circuit board）上に組み立てられてＰＣＢＡ１０４を形成する。次いで、ＰＣＢＡ１０４のさまざまなコンポーネント（たとえば、プロセッサおよびメモリ）がプログラムされ、ＰＣＢＡ１０４の正しい機能を検証するためにテストされる。ＰＣＢＡ１０４は、コンピューティングデバイス１０２の他の部分に接続されるか、またはコンピューティングデバイス１０２の他の部分と共にハウジング内に組み立てられる。

【0017】

図示のように、ＰＣＢＡ１０４は、１つまたは複数のプロセッサ１０６およびコンピュータ可読媒体１０８を含む。プロセッサ１０６は、任意の適切なシングルコアまたはマルチコアプロセッサ（たとえば、アプリケーションプロセッサ（ＡＰ：application processor）、デジタル信号プロセッサ（ＤＳＰ：digital-signal processor）、中央処理装置（ＣＰＵ：central processing unit）、グラフィックス処理装置（ＧＰＵ：graphics processing unit））であってもよい。プロセッサ１０６は、コンピュータ可読媒体１１０内に格納された命令またはコマンドを実行して、オペレーティングシステム１１２、および、コンピュータ可読記憶媒体１１０内に記憶される初期化モジュール１１６、暗号化モジュール１１８、および／またはハッシュモジュール１２０を有するハッシュマネージャ１１４を実装するように構成されてもよい。コンピュータ可読記憶媒体１１０は、各々がコンピュータシステムバスに接続されているランダムアクセスメモリ（ＲＡＭ：random access memory、ダイナミックＲＡＭ（ＤＲＡＭ）、不揮発性ＲＡＭ（ＮＶＲＡＭ：non-volatile ＲＡＭ）、もしくはスタティックＲＡＭ（ＳＲＡＭ：static ＲＡＭ））、読み取り専用メモリ（ＲＯＭ：read-only memory、もしくはフラッシュメモリ）、ハードドライブ、ＳＳＤ、または電子命令の格納に適した任意の種類のメディア、などの１つまたは複数の非一時的記憶デバイスを含んでいてもよい。「結合された」という用語は、（物理的、電気的、磁気的、光学的になど）直接接触している２つ以上の要素、または、互いに直接接触していないものの、依然として相互に連携および／または相互作用する２つ以上の要素を指す場合がある。

【0018】

ＰＣＢＡ１０４は、Ｉ／Ｏポート１２２および通信システム１２４も含み得る。Ｉ／Ｏポート１２２は、コンピューティングデバイス１０２が他のデバイスまたはユーザと対話できるようにする。Ｉ／Ｏポート１２２は、ＵＳＢポート、オーディオポート、シリアルＡＴＡ（ＳＡＴＡ：Serial ATA）ポート、PCI-expressベースのポートまたはカードスロット、セキュアデジタル入出力（ＳＤＩＯ：secure digital input/output）スロット、および／または他のレガシーポートなど、内部ポートまたは外部ポートの任意の組合せを含むことができる。人間入力デバイス（ＨＩＤ：human-input devices）、外部のコンピュータ可読記憶媒体、または他の周辺機器など、さまざまな周辺機器がＩ／Ｏポート１２２と動作可能に結合されてもよい。

【0019】

通信システム１２４は、本明細書で説明される受信データ、送信データ、または他の情報などのデバイスデータの通信を可能にし、１つまたは複数のネットワークおよびそれに接続された他のデバイスへの接続を提供し得る。例示的通信システムには、ＮＦＣトランシーバ、さまざまなＩＥＥＥ８０２．１５（Ｂｌｕｅｔｏｏｔｈ（登録商標））規格に準拠したＷＰＡＮ無線、さまざまなＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））規格のいずれかに準拠したＷＬＡＮ無線、携帯電話用のＷＷＡＮ（３ＧＰＰ（登録商標）準拠）無線、さまざまなＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））規格に準拠したワイヤレスメトロポリタンエリアネットワーク（ＷＭＡＮ：wireless metropolitan area network）無線、赤外線データアソシエーション（ＩｒＤＡ：Infrared Data Association）プロトコルに準拠した赤外線（ＩＲ）トランシーバ、および有線ローカルエリアネットワーク（ＬＡＮ）イーサネットトランシーバが含まれる。通信システム１２４を介して通信されるデバイスデータは、コンピューティングデバイス１０２がそれによって通信する通信プロトコルまたは規格に応じてパケット化またはフレーム化されてもよい。通信システム１２４は、ローカルネットワーク、イントラネット、またはインターネットを介した通信のためのイーサネットまたは光ファイバインターフェースなどの有線インターフェースを含み得る。代替的または追加的に、通信システム１２４は、ワイヤレスＬＡＮ、セルラーネットワーク、またはＷＰＡＮなどのワイヤレスネットワークを介した通信を容易にするワイヤレスインターフェースを含んでもよい。

