JPH0299984A - 検証方法及び装置 - Google Patents

検証方法及び装置

Info

Publication number
JPH0299984A
JPH0299984A JP1207112A JP20711289A JPH0299984A JP H0299984 A JPH0299984 A JP H0299984A JP 1207112 A JP1207112 A JP 1207112A JP 20711289 A JP20711289 A JP 20711289A JP H0299984 A JPH0299984 A JP H0299984A
Authority
JP
Japan
Prior art keywords
key
cryptographic
control vector
bit
data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP1207112A
Other languages
English (en)
Other versions
JPH0820848B2 (ja
Inventor
Stephen M Matyas
ステイブン・エム・マチイース
Dennis G Abraham
デニス・ジイー・アブラハム
Donald B Johnson
ドナルド・ビイー・ジヨンソン
Ramesh K Karne
ラメシユ・ケイ・カーン
An V Le
アン・ヴイ・リ
Rostislaw Prymak
ロステイスロー・プライマツク
Julian Thomas
ジユリアン・トーマス
D Wilkins John
ジヨン・デイー・ウイルキンズ
Phil C Yeh
フイリイ・シイー・ジエイ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
International Business Machines Corp
Original Assignee
International Business Machines Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by International Business Machines Corp filed Critical International Business Machines Corp
Publication of JPH0299984A publication Critical patent/JPH0299984A/ja
Publication of JPH0820848B2 publication Critical patent/JPH0820848B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/30076—Arrangements for executing specific machine instructions to perform miscellaneous control operations, e.g. NOP
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/30007—Arrangements for executing specific machine instructions to perform operations on data operands
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/30—Arrangements for executing machine instructions, e.g. instruction decode
    • G06F9/30003—Arrangements for executing specific machine instructions
    • G06F9/30007—Arrangements for executing specific machine instructions to perform operations on data operands
    • G06F9/30018—Bit or string instructions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0827—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving distinctive intermediate devices or communication paths
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/088—Usage controlling of secret information, e.g. techniques for restricting cryptographic keys to pre-authorized uses, different access levels, validity of crypto-period, different key- or password length, or different strong and weak cryptographic algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 Ａ、産業上の利用分野 本発明は、一般には暗号技術に関し、さらに詳しくいえ
ばキーの安全保護管理技術に関する。
Ｂ、従来技術及びその課題 データの暗号変換は通常、キーの制御下で選択されたア
ルゴリズムまたはプロシージャによって定義される。ア
ルゴリズムは通常公知の知識なので、変換または暗号化
されたデータが保護できるかどうかはキーを秘密に保て
るかどうかにかかっている。すなわち、不正使用者が周
知のアルゴリズムとキーを使用して簡単に暗号化データ
を回復するのを防止するため、キーを秘密にしなければ
ならない。したがって、データを保護するにはプライバ
シ・キーの保護が必要となる。
キー管理は、キーの秘密と保全性が保護されるような形
で暗号キーとキー関連情報を取り扱うための暗号システ
ム内の機構、機能及びプロシージャを含んでいる。
ユーザまたは上位システムの主要暗号要件を支援するた
め、システム・キー管理機構は通常、キー導入、キー記
憶、キー生成、キーの搬入及び搬出のためのキー分配（
ないしは配送）を含む、いくつかの機能を支援している