【0020】

図示されていないが、コンピューティングデバイス１０２は、デバイス内のさまざまなコンポーネントを結合するシステムバス、相互接続、クロスバー、またはデータ転送システムを含むこともできる。システムバスまたは相互接続には、メモリバスもしくはメモリコントローラ、ペリフェラルバス、ユニバーサルシリアルバス、および／またはさまざまなバスアーキテクチャのいずれかを利用するプロセッサもしくはローカルバスなど、さまざまなバス構造のうちのいずれか１つまたはそれらの組合せを含めることができる。

【0021】

ＰＣＢＡ１０４はさらに、集積回路コンポーネント１２６を含む。さまざまな実装形態において、集積回路コンポーネント１２６は、プロセッサ１０６（たとえば、ホストプロセッサ）に動作可能に接続された暗号化コプロセッサ、プロセッサ、マイクロコントローラ、マイクロプロセッサ、システムオンチップ（ＳｏＣ）などを含む、安全な信頼のルート（ＲｏＴ：root of trust）特定用途向け集積回路（ＡＳＩＣ：application-specific integrated circuit）コンポーネントであってもよい。集積回路コンポーネント１２６（たとえば、ハッシュエンジン、ハッシュアクセラレータ）は、ダウンロードされたソフトウェアの信頼性および完全性を検証するために必要な計算を実行する計算能力を有する、組み込みシステムセキュリティとして実装されてもよい。集積回路コンポーネント１２６は、プライベートインターフェースを介して、安全な不揮発性コンピュータ可読記憶媒体１０８に通信可能に結合されてもよい。いくつかの実装形態では、集積回路コンポーネント１２６は、ハッシュエンジン（たとえば、ハッシュ関数を実行するように構成されたプロセッサ）を含んでいてもよい。別の実装形態では、集積回路コンポーネント１２６はハッシュエンジンであってもよい。

【0022】

より詳細には、図２に示す、暗号化コプロセッサ２０２として実装される集積回路コンポーネント１２６の１つの例を考察する。集積回路コンポーネント１２６は、暗号化マイクロプロセッサ、マイクロコントローラ、ＳｏＣなどとして実装され得るため、これは１つの例にすぎない。この実装形態では、暗号化コプロセッサ２０２はハッシュエンジンとして動作することができる。他の実装形態では、集積回路コンポーネント１２６は、たとえば、ハッシュエンジンとして動作するプロセッサを含むコンポーネントを有するＳｏＣであってもよい。

【0023】

図２に示すように、暗号化コプロセッサ２０２は、算術論理演算ユニット２０４（ＡＬＵ：arithmetical and logical unit ２０４）、レジスタファイル２０６、制御ユニット２０８、ハードウェアカウンタ２１０、および入出／出力（Ｉ／Ｏ）ユニット２１２を含むことができる。ＡＬＵ２０４は、受信したデータに対して算術演算および論理演算を実行するように構成されていてもよい。レジスタファイル２０６は、プログラムまたは関数の処理中に迅速なデータアクセスのために構成された高速半一時メモリとして機能するプロセッサレジスタ（たとえば、制御レジスタ）のアレイであってもよい。レジスタは、暗号化コプロセッサ２０２が作業データに迅速にアクセスできるようにするために、ＡＬＵ２０４または他の実行ユニットに緊密に結合され得る。データへのアクセスをさらに容易にするために、レジスタファイルには、ＡＬＵ２０４および／または実行ユニットが単一サイクルで複数のオペランドを同時に取得できるようにする複数の読み取りポートまたは複数の書き込みポートが含まれ得る。暗号化コプロセッサ２０２、またはＡＬＵ２０４およびその実行ユニットは、システムアドレス空間とは別個のレジスタアドレス空間を使用してレジスタファイルにアクセスすることができる。場合によっては、レジスタにはレジスタアドレス空間経由でアクセスできるように番号が付けられている。レジスタファイルは、データのビットの読み取りと書き込みを高速化するためにフリップフロップから形成され得る。制御ユニット２０８は、システム全体のデータの流れを制御するように構成され得る。ハードウェアカウンタ２１０（たとえば、ハードウェアパフォーマンスカウンタ、プロセッサパフォーマンスカウンタ）は、プロセッサレベルで行われるイベント、トランザクション、または反復をカウントすることができる。たとえば、ハードウェアカウンタ２１０は、プログラムが実行したサイクルおよび命令の数をカウントすることができる。Ｉ／Ｏユニット２１２は、デバイスの他のコンポーネントと動作可能にインターフェースされるポートを含むことができる。

【0024】

ハッシュ計算を高速化するための技術
一態様では、コンピューティングデバイス１０２は、ハッシュベースの署名を検証するためのステップを実装することができる。たとえば、プロセッサ１０６は、入力メッセージ（たとえば、ファームウェアアップデート、構成データファイル）だけでなく、同じ秘密鍵で署名されたデジタル署名も受信することができる。入力メッセージの完全性と信頼性を検証するために、入力メッセージのダイジェストメッセージを生成するために反復ハッシュ計算を実行してもよい。別の態様では、コンピューティングデバイス１０２は、公開鍵計算および公開鍵署名のためのステップを実装してもよい。

【0025】

いくつかの態様では、入力メッセージを受信すると、コンピュータ可読媒体１０８および集積回路コンポーネント１２６に動作可能に接続されたプロセッサ１０６は、フェッチ／実行サイクルを実行し、コンピュータ可読媒体１０８に格納されたハッシュマネージャ１１４の命令を介して循環させることができる。別の実装形態では、入力メッセージを受信すると、プロセッサ１０６は、入力メッセージを集積回路コンポーネント１２６にロードし、集積回路コンポーネント１２６にフェッチ／実行サイクルを実行するよう命令し、コンピュータ可読媒体１０８に格納されたハッシュマネージャ１１４の命令を循環させることができる。

【0026】

図３は、プロセッサ（たとえば、プロセッサ１０６）によって実行されるときのハッシュマネージャ１１４（図示せず）の動作を示す図である。一態様では、ハッシュマネージャ１１４はモードを選択する３０２。モード選択３０２は、単一ハッシュ計算用に構成されたモードと反復ハッシュ計算用に構成されたモードとを含む２値判定であってもよい。選択されたモード３０２が反復ハッシュ計算を示す場合３０４、ハッシュマネージャ１１４は初期化モジュール１１６を実行することができる。初期化モジュール１１６は、反復ハッシュ計算のために変数を初期化することができる３０６。たとえば、プロセッサは、入力メッセージ長、コピーオフセット、コピー長、更新オフセット、および更新長の変数の値をプログラムできる。これらの変数の値は、入力メッセージ内のバイトインデックスを識別するために使用されてもよい。プロセッサはさらに、ハッシュ計算を実行するために望ましい反復回数をプログラムし、この値を本明細書で反復カウンタと呼ばれる変数に割り当てることができる。たとえば、プロセッサは値２５５を反復カウンタ変数に割り当て、それによってハッシュ計算を２５６回実行するようにプログラムすることができる。反復ハッシュ計算のための変数の値は、入力バッファ（たとえば、暗号化コプロセッサ２０２のレジスタファイル）内の構成可能な位置にロードされ得る。