。
どの場合にも、その全体的目的は、暗号キーの無許可の
開示または修正を防ぐことである。
暗号化データは同じ暗号アルゴリズムを利用するシステ
ムによって交換できるので、プライバシ・キーを交換で
きることが必要である。キーの発送者から所期の受領者
への搬送中にブライバシ・キーのプライバシを保護する
ために、キー自体を、（すでに両当事者間で共用されて
いる）他のプライバシ・キーのもとて暗号化しなければ
ならない。
キー分配プロトコルは、暗号システムの間でのキーの互
換性のある安全な交換を支援するように定義しなければ
ならない。
安全でない媒体（すなわち、安全な領域内にない記憶機
構）にキーを記憶するには、キー自体を暗号化しなけれ
ばならない。マスク・キー概念は、暗号システムで使用
するすべてのキーが、マスク・キーと呼ばれる単一キー
のもとて暗号化された形で記憶されるというものである
。マスク・キー自体を、開示または修正から保護しなけ
ればならない。マスク・キーを保護するため、通常（物
理アクセス制御などの）非暗号手段を設ける。
従来技術は、高いデータ安全保護基準を維持する実用的
で柔軟なキー管理システムを提供していない。
したがって、本発明の目的は、暗号アルゴリズム及びあ
る種の高レベルの暗号機能の保全性を提供することであ
る。
本発明の他の目的は、記憶または分配されたキーの保全
性を保護することである。
本発明の他の目的は、記憶または分配されたキーの誤用
（たとえば、プライバシ・キーを認証キーとして使用す
ること）を防止することにある。
本発明の他の目的は、記憶または分配されたキーの使用
を（たとえば、認証検査だけに）制限することにある。
本発明の他の目的は、マスク・キーと他の手動導入のキ
ー暗号化キーを安全に導入することである。
本発明の他の目的は、新しいキー暗号化キー及びデータ
暗号化キーを安全に生成することである。
−〇− Ｃ０課題を解決するための手段 上記及びその他の目的、特徴及び利点は、本明細書に記
載された発明によって実現される。本明細書で暗号アー
キテクチャ（ＣＡ）と呼ぶ発明は、データ処理システム
内で実施される。このシステムは、その発送者（ないし
は創作者）によって各キーが実行を許された機能を定義
する制御ベクトルに関連する、暗号キーの管理を求める
暗号サービス要求を出力するプログラムを実行する。本
発明は、プログラムが暗号キーに要求するキー管理機能
が、キーの発送者によって許可されたことを妥当性検査
する方法及び装置である。
本発明は、暗号サービス要求、暗号キー及びそれらに関
連する制御ベクトルを受け取る入力経路と、それに応答
を提供する出力経路が通過する安全な境界によって特徴
付けられる暗号機構を含む。
この境界内に、入力経路に接続された暗号命令記憶機構
、命令記憶機構に接続された制御ベクトル検査手段と暗
号処理手段、及び前記処理手段に接続されたマスク・キ
ー記憶機構を含めることができ、受け取ったサービス要
求に応答してキー管理機能を実行するための安全な場所
をもたらす。
暗号命令記憶機構は入力経路を介して、暗号キーに対し
てキー管理機能を実行することを求める暗号サービス要
求を受け取る。制御ベクトル検査手段は、入力経路に接
続された、暗号キーに関連する制御ベクトルを受け取る
ための入力線と、暗号命令記憶機構に接続された、制御
ベクトルが暗号サービス要求から要求されたキー管理機
能を許可するかどうかの検査を開始する制御信号を受け
取るための入力線を有する。
制御ベクトル検査手段は、暗号処理手段の入力線に接続
された、暗号処理手段がそれを受け取ると、暗号キーを
用いて要求されたキー管理機能の実行を開始する、キー
管理機能が許可されたことを示す信号を送るための許可
出力線を有する。
本発明は、さらに入出力経路を介して暗号機構に接続さ
れた、暗号キーを暗号化された形で記憶するための暗号
キー記憶手段を含む。暗号キーは、関連する制御ベクト
ルとマスク・キー記憶機構に記憶されたマスク・キーの
論理積である記憶キーのもとて暗号化される。
たとえば、暗号命令記憶機構は、入力経路を介して、暗
号キー記憶手段から暗号キーを回復することを求める暗
号サービス要求を受け取ることができ、制御ベクトル検
査手段は、それに応答して、暗号キーを回復する機能が
許可されたことを示す許可信号を暗号処理手段に出力す
る。暗号処理手段は、許可信号に応答して、暗号キー記
憶手段から暗号化された形の暗号キーを受け取り、関連
する制御ベクトルとマスク・キー記憶機構に記憶された
マスク・キーの論理積である記憶キーのもとて暗号化さ
れた形の暗号キーを非暗号化（復号化。
以下同じ）するよう動作する。
制御ベクトルは、キー管理機能、データ暗号化／非暗号
機能及びＰＩＮ処理機能を含む許可された形の暗号機能
を定義するフィールドを含む。関連する制御ベクトルは
、キーの搬出制御及び使用を定義するフィールドも含む
。これらの様々なフィールドは、相互に排他的な所期の
用途をもつ様々なタイプのキーを分離させて、システム
の保全性を維持する。
本発明は、高い安全保護基準を維持しながら、暗号キー
の生成、分配及び使用の際に多くの暗号キー管理機能の
柔軟な制御を可能にする。
Ｄ、実施例 本明細書で暗号アーキテクチャ（ＣＡ）と呼ぶ柔軟なキ
ー使用制御の方法及び装置について記載する。この方法
は、構内暗号機構内及びシステム間（すなわち、「オン
・ザ・リンク」）で厳格なキー分離を実施する。この方
法は、制御ベクトルを使ってキーの受領者またはユーザ
にキーの創作者の意図と整合する形でキーを使用させる
。
暗号機構の外部の安全でない媒体に記憶されたすべての
キーは、マスク・キーの機能と記憶されたキーの発送者
が指示した特定の制御ベクトルの値から形成されるキー
のもとて暗号化される。マスク・キーとおそらくは他の
少数のキーは、物理的に安全な暗号機構内で平文で記憶
されている。
どんなキーも安全な暗号機構の外部で故意によらず平文
で現れることはない。
あるシステムから別のシステムに送られるキーは、キー
暗号化キーの機能とキーの創作者（及びおそらくは送信
者）が指示した特定の制御ベクトルの値から形成される
キーのもとて暗号化される。
こうしたキー使用制御が特定のキー分配プロトコルの支
援に干渉する場合、オン・ザ・リンク制御は実施されな
い。
１組の基本暗号機能または命令が定義される。
これらの命令は、機能安全保護の基本線の基礎を形成す
る。各命令は、その入出力パラメータ、機能記述及び制
御ベクトル処理によって指定される。
保全性のために、命令は、安全な暗号機能内で完全に実