【0027】

次に、または初期化モジュール１１６の動作と並行して、ハッシュマネージャ１１４は、入力メッセージを集積回路コンポーネント１２６の入力バッファ内の構成可能な位置にロードすることができる３０８。入力メッセージおよび反復ハッシュ計算用の変数がロードされると、ハッシュマネージャ１１４は、集積回路コンポーネント１２６上で反復ハッシュ計算の実行をトリガすることができる３１０。

【0028】

図４は、ハッシュマネージャ１１４によって実装され、反復ハッシュ計算を加速する例示的方法４００を示す図である。一態様では、ハッシュマネージャ１１４（図示せず）は、選択されたモードを判定することができる。選択されたモードが反復ハッシュ計算を示す場合、ハッシュマネージャ１１４は暗号化モジュール１１８を実行することができる。暗号化モジュール１１８は、入力メッセージをｎ個のメッセージブロックに分割する（「チャンク化」）４０４、または入力メッセージの先頭、中間、もしくは末尾にデータを追加する（「パディング」）４０６など、さまざまな暗号化技術を実装することができる。いくつかの実装形態では、暗号化モジュール１１８は、入力メッセージにランダムデータを組み込むことができる（「ソルティング」）。別の実装形態では、暗号化モジュール１１８の動作の一部またはすべてがハッシュモジュール１２０に含まれてもよい。

【0029】

上記の説明にさらに加えて、入力メッセージは、入力メッセージ内のさまざまな長さ、さまざまな順序、およびさまざまなインデックス位置のプレフィックス、サフィックス、秘密シード、および／またはカウンタなど、部分文字列の連結を含むビット文字列（たとえば、２５６ビット、５１２ビット）であってもよい。実装形態では、入力メッセージは、２２バイトのプレフィックス、１バイトのカウンタ、および３２バイトの秘密シードを有する５５バイトの長さであってもよい。この実装形態では、２２バイトのプレフィックスは、入力メッセージの先頭に追加されるパディングデータであってもよく、１バイトカウンタは、ハッシュモジュール１２０が反復中に値を１ビットずつ単調増加させる入力メッセージのセクションであってもよく、３２バイトの秘密シードには、入力メッセージのバイトまたはダイジェストメッセージのバイトが含まれていてもよい。実装形態では、１バイトカウンタは非単調に増加または減少する場合がある。さらに他の実装形態では、１バイトカウンタは、ハッシュベースの署名検証または公開鍵の計算と署名とを含むユースケース用に構成された値で初期化されてもよい。

【0030】

次に、ハッシュマネージャ１１４は、ハッシュモジュール１２０を実行してもよい。ハッシュモジュール１２０は、ハッシュ計算を実行すること４０８と、反復カウンタをデクリメントすること４１０と、反復カウンタがゼロより大きいかどうかを判定すること４１２と、反復カウンタがゼロより大きい場合にダイジェストメッセージの少なくとも一部をロードすること４１４と、入力メッセージ内に１バイトカウンタが存在するかどうかを判定すること４１６と、存在する場合には１バイトカウンタをインクリメントすること４１８とを含み得る。より詳細には、ハッシュエンジンは、入力メッセージを入力として使用して、ハッシュ計算を実行４０８してもよい。ハッシュエンジンは、暗号化ハッシュ関数を実行してダイジェストメッセージを生成してもよい。ハッシュエンジンは、ＳＨＡ２５６などの特定の規格に準拠した任意の暗号化ハッシュ関数を実装し得る。使用される暗号化ハッシュ関数に応じて、ダイジェストメッセージの長さが異なっていてもよい。