施されるように意図されている。
暗号設計の非常に強力で明確な特徴は、機能制限の原理
を厳格に遵守することである。この原理は、望ましい、
予期される暗号機能だけが許可され、他のものは許可さ
れないように暗号インターフェースを実施することを必
要とする。「他のものは許可されない」ことが重要であ
る。従来技術のシステムのアーキテクチャによるインタ
ーフェースを、そのアーキテクチャのもとて特に必要で
はないが、その実施態様によって禁止されてはいない形
で使用することによって、しばしば攻撃が発生すること
が判明している。
第１図は、暗号機構を含むデータ処理システムの構成図
を示す。第１図で、データ処理システム２は、暗号機能
アクセス・プログラムや第２図に示すアプリケーション
・プログラムなどのプログラムを実行する。これらのプ
ログラム出力暗号サービスは、制御ベクトルに関連する
暗号キーの管理を要求する。制御ベクトルの一般形式を
第１０図に示す。制御ベクトルは、関連するキーがその
発送者によって実行を許された機能を定義する。本明細
書に記載する暗号アーキテクチャの発明は、プログラム
が暗号キーに要求するキー管理機能が、キーの発送者に
よって許可されたことを妥当性検査する装置及び方法で
ある。
第１図に示すように、暗号機構４がデータ処理システム
２内に含まれ、または関連付けられている。暗号機構４
は、安全な境界（安全保護境界ともいう）６で特徴付け
られる。入出力経路８は、プログラムから暗号サービス
要求、暗号キー及びそれらに関連する制御ベクトルを受
け取るために安全境界６を通過する。入出力経路８は、
暗号機構からの暗号要求に対する応答を出力する。安全
境界６内には、バス・ユニット１２によって入出力経路
８に接続された暗号命令記憶機構１０が含まれている。
制御ベクトル検査機構１４が、記憶機構１０内の命令に
結合されており、暗号処理機構１６も命令記憶機構１０
に接続されている。マスク・キー記憶機構１８は暗号処
理装置１６に接続されている。暗号機構４は、受け取っ
たサービス要求に応答してキー管理機能を実行するため
の安全な場所をもたらす。
暗号命令記憶機構１０は、入出力経路８を介して、暗号
キーを用いてキー管理機能を実行することを求める暗号
サービス要求を受け取る。制御ベクトル検査機構１４は
、入出力経路８に接続された、暗号キーに関連する制御
ベクトルを受け取るための入力線ををする。制御ベクト
ル検査機構１４はまた、暗号命令記憶機構１０に接続さ
れた、制御ベクトルが暗号サービス要求から要求された
キー管理機能を許可するかどうか検査を開始する制御信
号を受け取るための入力線も有する。
制御ベクトル検査装置１４は、暗号処理機構１６の入力
線に接続された、暗号処理機構１６が許可信号を受け取
ると、暗号キーを用いて要求されたキー管理機能の実行
を開始する、キー管理機能が許可されたことを示す信号
を送るための許可出力線２０ををする。暗号キー記憶機
構２２は、入出力経路８を介して暗号機構１４に接続さ
れる。
暗号キー記憶機構２２は、暗号キーを暗号化された形で
記憶する。暗号キーは、関連制御ベクトルとマスク・キ
ー記憶機構１８に記憶されたマスク・キーの論理積であ
る記憶キーのもとて暗号化される。
暗号キー記憶機構２２から暗号キーを回復する例は、暗
号命令記憶機構１０が入出力経路８を介して、暗号キー
記憶機構２２から暗号キーを回復することを求める暗号
サービス要求を受け取るときに見られる。制御ベクトル
検査機構１４は、それに応答して、暗号キーを回復する
機能が許可されたことを示す許可信号を、線２０を介し
て暗号処理機構１６に出力する。次いで、暗号処理機構
１６は、線２０で許可キーに応答して、暗号キー記憶機
構２２から暗号化された形の暗号キーを受け取り、関連
制御ベクトルとマスク・キー記憶機構１８に記憶された
マスク・キーの論理積である記憶キーのもとて暗号化さ
れた形の暗号キーを非暗号化（復号化）するよう動作す
る。
記憶キーは、関連制御ベクトルとマスク・キー記憶機構
１８に記憶されたマスク・キーの排他的論理和である。
この論理積は好ましい実施例では排他的論理和演算であ
るが、他の形の論理演算でもよい。
関連制御ベクトルは、第２表にその一般書式を示すが、
それに関連する暗号化された形の暗号キーを用いて暗号
キー記憶機構２２に記憶される。暗号記憶機構に記憶さ
れたすべてのキーはマスク・キーのもとて暗号化されて
いるので、そこで暗号キーを暗号化及び非暗号化（復号
化）する均一な方法が実施できる。
第２表にその一般書式を示した関連制御ベクトルは、キ
ー管理機能、データ暗号化／非暗号化機能及び個人識別
番号（ＰＩＮ）処理機能を含む許可されたタイプの暗号
機能を定義するフィールドを含む。キー管理の応用分野
では、キー管理機能のタイプはタイプ・フィールドで指
定される。関連制御ベクトルは、キー及び関連する暗号
化された情報の搬出制御及び使用を定義できる、追加の
フィールドをも含む。
第１図に示す本発明は、キー・セットの生成を実行でき
る。キー・セットとは様々な使用クラスをもつ一対のキ
ーである。乱数発生源２６または暗号機構４の作業用記
憶機構２４に記憶された乱数は、バス１２を介して暗号
処理機構に接続された、乱数を暗号処理機構に供給する
ための入力線を有する。
次いで暗号命令記憶機構１０は、入出力経路８を介して
、関連する第１及び第２の制御ベクトルＣ３、Ｃ４を用
いて、乱数発生源２６からの乱数出力からキ一対を生成
することを求める暗号サービス要求を受け取る。次に、
制御ベクトル検査機構１４は、それに応答して、乱数か
らキ一対を生成する機能が許可されることを示す許可信
号を、線２０を介して暗号処理機構１６に出力する。次
に暗号処理機構１６は線２０上の許可信号に応答して、
第１生成キーとして乱数を暗号化された形で出力するよ
う動作する。この乱数は、第１の関連制御ベクトルＣ３
と第１のキーに１の論理積であるキーのもとて暗号化さ
れる。次に暗号処理機構１６は、さらに線２０上の許可
信号に応答して、第２の生成キーとして乱数を暗号化さ
れた形で出力するよう動作する。この乱数は、第２の関
連制御ベクトルＣ４と第２のキーに２の論理積であるキ
ーのもとて暗号化される。本発明によれば制御ベクトル
Ｃ３と０４によって許可される使用には、様々な組合せ
のものがある。１つの組合せは、構内データ処理システ
ム２で動作する２つのキーを生成するためのもので、こ
の場合、第１及び第２のキーに１とに２は乱数であり、
第１及び第２の制御ベクトルＣ３と０４だけが構内デー
タ処理システム４内での操作のための使用を許可する。