【0031】

ハッシュ計算の実行４０８後、または実行と並行して、ハッシュモジュール１２０は、反復カウンタを１カウント値だけデクリメントしてもよい４１０。反復カウンタ値がゼロより大きい場合４１２、ハッシュモジュール１１６は、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードしてもよい４１４。次に、またはダイジェストメッセージの少なくとも一部をロードするのと並行して、ハッシュマネージャ１１４は、入力メッセージ内に１バイトカウンタが存在するかどうかを判定してもよい４１６。１バイトカウンタが入力メッセージ内に存在する場合、ハッシュモジュール１２０は、１バイトカウンタを１カウント値だけインクリメントすることができる４１８。入力メッセージ内の１バイトカウンタがインクリメントされると、ハッシュモジュール１２０は継続し、反復カウンタカウントがゼロより大きくなくなるまでハッシュモジュール１２０の動作を繰り返すことができる。１バイトカウンタが入力メッセージ内に存在しない場合、ハッシュモジュール１２０は継続し、反復カウンタカウントがゼロより大きくなくなるまでハッシュモジュール１２０の動作を繰り返すことができる。反復カウンタ値がゼロより大きくなくなると、ハッシュモジュール１２０は実行を停止することができ、ハッシュマネージャ１１４は反復ハッシュ計算の結果（たとえば、ダイジェストメッセージ）をプロセッサ（たとえば、ハッシュベースのメッセージ認証コード（ＨＭＡＣ）コア、ホストプロセッサ）に転送することができる４２０。

【0032】

ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に所定の反復回数だけ直接ロードすることで、バストランザクションに関連するバスレイテンシを回避し、クイックアクセスメモリを利用して、ハッシュ計算を高速化する。さらに、ダイジェストメッセージの少なくとも一部を入力バッファの構成可能な位置にロードして、以前の入力メッセージの秘密シードを更新することができ、その結果、再プログラムする必要なしにハッシュエンジンを実行できるようになる。

【0033】

例示的方法
このセクションでは、反復ハッシュ計算を高速化する方法の例について説明する。図５は、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードし、所定の反復回数にわたってハッシュ計算を実行することによって反復ハッシュ計算を加速する、ハッシュマネージャ（たとえば、ハッシュマネージャ１１４）によって実装される例示的な方法５００を示す。図示のように、入力バッファ５０２は、プレフィックス５０６、１バイトカウンタ５０８、および秘密シード５１０を有する入力メッセージ５０４を含む。プレフィックス５０６の長さは、たとえば２２バイトであってもよい。たとえば、１バイトカウンタは、ゼロに等しい８ビットの２値（たとえば、二進法の００００００００）から開始できる。秘密シード５１０は、たとえば３２バイトの長さであってもよい。入力バッファ５０２は、初期化モジュール（図示せず）によって初期化される変数をさらに含んでいてもよい。更新オフセット５１２変数は、２２に等しい６ビットまたは８ビットの文字列であってもよい。コピー長５１４の変数は、２３に等しい６ビットまたは８ビットの文字列であってもよい。コピー長（図示せず）変数は、ダイジェストメッセージの長さに等しい６ビットまたは８ビットの文字列であってもよい。実装形態では、コピーの長さはダイジェストメッセージの長さの少なくとも一部と等しくてもよい。更新長（図示せず）は、１バイトカウンタの長さに等しい６ビットまたは８ビットの文字列であってもよい。さらに、入力バッファには、８ビット反復カウンタ５１６変数を含んでいてもよい。たとえば、反復カウンタはカウント値２５５（たとえば、二進法の１１１１１１１１）に初期化されてもよい。反復カウンタは、ハッシュ計算が繰り返される反復回数を判定してもよい。