第２の組合せは、構内データ・プロセッサでだけ動作す
る第１の生成キーと、構内システム２に接続された遠隔
データ処理システム３０に搬出可能な第２の生成キーを
生成するためのもので、この場合、第１のキーに１は乱
数であり、第１の制御ベクトルＣ３は、構内データ処理
システム２内での操作のための使用のみを許可するが、
第２のキーに２はキー暗号化キーＫＥＫ２であり、第２
の制御ベクトルＣ４は遠隔データ処理システム３０への
搬出を許可する。第３の場合は、構内データ処理システ
ム２に接続された第１の遠隔データ処理システム３０に
搬出可能な第１の生成キーと構内データ処理システム２
に接続された第２の遠隔データ処理システム３０′に搬
出可能な第２の生成キーを生成するためのもので、この
場合、第１のキーに１はキー暗号化キーＫＥＫ１であり
、第１の制御８− 御ベクトルＣ３は第１の遠隔データ処理システムへの搬
送を許可するが、第２のキーに２はキー暗号化キーＫＥ
Ｋ２であり、第２の制御ベクトルＣ４は第２の遠隔デー
タ処理システム３０′への搬出を許可する。第４の組合
せは、構内データ処理システム２中でのみ動作する第１
の生成キーと構内システム２に接続された遠隔データ処
理システム３０から搬入可能な第２の生成キーを生成す
るためのもので、この場合、第１のキーに１は乱数であ
り、第１の制御ベクトルＣ３は構内データ処理システム
２内での操作のための使用のみを許可するが、第２のキ
ーに２はキー暗号化キーＫＥＫ２であり、第２の制御ベ
クトルＣ４は遠隔データ処理システム２から構内データ
処理システム２への搬入を許可する。第５の場合は、構
内データ処理システム２に接続された第１の遠隔データ
処理システム３０から搬入可能な第１の生成キーと構内
システム２に接続された第２の遠隔データ処理システム
３０”に搬出可能な第２の生成キーを生成するためのも
ので、この場合、第１のキーに１はキー暗号化キーＫＥ
Ｋ　１であり、第１の制御ベクトルＣ３は第１の遠隔デ
ータ処理システム３０からの搬入を許可するが、第２の
キーに２はキー暗号化キーＫＥＫ２であり、第２の制御
ベクトルＣ４は第２の遠隔データ処理システム３０’へ
の搬出を許可する。
第１図に示した本発明は、次のようにしてマスク・キー
機能から再暗号化動作を実行することができる。データ
処理システム２は、通信リンク２８を介して、プライバ
シ・キー暗号化キーＫＥＫを共用する遠隔データ処理３
０に接続されている。
暗号キー記憶機構２２は、キー暗号化キーＫＥＫを暗号
化された形で記憶する。ＫＥＫは、関連制御ベクトルＣ
１とマスク・キーの論理積である記憶キーのもとて暗号
化される。
暗号命令記憶機構１０は、入出力経路８を介して、遠隔
データ処理システム３０に搬出する目的で、関連制御ベ
クトルＣ３を用いて、暗号キーＫをマスク・キーからキ
ー暗号化キーＫＥＫによる暗号に再暗号化することを求
める暗号サービス要求を受け取る。制御ベクトル検査機
構には、それに応答して搬出のため暗号キーＫをマスク
・キーからキー暗号化キーによる暗号に再暗号化する機
能が許可されたことを示す許可信号を線２０を介して暗
号処理機構１６に出力する。
暗号処理機構１６は、線２０上の許可信号に応答して、
暗号キー記憶機構２２から暗号化された形の暗号キーＫ
を受け取り、関連制御ベクトルＣ２とマスク・キーの論
理積である記憶キーのもとて暗号化された形の暗号キー
を非暗号化（復号化）するよう動作する。暗号処理機構
１６はさらに、線２０上の許可信号に応答して、暗号キ
ー記憶機構２２から暗号化された形のキー暗号化キーＫ
ＥＫを受け取り、関連制御ベクトルＣ１とマスク・キー
の論理積である記憶キーのもとて暗号化された形のキー
暗号化キーを非暗号化（復号化）するよう動作する。
次に暗号処理機構１６は、線２０上の許可信号に応答し
て、暗号キーを関連制御ベクトルＣ３とキー暗号化キー
の論理積のもとて再暗号化し、再暗号化された暗号キー
にと関連制御ベクトルＣ３を出力して、通信リンク２８
を介して第１の遠隔データ処理システム３０に送る。
第１図に示した本発明は、次のようにしてマスク・キー
機能への再暗号化動作を実行することができる。データ
処理システム２は、通信リンクを介して、プライバシ・
キー暗号化キーＫＥＫを共用する遠隔データ処理システ
ム３０に接続されている。暗号キー記憶機構２２は、キ
ー暗号化キーＫＥＫを暗号化された形で記憶する。ＫＥ
Ｋは、関連制御ベクトルＣ１とマスク・キーの論理積で
ある記憶キーのもとで暗号化される。
遠隔データ処理システム３０は、通信リンク２８を介し
て、関連制御ベクトルＣ３を用いてキー暗号化キーＫＥ
Ｋのもとて暗号化された暗号キーＫを、構内データ処理
システム２に送信する。暗号命令記憶機構１０は入出力
経路８を介して、暗号キー記憶機構２２に記憶するため
、関連制御ベクトルＣ２を用いて暗号キーＫをキー暗号
化キーＫＥＫからマスタ・キーによる暗号に再暗号化す
ることを求める暗号サービス要求を受け取る。次に制御
ベクトル検査機構１４は、それに応答して、記憶するた
め、キー暗号化キーＫＥＫからマスタ・キーによる暗号
に暗号キーＫを再暗号化する機能が許可されたことを示
す許可信号を、線２０を介して暗号処理機構１６に出力
する。次いで、暗号処理機構１６は、線２０上の許可信
号に応答して、制御ベクトルＣ２を用いてキーＫをキー
暗号化キーＫＥＫからマスタ・キーによる暗号に再暗号
化するよう動作して、再暗号化されたキーＫを暗号キー
記憶機構２２に出力する。
第１図に示した本発明はさらに、次のようにして単一キ
ーを生成するために適用することができる。乱数発生源
２６は、バス１２を介して暗号処理機構１６に接続され
た、乱数を供給するための出力線を有する。暗号命令記
憶機構１０は、入出力経路８を介して、関連制御ベクト
ルＣ１を用いて乱数からキーを生成することを求める暗
号サービス要求を受け取る。制御ベクトル検査機構１４
は、それに応答して、乱数からキーを生成する機能が許
可されたことを示す許可信号を、線２０を介して暗号処
理機構１６に出力する。暗号処理機構１６は、線２０上
の許可信号に応答して、暗号化された形の生成キーとし
て乱数を出力するよう動作する。乱数は、関連制御ベク
トルＣ１とマスク・キーの論理積であるキーのもとて暗
号化される。
第１図に示した本発明は、次のようにキー変換機能を実
行するよう動作することができる。第１図のデータ処理
システム２は、通信リンク２８を介して秘密搬入キー暗
号化キーＫＥＫ１を共用する第１の遠隔データ処理シス
テム３０に接続された構内システムである。構内データ