【0034】

図５は、ハッシュモジュール５１８をさらに示す。一態様では、ハッシュモジュール５１８はハッシュエンジン（図示せず）によって実装される。たとえば、ハッシュエンジンは、暗号化ハッシュ関数ＳＨＡ２５６を実装する暗号化コプロセッサであってもよい。ハッシュエンジンは、入力メッセージを入力として使用して、反復ハッシュ計算を実行し得る。たとえば、ハッシュモジュール５１８はハッシュ計算を実行し５２０、その結果、ダイジェストメッセージ（図示せず）が得られ得る。次に、ハッシュモジュール５１８は、反復カウンタをデクリメントしてもよい５２２。たとえば、反復カウンタ５１６は、カウント値２５４（たとえば、二進法の１１１１１１１０）にデクリメントされ得る。次に、ハッシュモジュール５１８は、反復カウンタ５１６の値がゼロより大きいかどうかを判定することができる。反復カウンタ５１６の値がゼロより大きくない場合、ハッシュモジュール５１８は実行を停止してもよく、ハッシュマネージャ（図示せず）がダイジェストメッセージをプロセッサに転送することができる。反復カウンタ５１６の値がゼロより大きい場合、ハッシュモジュール５１８は、ダイジェストメッセージ５２６の少なくとも一部を入力バッファ５０２内の構成可能な位置にロードすることができる。たとえば、ＳＨＡ２５６を実行するハッシュエンジンは３２バイトのダイジェストメッセージを生成し得る。ハッシュモジュール５１８は、ダイジェストメッセージのビットを入力メッセージの秘密シードセクションにロードし、古い秘密シードを置き換えることができる。その結果、入力メッセージは３２バイトのダイジェストメッセージの少なくとも一部によって更新される。次に、ハッシュモジュール５１８は、入力メッセージ５０４内に１バイトカウンタ５２８が存在するかどうかを判定してもよい。ハッシュモジュール５１８が入力メッセージ内に１バイトカウンタ５０８が存在すると判定した場合、ハッシュモジュールは１バイトカウンタをインクリメントすることができる５３０。たとえば、１バイトカウンタ５０８は、カウント値１（たとえば、二進法の０００００００１）まで増加することができる。そうすることで、ハッシュモジュール１２０は、１回の反復で１バイトカウンタ５０８の値を１ビットずつ単調増加させることができる。たとえば、１バイトカウンタ５０８の値が単調に増加すると、入力メッセージがソルティングされ得る。１バイトカウンタ５０８が入力メッセージ５０４に存在しない場合、ハッシュモジュール５１８は次のハッシュ計算実行５２０に進むことができる。このようにして、所与の反復のダイジェストメッセージの少なくとも一部を、入力バッファ５０２内の構成可能な位置に直接ロードして戻すことができ、次のハッシュ計算（「繰り返しハッシュ計算」）のために入力メッセージを更新することができる。そうすることで、この反復ハッシュ計算方法はメモリコピーとバスレイテンシをバイパスし、量子耐性のある暗号化ハッシュベースの署名計算を高速化する。

【0035】

システムオンチップ
図６は、反復ハッシュ計算を加速するさまざまな態様を実装できるＳｏＣ６００として実装された集積回路コンポーネント（たとえば、集積回路コンポーネント１２６）を示す図である。ＳｏＣ６００は、同じ半導体基板上に製造されたコンポーネントを含む単一チップであってもよい。代替的に、ＳｏＣは、エポキシ樹脂で互いに接着された多数のそのようなチップであってもよい。ＳｏＣ６００は、スマートフォン、携帯電話、ネットブック、タブレットコンピュータ、サーバ、ワイヤレスルータ、ネットワーク接続ストレージ、カメラ、スマート家電製品、プリンタ、セットトップボックス、または任意の適切な種類のデバイスなど、任意の適切なデバイスに実装され得る。ＳｏＣを参照して説明されているが、図６のエンティティは、ＡＳＩＣ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ：field-programmable gate array）などとして実装されてもよい。

【0036】

ＳｏＣ６００は、本明細書にリストされているオペレーティングシステムで説明されているコンポーネントを含む電子回路と統合できる。ＳｏＣ６００は、コンポーネント間のデータ通信のためにＳｏＣのさまざまなコンポーネントを結合する統合データバス（図示せず）を含むこともできる。ＳｏＣ６００の統合データバスまたは他のコンポーネントは、ＪＴＡＧポートなどの外部ポートを介して公開またはアクセスできる。たとえば、ＳｏＣ６００のコンポーネントは、製造のさまざまな段階で外部ポートを介してテスト、構成、またはプログラム（たとえばフラッシュ）できる。

【0037】

この例では、ＳｏＣ６００は、コンピュータ可読記憶媒体６０２、１つまたは複数のプロセッサ６０４、ハッシュエンジン６０６、およびＩ／Ｏユニット６０８を含む。コンピュータ可読記憶媒体６０２は、各々がコンピュータシステムバスに結合されたＲＡＭ（（ＤＲＡＭ、ＮＶＲＡＭ、もしくはＳＲＡＭ）、ＲＯＭ、またはフラッシュメモリ）、ハードドライブ、ＳＳＤ、または電子命令の格納に適した任意の種類のメディアなど、１つまたは複数の非一時的な記憶デバイスを含むことができる。コンピュータ可読記憶媒体６０２は、ハッシュマネージャ（たとえば、ハッシュマネージャ１１４）の命令のすべてまたは一部を含み得る。プロセッサ６０４は、ハッシュマネージャの命令を実装することができる。いくつかの実装形態では、任意の安全な信頼のルート（ＲｏＴ）コンポーネントを、暗号化プロセッサを含むハッシュエンジン６０４として実装することができる。さらに、ハッシュエンジン６０４は、ＳＨＡ２５６などの任意の暗号化ハッシュ関数を実装することができる。

【0038】

主題は構造的特徴および／または方法論的動作に特有の言語で説明されているが、添付の特許請求の範囲で定義される主題は、実行される順序を含め、本明細書で説明される特定の機能または動作に必ずしも限定されないことを理解されたい。

【0039】

例
以下のセクションでは例を示す。

【0040】

例１：コンピュータが実行する方法であって、第１の入力メッセージを入力バッファにロードすることと、ハッシュエンジンが、第１の入力メッセージを入力として使用し、ハッシュ計算を計算することとを含む。ハッシュ計算の結果、ダイジェストメッセージが生成される。コンピュータが実行する方法は、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードすることと、ハッシュ計算を所定の反復回数だけ繰り返すこととをさらに含む。繰り返されるハッシュ計算の各々により、ダイジェストメッセージの少なくとも一部が入力バッファ内の構成可能な位置に直接ロードされ、繰り返されるハッシュ計算のその後の反復で使用される入力として使用される結果となる。

【0041】

例２：例１に記載されたコンピュータが実行する方法であって、ハッシュエンジンは、暗号化ハッシュ関数を実装する暗号化プロセッサである。

【0042】

例３：例１に記載のコンピュータが実行する方法であって、ダイジェストメッセージの長さは３２バイトである。

【0043】

例４：例１に記載のコンピュータが実行する方法であって、入力バッファは、ハッシュエンジンのレジスタファイルである。

【0044】

例５：例１に記載のコンピュータが実行する方法であって、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードすることは、ダイジェストメッセージをハッシュエンジンの外部のメモリにロードすることなく実装される。

【0045】

例６：例１に記載のコンピュータが実行する方法であって、第１の入力メッセージは、プレフィックス、カウンタ、および秘密シードの連結を含むビット文字列である。

【0046】

例７：例５に記載のコンピュータが実行する方法であって、第１の入力メッセージの長さは５６バイトである。

【0047】

例８：例１に記載のコンピュータが実行する方法であって、ダイジェストメッセージの少なくとも一部を入力バッファ内の構成可能な位置に直接ロードすることにより、秘密シードが置き換えられる。

【0048】

例９：例１に記載のコンピュータが実行する方法であって、ハッシュ計算を繰り返すことは、２５６回実行される。

【0049】

例１０：例１に記載のコンピュータが実行する方法であって、反復カウンタをデクリメントすることと、繰り返されるハッシュ計算への入力メッセージに１バイトカウンタが含まれる場合、１バイトカウンタをインクリメントすることとをさらに含む。

【0050】

例１１：例１０に記載のコンピュータが実行する方法であって、反復カウンタには、初期化時に０～２５５の範囲の値が割り当てられる。

【0051】

例１２：例１１に記載のコンピュータが実行する方法であって、反復カウンタは、ハッシュエンジンのレジスタにロードされる。

【0052】

例１３：例１０に記載のコンピュータが実行する方法であって、１バイトカウンタは、ハッシュベースの署名検証のために構成された値で始まる。

【0053】

例１４：例１３に記載のコンピュータが実行する方法であって、１バイトカウンタは単調増加する。

【0054】

例１５：コンピューティングデバイスであって、少なくとも１つのプロセッサと、少なくとも１つのプロセッサによって実行されると、プロセッサに、先行する例のいずれか１つに記載の方法を実行させる命令を含む少なくとも１つのコンピュータ可読記憶媒体とを備える。