処理システム２は、通信リンク２８゛を介して、秘密搬
出キー暗号化キーＫＥＫ２を共用する第２の遠隔データ
処理システムにも接続されている。暗号化キー記憶機構
２２は、搬入キー暗号化キーＫＥＫ１を暗号化された形
で記憶する。ＫＥＫｌは、関連制御ベクトルＣ１とマス
ク・キーの論理積である記憶キーのもとて暗号化される
。暗号記憶キー２２は、搬出キー暗号化キーＫＥＫ２を
暗号化された形で記憶する。ＫＥＫ２は、関連制御ベク
トルＣ２とマスク・キーの論理積である記憶キーのもと
て暗号化される。
第１の遠隔データ処理システム３０は、関連制御ベクト
ルＣ３を用いて搬入キー暗号化キーのもとて暗号化され
た暗号キーＫを、通信リンク２８を介して構内データ処
理システム２に送る。暗号命令記憶機構１０は、通信リ
ンク２８′を介して第２のデータ処理システム３０′に
送るため、関連制御ベクトルＣ３を用いて搬入キー暗号
化キーＫＥＫ１による暗号から搬出キー暗号化キーＫＥ
Ｋ２による暗号に暗号キーＫを変換することを求める暗
号要求を、入力経路８を介して受け取る。
制御ベクトル検査機構１４は、それに応答して、搬入キ
ー暗号化キーＫＥＫ１による暗号から搬出キー暗号化キ
ーＫＥＫ２による暗号に暗号キーＫを変換する機能が許
可されたことを示す許可信号を、線２０を介して暗号処
理機構１６に出力する。
暗号処理機構１６は、線２０上の許可信号に応答して、
通信リンク２８′を介して第２データ処理システム３０
’に送るため、関連制御ベクトルＣ３を用いて搬入キー
暗号化キーＫＥＫ１による暗号から搬出キー暗号化キー
ＫＥＫ２に暗号キーＫを変換するよう動作する。
構内データ処理システム２がキーＫを読み取りあるいは
キーＫを用いて動作するのを防止するために、制御ベク
トルＣＬＣ２及びＣ３を用いて、様々な制限を適用する
ことができ、したがってキーＫを発信元データ処理機構
３０から宛先データ処理機構３０’に安全に転送するこ
とができる。
第１図に示した本発明は、次のようにして現在のマスク
・キーから新しいマスク・キー機能への再暗号化を実行
するよう動作することができる。
作業用記憶機構２４など現マスク・キー記憶機構は現在
のマスク・キーを記憶し、新しいマスク・キーはマスク
・キー記憶機構１８に記憶でき、現マスク・キー記憶機
構２４とマスク・キー記憶機構１８も暗号処理機構１６
と暗号機構４に接続されている。暗号キー記憶機構２２
は、キーになどの暗号キーを暗号化した形で記憶する。
キーには、関連制御ベクトルＣ１と現マスク・キーの論
理積である記憶キーのもとて暗号化される。暗号命令記
憶機構は、関連制御ベクトルＣ１を用いて暗号キーを現
マスク・キーから新マスク・キーによる暗号に再暗号化
することを求める暗号サービス要求を入出力経路８を介
して受け取り、制御ベクトル検査機構は、それに応答し
て、暗号キーＫを現マスク・キーから新マスク・キーに
よる暗号に再暗号化する機能が許可されたことを示す許
可信号を、線２０を介して暗号処理機構１６に出力する
。
暗号処理機構１６は、線２０上の許可信号に応答して、
暗号記憶機構２２から暗号化された形の暗号キー■〈を
受け取り、関連制御ベクトルＣ１と現マスク・キーの論
理積である記憶キーのもとて暗号化された形の暗号キー
を非暗号化（復号化）するよう動作する。次に、暗号処
理機構１６は線２０上の許可信号に応答して、関連制御
ベクトルＣ１と新マスク・キーの論理積のもとて暗号キ
ー■〈を再暗号化し、再暗号化された暗号キーにと関連
制御ベクトルＣ１を暗号キー暗号機構２２に出力するよ
う動作する。
第１図に示した本発明は、キーを使用するために制御ベ
クトルによって指定された権限を低下させるよう動作す
る。これは次のようにして実行される。暗号キー記憶機
構２２は、暗号キーをキーにとして暗号化された形で記
憶する。キーには、関連制御ベクトルＣ１とマスク・キ
ーの論理積である記憶キーのもとて暗号化される。関連
制御ベクトルＣ１は、たとえば搬出制御を定義するフィ
ールドを含む。暗号命令記憶機構１０は、入出力経路８
を介して、関連制御ベクトルＣ１の制御ベクトル権限を
低下させることを求める暗号サービス要求を受け取り、
制御ベクトル検査機構１４は、それに応答して、関連制
御ベクトルＣ１の制御ベクトル権限を低下させる機能が
許可されたことを示す許可信号を、線２０を介して暗号
処理機構１６に出力する。
次に暗号処理機構１６は線２０上の許可信号に応答して
、暗号キー記憶機構２２から暗号化された形の暗号キー
■〈を受け取り、関連制御ベクトルＣ１とマスク・キー
の論理積である記憶キーのもとて暗号化された形の暗号
キーを非暗号化（復号化）する。次に、暗号処理機構１
６は、線２０上の許可信号に応答して、関連制御ベクト
ルＣ１を第２の制御ベクトルＣ２で置換する。第２の制
御ベクトルＣ２は、前の制御ベクトルＣ１に対して指定
された権限よりも低い権限を指定する搬出制御フィール
ドを有する。次に、暗号処理機構１６は、線２０上の許
可信号に応答して、第２の制御ベクトルＣ２を用いてマ
スク・キーのもとてキーＫを暗号化し、第２の制御ベク
トルＣ２を用いて暗号キーＫを暗号記憶機構２２に出力
するよう動作する。
第１図に示した本発明は、次のようにして受領者の搬出
権限がより低いマスク・キー機能からの再暗号化を実行
するよう動作する。データ処理システムは、プライバシ
・キー暗号化を共用する第１の遠隔データ処理システム
３０に接続された構内データ処理システム３０である。
暗号記憶機構２２は、キー暗号化キーＫＥＫを暗号化さ
れた形で記憶する。キー暗号化キーＫＥＫは、関連制御
ベクトルＣ１とマスク・キーの論理積である記憶キーの
もとて暗号化される。暗号キー記憶機構２２は、暗号キ
ーをキーにとして暗号化された形で記憶する。キーには
関連制御ベクトルＣ２とマスク・キーの論理積である記
憶キーのもとて暗号化され、関連制御ベクトルＣ２は第
１の搬出権限を指定する搬出フィールドを有する。暗号
命令機構１０は、関連制御ベクトルＣ２と共に第１の遠
隔データ処理システム３０に搬出するため、暗号キーＫ
をマスク・キーからキー暗号化キーＫＥＫによる暗号化
に再暗号化することを求める暗号サービス要求を、入出
力経路８を介して受け取る。関連制御ベクトルＣ３は、
Ｃ２の第１の搬出権限より小さな第２の搬出権限をもつ
。
制御ベクトル検査機構１４は、それに応答して、搬出の
ためマスク・キーからキー暗号化キーＫＥＫによる暗号
化に再暗号化する機能が許可されたことを示す許可信号
を、線２０を介して暗号処理機構１６に出力する。暗号
処理機構１６は、線２０上の許可信号に応答して、暗号
キー記憶機構２２から暗号化された形の暗号キーＫを受
け取り、関連制御ベクトルＣ２とマスク・キーの論理積
である記憶キーのもとて暗号化された形の暗号キーを非
暗号化（復号化）するよう動作する。暗号処理機構１６
は、線２０上の許可信号に応答して、暗号キー記憶機構
２２から暗号化された形のキー暗号化キーＫＥＫを受け
取り、関連制御ベクトルＣ１とマスク・キーの論理積で
ある記憶キーのもとて暗号化された形のキー暗号化キー
を非暗号化（復号化）するよう動作する。
暗号処理機構１６は、線２０上の許可信号に応答して、
関連制御ベクトルＣ３とキー暗号化キーＫＥＫの論理積
のもとて暗号キーＫを再暗号化するよう動作して、第１
の遠隔データ処理システム３０に送るため再暗号化され
た暗号キーにと関連制御ベクトルＣ３を出力する。関連
制御ベクトルＣ３の搬出フィールドで指定される権限は
低いので、第１の遠隔データ処理システムはこのとき、
暗号キーにの再搬出のための権限が低くなっている。
第１図に示した本発明はさらに、次のようにしてリンク
制御動作を行なうことができる。関連制御ベクトルは、
遠隔データ処理システム３の特性のために、暗号キーに
関連する制御ベクトルを、構内データ処理システムから
それに接続された遠隔データ処理システム３０への伝送
から外すかどうかを指定するリンク制御を定義するフィ
ールドを含む。たとえば、遠隔データ処理システムは、
制御ベクトルを同化しくａｓｓｉｍｉｌａｔｉｎｇ）処
理することができないことがある。制御ベクトルは、伝
送時に関連暗号キーから分離させることができるが、そ
の結果関連する暗号キーによって実行される動作の安全
保護上の信頼性が低くなる。このようにして、制御ベク
トルを使用できる構内データ処理システム２などのシス
テムは、制御ベクトルを使用できる能力をもたない遠隔
システムで与えられるよりも高い安全保護上の信頼性を
もつ。関連制御ベクトルはまた、それに関連するキーが
ＡＮＳＩ型デー少データ処理システムて遠隔処理３０と
して処理できるかどうかを指定するフィールドも含むこ
とができる。
第１図に示した本発明は、第２表に一般的に示す関連制
御ベクトルを有する。関連制御ベクトルは、互いに排他
的な２つの所期の用途に基づいてキー暗号化キーの分離
を実施するフィールドを含む。第７図に、それらの所期
の用途により様々なキー暗号化キーを分離する構成を示
す。たとえば、認証されたキーと未認証のキーが互いに
排他的な所期の用途である。もう１つの形の互いに排他
的な所期の用途は、制御ベクトルを使用する第１のタイ
プのキー暗号化キーと、それを使用しない第２のタイプ
のキー暗号化キーである。互いに排他的な所期の用途の
もう１つの例は、送信側のみによって使用される第１の
タイプのキー暗号化キーと、受信側のみによって使用さ
れる第２のタイプのキー暗号化キーである。制御ベクト
ルでキー分離を実施する互いに排他的な所期の用途の別
の例は、マスク・キーのもとで記憶された既存のデータ
・キーの搬出が不可能な、キー・セットの生成と発送の
ためのキーの変換に使用できる第１のタイプのキー暗号
化キーと、マスク・キーのもとで記憶された従来のデー
タ・キーの搬出が可能な、キー・セットの生成に使用で
きる第２のタイプのキー暗号化キーである。制御ベクト
ルでキー分離を実施する互いに排他的な所期の用途の他
の例は、搬出のためのみに生成できる第１のタイプのキ
ー暗号化キーと、操作のための使用及び搬出のために生
成できる第２のタイプのキー暗号化キーである。制御ベ
クトルでキー分離を実施する互いに排他的な用途の他の
例は、構内での操作のための使用が不可能な、変換に使
用できる第１のタイプのキー暗号化キーと、構内での操
作のための使用が可能な、変換に使用できる第２のタイ
プのキー暗号化キーである。制御ベクトルでキー分離を
実施する互いに排他的な所期の用途の他の例は、マスク
・キー動作からの再暗号化に使用できる第１のタイプの
キー暗号化キーと、マスク・キー動作からの再暗号化に
使用できない第２のタイプのキー暗号化キーである。
第２表に一般的に示したような制御ベクトルまたは、そ
れに関連する暗号キーが単長キーかそれとも倍長キーで
あるかを示すフィールドも含むことができる。
以下に、本発明の構成要素と動作のより詳細な説明を示
す。
第２図は、暗号サブシステムの主要構成要素を示す。暗
号サブシステムは、暗号機構（ＣＦ）、暗号機構アクセ
ス・プログラム（ＣＥＡＰ）及びアプリケーション・プ
ログラム（ＡＰ）から構成される。通常、ＣＦは、物理
的に安全なボックス内でハードウェアによって実施され
る。その実施態様に応じて、ＣＦ、ＣＦＡＰ及びＡＰを
すべて物理的に安全なボックスに納めることができる。
暗号機構４は次のものから構成される。
キー・レジスタ レジスタとそれらの用途を以下に説明する。
−マスタ・キー・レジスタ１８ マスク・キー・レジスタは１２８ビット幅で、マスク・
キーを含む。
一新マスク・キー（ＮＭＫ）レジスタ 新マスク・キー・レジスタは１２８ビット幅で、現マス
ク・キーになる新マスク・キーを含む。新マスク・キー
は、特殊命令の後でたけ現マスク・キーになり、新マス
ク・キーの値をマスク・キー・レジスタにロードするた
めＳＭＫ命令が発行される。
一旧マスク・キー・レジスタ 旧マスク・キー・レジスタは１２８ビット幅で、現マス
ク・キーで置換されたマスク・キーを含む。マスク・キ
ー更新機構は、現マスク・キーが旧マスク・キーになっ
た後で新マスク・キーが現マスク・キーになるようにな
っている。
−キ一部分レジスタ キ一部分レジスタは１２８ビット幅で、任意選択の安全
保護された物理インターフェースを介してＣＦに接続さ
れたキー・パッドやキー・ボードなどのキー・ローディ
ング装置を介して導入されるキ一部分（構成要素）また
は完全なキーの値を含む。
一作業用キー・レジスタ 性能上の理由で、システムは、それぞれ１２８ビット幅
で、迅速なアクセス用の即時作業用キーを含む作業用レ
ジスタを有する。たとえば、データを暗号化するのに使
用されるキーは、最初の使用時に暗号化された形でＣＦ
に入れられる。次に、それが非暗号化（復号化）されて
、平文値が作業用キー・レジスタの１つに記憶できる。
その後、データの暗号化または非暗号化（復号化）に使
用する際には、この平文値が特定の作業用キー・レジス
タから迅速にアクセスでき、したがってそれを使用する
前にキーを繰り返し非暗号化（復号化）するステップは
不用になる。
一プログラムＭＤＣレジスタ（ＰＭＤＣレジスタ） プログラムＭＤＣレジスタは６４ビット幅で、ＣＦ内の