【0055】

結論
量子耐性のある暗号化ハッシュベースの署名計算の高速化を可能にするための技術および装置の実装形態は、機能および／または方法に固有の言語で説明されてきたが、添付の特許請求の範囲の主題は、記載された特定の特徴または方法に必ずしも限定されないことを理解されたい。むしろ、特定の機能および方法は、量子耐性のある暗号化ハッシュベースの署名計算の高速化を可能にする例示的実装形態として開示されている。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【手続補正書】

【提出日】2024-05-07

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

コンピュータが実行する方法であって、
第１の入力メッセージを入力バッファにロードすることと、
ハッシュエンジンが、前記第１の入力メッセージを入力として使用し、ハッシュ計算を計算することとを含み、前記ハッシュ計算の結果、ダイジェストメッセージが生成され、
前記コンピュータが実行する方法は、
前記ダイジェストメッセージの少なくとも一部を前記入力バッファ内の構成可能な位置に直接ロードすることと、
前記ハッシュ計算を所定の反復回数だけ繰り返すこととをさらに含み、前記繰り返されるハッシュ計算の各々により、ダイジェストメッセージの少なくとも一部が前記入力バッファ内の前記構成可能な位置に直接ロードされ、前記繰り返されるハッシュ計算のその後の反復で使用される入力として使用される、コンピュータが実行する方法。

【請求項2】

前記ハッシュエンジンは、暗号化ハッシュ関数を実装する暗号化プロセッサである、請求項１に記載のコンピュータが実行する方法。

【請求項3】

前記ダイジェストメッセージの長さは３２バイトである、請求項１または２に記載のコンピュータが実行する方法。

【請求項4】

前記入力バッファは、前記ハッシュエンジンのレジスタファイルである、請求項１～３のいずれか一項に記載のコンピュータが実行する方法。

【請求項5】

前記ダイジェストメッセージの少なくとも一部を前記入力バッファ内の前記構成可能な位置に直接ロードすることは、前記ダイジェストメッセージを前記ハッシュエンジンの外部のメモリにロードすることなく実装される、請求項１～４のいずれか一項に記載のコンピュータが実行する方法。

【請求項6】

前記第１の入力メッセージは、プレフィックス、カウンタ、および秘密シードの連結を含むビット文字列である、請求項１～５のいずれか一項に記載のコンピュータが実行する方法。

【請求項7】

前記第１の入力メッセージの長さは５６バイトである、請求項６に記載のコンピュータが実行する方法。

【請求項8】

前記第１の入力メッセージは、前記バッファメモリ（buffer memory）内の前記構成可能な位置にロードされた秘密シードを含み、前記ダイジェストメッセージの少なくとも一部を前記入力バッファ内の前記構成可能な位置に直接ロードすることにより、前記秘密シードが置き換えられる、請求項１～７のいずれか一項に記載のコンピュータが実行する方法。

【請求項9】

前記ハッシュ計算を前記繰り返すことは、２５６回実行される、請求項１～８のいずれか一項に記載のコンピュータが実行する方法。

【請求項10】

反復カウンタをデクリメントすることと、
前記繰り返されるハッシュ計算への入力メッセージに１バイトカウンタが含まれる場合、１バイトカウンタをインクリメントすることとをさらに含む、請求項１～９のいずれか一項に記載のコンピュータが実行する方法。

【請求項11】

前記反復カウンタには、初期化時に０～２５５の範囲の値が割り当てられる、請求項１０に記載のコンピュータが実行する方法。

【請求項12】

前記反復カウンタは、前記ハッシュエンジンのレジスタにロードされる、請求項１１に記載のコンピュータが実行する方法。

【請求項13】

前記１バイトカウンタは、ハッシュベースの署名検証のために構成された値で始まる、請求項１０に記載のコンピュータが実行する方法。

【請求項14】

前記１バイトカウンタは単調増加する、請求項１３に記載のコンピュータが実行する方法。

【請求項15】

少なくとも１つのプロセッサと、
前記少なくとも１つのプロセッサによって実行されると、前記プロセッサに、請求項１～１４のいずれか１項に記載の方法を実行させる命令を含む少なくとも１つのコンピュータ可読記憶媒体とを備える、コンピューティングデバイス。

【国際調査報告】