プログラム・メモリにロードされるプログラムのＭＤＣ
を含む。
データ・セットＭＤＣレジスタ（ＤＭＤＣレジスタ） データ・セットＭＤＣレジスタは６４ビット幅で、その
保全性がＣＦＡＰによって妥当性検査されるデータ・セ
ットのＭＤＣを含む。
これは普通は少なくともキー記憶データ・セットである
。
暗号命令及び制御ベクトル検査アルゴリズム命令セット
及び制御ベクトル検査アルゴリズムは安全保護された暗
号機構で実施され、ランダム・アクセス・メモリである
暗号命令記憶機構１０に記憶される。それらのアルゴリ
ズムは、暗号処理機構１６として動作できるインテル８
０２８６などのマイクロプロセッサで実行される。制御
ベクトル検査機構１４も暗号処理機構１６で実施でき、
あるいは、制御ベクトル検査機構１４として働くインテ
ル８０２８６など第２のマイクロプロセッサによって実
施できる。
プログラム・メモリ及び処理エンジン ＝３８ このシステムは、ＣＦ内のメモリを利用してユーザのプ
ログラムを記憶することも、処理エンジンを利用してプ
ログラムを実行することもできる。
この例は、新しいＰＩＮ形式に対するＰＩＮ検査のため
の新しいアルゴリズムを実行するプログラムまたはマク
ロである。
乱数生成機構２６ 乱数生成機構は、６４ピツト擬似乱数を作成するアルゴ
リズム手順である。アルゴリズム自体は秘密ではないが
、１２８ビツトのプライバシ・キー２個と６４ビツトの
秘密でない増分カウンタ１個を使用する。秘密でないに
もかかわらず、カウンタの保全性及び適切な管理が安全
保護にとって不可欠である。
暗号機構（ＣＦ）は、暗号命令記憶機構１０内にデータ
暗号アルゴリズム及び少数のキー及びデータ・パラメー
タ用の記憶機構を含む安全な実施態様である。この機構
には、処理要求、キー及びデータ・パラメータを提示し
、変換された出力を受け取ることができる不可侵の（侵
入、詐欺に対して安全な）インターフェースを介してし
かアクセスできない。
ＡＮＳＩデータ暗号アルゴリズム（ＤＥＡ）は、商用デ
ータ安全保護製品用の標準的暗号アルゴリズムである。
ＤＥＡは、５６ビツトのプライバシ・キーｔ−使って６
４ビツトの平文テキストを暗号化し６４ビツトの暗号テ
キストを形成する、対称ブロック暗号アルゴリズムであ
る。ＤＥＡキーは、通常１バイトごとに１パリテイ・ビ
ットつきで記［れ、６４ビツトのキーを形成する。Ｄ　
Ｅ　Ａ　Ｌｔ、米国標準局許可の連邦データ暗号化標準
の基礎をなし、したがってＤＥＳとも呼ばれる。
暗号機構は、暗号ハードウェアに対して限られたアクセ
スしかできない内部の不正使用者による探索に耐えなけ
ればならない。「限られた」とは日や週ではなく分また
は時間単位のものである。
不正使用者は、複雑な電子機械機器を用いて不正使用者
の制御下にある場所から研究所を攻撃することができず
、限られた電子装置を用いてシステムが設置された位置
で探索攻撃を行なうしかない。
暗号機構は、物理的な探索または侵入の試みを検出しな
ければならない。これは、様々な電子機械式感知装置を
用いて行なわれる。
暗号機構は、内部に記憶されたすべての平文キーの自動
的ゼロ化を実行しなければならない。こうしたゼロ化は
、探索や侵入の試みが検出されたとき、自動的に実行さ
れなければならない。暗号機構は、フロント・パネル・
インターフェースを介してキー記憶機構をゼロ化する手
動能力も備えていなければならない。
暗号機構は、１つのマスク・キーＫＭを含む。
他のキーはすべて、マスク・キーと存効制御ベクトルの
排他的論理和を取ることによって形成されるキーのもと
て暗号化された大量記憶機構中に常駐できる。暗号機構
の例の説明は、「端末を用いる暗号通信及びファイル安
全保護（Ｃｒｙｐｔｏｇｒａｐｈ　ｉｃＣｏｍｍｕｎｉ
ｃａｔｉｏｎｓ　ａｎｄ　Ｆｉｌｅ　５ｅｃｕｒｉｔｙ
　ＵｓｉｎｇＴｅｒｍｉｎａｌｓ）　Ｊと題するＥｈｒ
ｓａｍの米国特許第４３８６２３４号明細書に出ている
。
ＣＦＡＰは、ＣＦとアプリケーション・プログラムの間
のプログラミング・インターフェースである。ユーザは
暗号機構に直接アクセスできないので、ＣＦＡＰは、ユ
ーザがＣＦに特定の動作を実行することを要求する際に
使われるプログラミング・インターフェースである。
ＣＦＡＰに、暗号キーが記憶されるＣＦ外のキー記憶機
構が関連付けられている。平文キーはＣＦ外では記憶さ
れない。キー記憶機構２２を本明細書では「暗号キー・
データ・セットＪ　　（ＣＫＤＳ）とも呼ぶ。
ＣＦＡＰは通常下記のものから構成される。
上記のキー記憶機構に記憶されたキーを管理するキー記
憶マネージャ ユーザが暗号機能を実行するためにＣＦにアクセスする
のに使用するＣＦＡＰマクロアプリケーション・プログ
ラムには、ユーザのアプリケーション・プログラム、キ
ー導入ユーティリティなどのユーティリティ、及びＩＢ
Ｍ　　ＶＴＡＭなどの通信プログラムが含まれる。
ユーザのアプリケーション・プログラムは、特定のタス
クを実行するためにあるＣＦＡＰマクロを呼び出すステ
ートメントから構成される。上記のように、ＣＦＡＰは
、アプリケーション・プログラムがＣＦに暗号動作を実
行するよう要求するために使える唯一のインターフェー
スである。たとえば、ユーザがファイルをネットワーク
」−の他のノードに送る前にそれを暗号化しようとして
いる。ユーザのアプリケーション・プログラムは、キー
を生成するためにＣＦＡＰマクロを呼び出ス１つのステ
ートメント、及び所与のキーでファイルのデータを暗号
化するために他のＣＦＡＰマクロを呼び出すもう１つの
ステートメントを有する。
ユーザのアプリケーション・プログラムのもう１つの例
は、」二記の導入プログラムと類似の、システム上でキ
ーの手動導入が可能なものである。
第３図は、複数システム通信環境で様々なアプリケーシ
ョンの間にキーを分配するための制御ベクトルの使用を
示す。互換性のために、いくつかのキーは制御ベクトル
なしで分配しなければならないことに留意されたい。
表記法 ＣＢ ＢＣ ＫＭ ＫＥＫ ＊Ｋ （＊）Ｋ Ｄ ＫＫ ＊ＫＫ ＫＫ。
＊ＫＫ。
（＊）ＫＫ。
＊ＫＫＮ　Ｉ ＊ＫＮ ｃＸ ｘＬ ｘＲ 以下の表記法を本明細書で使用する。
電子コード・ブック 暗号ブロック連鎖 １２８ビツト・マスク・キー １２８ビツト・キー暗号化キー ６４ビツト・キー １２８ビツト・キー ６４または１２８ビツト・キー ６４ビツト・データ暗号化キー ６４ビツト・キー暗号化キー １２８ビツト・キー暗号化キー オフセット６４ビツト・キー暗号化キーオフセット１２
８ビツト・キー暗号化キーオフセット６４または１２８
ビツト・キー暗号化キー １２８ビツト部分認証キー暗号化キー １２８ビット認証キー、＊ＫＫＮＩｏと等価６４ビット
制御ベクトル ６４ビツト左制御ベクトル ６４ビツト右制御ベクトル ＸＯＲまたはｘｏｒ　　排他的論理和演算Ｏｒ　　　　
　　論理和演算 Ｘ゛０“　　　　１６進表記 １１　　　　　　連結演算 ［ｘ］　　　　　　任意選択パラメータＸｎｏｔ＝　　
　　　　　不等号 Ｅまたはｅ　　　１重暗号化 りまたはｄ　　　１重非暗号化（復号化）ＥＤＥまたは
ｅｄｅ　　３重暗号化 ＤＥＤまたはｄｅｄ　　３重非暗号化（復号化）式　　
　　　　　各命令の機能はＩＩ、Ｉ２．Ｉ３．Ｉ４．、
、、−一−０１，０２，０３゜９９．の形で数学的に示
される。
ただし、ＩＩ、Ｉ２．Ｉ３は関数への入力であり、０１
．乾。
０３、、、、は関数からの出力である。
ＫＭ、Ｃｘ　　　　　　（ＫＨ［、ＸＯＲＣｘ）　１１
　（ＫＭＲＸＯＲＣｘ）＝ＫＭＹ　ＩＩＫＭＸ。
ただし、ＫＭＬ＝マスタ・キーＫＭの左６４ビツト ＫＭＲ＝マスタ・キーＫＭの右６４ビツト にＭＹ−ＫＭＬＸＯＲＣｘ ＫＭＸ　　＝Ｋ１４ＲＸＯＲＣｘ ｅ：ＫＭ、ｃｘ（ｋｅｙ）　　　ｅ：ＫＭ、ｃｘ（ｋｅ
ｙ）　＝ｅＫ）４Ｙ（ｄＫＭＸ（ＥＫＭＹ（ｋｅｙ））
たたし、ＫＭＹ　　二Ｋ）ＩＬ　ＸＯＲＣｘＫＭＸ　　
＝ＫＭＲＸＯＲＣｘ ｅ：ＫＥＫｎ、ｃＸ（ｋｅｙ）　　ｅ：ＫＥＫｎ、ｃｘ
（ｋｅｙ）　＝　ｅＫＥＫＹ（ｄＫＥＫＸ（ｅＫＥＫＹ
（ｋｅｙ）））ただし、ＫＥＫＹ　＝ＫＥＫｎＬ　ＸＯ
ＲＣｘＬＫＥＫＸ　＝ＫＥＫｎＲＸＯＲＣｘＲ ｋｅｙ＝６４ビット・キー ｅ：ＫＭ、ｃｘｌ、（ＫＥＫｎＬ）　ｅ：ＫＭ、ｃｘｌ
、（ＫＥＫＩ、）　＝ｅＫＭＹ）ｄＫＭＸ（ｅＫＭＹ（
ＫＥＫｎＬ）））ただし、ＫＥＫＩ、＝　ＫＥＫの左６
４　ビットＫＭＹ　　＝ＫＭＬ　ＸＯＲＣｘＬ ＫＭＸ　　：ＫＭＲＸＱＲＣｘＬ ｅ：ＫＭ、ｃｘＲ（ＫＥＫｎＲ）　ｅ：ＫＨ，ｃｘＲ（
ＫＥＫＲ）　＝ｅＫ）ＪＹ（ｄＫＭＸ（ｅＫＭＹ（ＫＥ
ＫｎＲ）））ただし、ＫＥＫＲ＝　ＫＥＫの右６４　ビ
ットＫＭＹ　　＝Ｋ）ＩＬ　ＸＯＲＣｘＲ ＫＭＸ　　：ＫＭＲＸＯＲＣｘＲ ｅ：ＫＥＫｏ（ｋｅｙ）　　　ｅ：ＫＥＫｏ（ｋｅｙ）
　：ｅＫＥｍｏ（ｄＫＥＫＲｏ（ｅＫＥＫＬｏ（ｋｅｙ
）ただし、ＫＥＫＬｏ　＝　ＫＥＫＬ　ＸＯＲｃｎｔｒ
ＫＥＫＲｏ　＝　ＫＥＫＲＸＯＲｃｎｔｒｃｎｔｒ＝Ｋ
ＥＫの暗黙６４ビツト・キー・メツセージ・カウンタ ｋｅｙ　　＝６４ビット・キー キーの暗号分離 本発明では、キーは、キー形式とキー使用属性に応じて
次のように暗号分離される。
１、このアーキテクチャは、暗号キーが規定された所期
の方法でしか使用できないことを保証する。
２、内部分離とオン・ザ・リンク分離。内部（すなわち
、暗号機構内）では、キーは制御ベクトルまたは他の適
切なまたは等価な機構によって分離される。
３、ハードウェア実施とソフトウェア実施。ある暗号分
離はハードウェアで実施される。他の暗号分離はソフト
ウェアを用いて実施できる。
４、制御ベクトル・キー・タイプと互換性モード・キー
・タイプ。互換性モード・キー・タイプで安全保護が低
下しないように、これら２つのクラスのキー・タイプの
生成、分配、使用を支配する数種の規則が課される。
５、本発明によってもたらされる必要なキー分離のリス
トを以下に列挙する。
ａ）データのプライバシ：ＭＡＣＶＥＲとＭＡＣＧＥＨ
の分離。メールボックス、投票などの公開キー・プロト
コルを可能にする。
ｂ）　デー９ＭＡＣ：　ＭＡＣＶＥＲとＭＡＣＧＥＨの
分離。認証（電子署名と等価）を可能にする。
Ｃ）データＸＬＡＴＥ　：中間装置が暗号化データを非
暗号化（復号化）できない、安全な変換チャネルを確立
できる。
ｄ）データＣＯＭＰＡＴ　：他のデータ・キーの安全保
護を弱めずに互換性モードを可能にする。
ｅ）データＡＮＳＩ：どちらの手法の安全保護も喪失さ
せずにＡＮＳＩ　　Ｘ９．１７キー管理を非ＡＮＳＩ　
　Ｘ９．１７キー管理と共存可能にする。
ｆ）キー暗号化キー：　ＫＥＫ受信側とＫＥＫ送信側の
分離。
ｇ）ＰＩＮキー：ＰＩＮ暗号化キーとＰＩＮ生成キーの
分離。
以下に示す表記法が第４図ないし第７図及び第１表で使
用される。
表記法： 分離文字と優先順位番号は、ボックス外の各線の付近に
置く。
分離文字は以下の記述に対応する。
優先順位番号の範囲（工ないし４）は以下のように解釈
するものとする。
１、絶対に必要 ２、強く推奨される ３、推奨される ４、望ましい 基本キーの分離 第４図に、基本的暗号キーの分離を示す。分離の説明は
下記に示す。
１、Ａ、データ・キーとＫＥＫ及びＰＩＮキーＫＤ（デ
ータ・キー）がＫＥＫ及びＰＩＮから分離されない場合
、データ・キーと共に使用されるデータ非暗号機能を悪
用してＫＥＫとＰＩＮを非暗号化（復号化）することが
できる。
２、Ｂ、キー暗号化キーとＰＩＮキー ＫＥＫ　（ＫＥＫ暗号キー）がＰＩＮキーから分離され
ない場合、外部者が暗号化されたＰＩＮブロックを電話
で盗聴して、暗号化されたＫＤの代わりにそれを再試行
することが可能になる。前もって、内部の共犯者が、暗
号化され記憶されたＫＥＫを受信側ノードの暗号キー・
データ・セット内の暗号化され記憶されたＰＩＮキーで
置換することができる。次いでＰＩＮブロックを回復し
、受信側ノードでデータ・キーとして使用する。その後
、このＰＩＮブロックをデータ・キーとして使って暗号
化されたデータは、ＰＩＮの可変性（通常、１０進法で
４ないし６桁）がランダム５６ビツト・データ・キーよ
りずっと少ないので、キーの徹底的攻撃をずっと受けや
すくなる。
データ・キーの分離 第５図は、データ・キー分離の流れ図を示す。
この分離の理由は下記に示す。
１、Ａ−認証とプライバシ 平文とＭＡＣキーで暗号化された当該の暗号テキストと
を収集できる内部者は、ＭＡＣ処理手順に対して攻撃を
行なうことができる。たとえば、ＭＡＣアルゴリズムに
よって認証され受け入れられる不正なメツセージ及びＭ
ＡＣを構成することが可能となる。したがって、暗号化
／非暗号化（復号化）に使用するデータ・キーは、デー
タの認証に使用するべきではない。
リンク上では、傍受されたデータ・キーをＭＡＣキーの
代わりに使用できる場合、（そのデータ・キーによる）
伝送された暗号テキストを使って、不正なメツセージと
ＭＡＣを構成することができる。
Ｂ−Ｘｌａｔｅ暗号テキストとプライバシ定義により、
Ｘ　ｌ　ａ　ｔ　ｅ暗号テキストは、データ・キーの対
ＫＤＩとＫＤ２の使用を暗示する。
その場合、ＫＤｌのもとて暗号化された暗号テキストが
ＫＤＩのもとて非暗号化（復号化）され、次いで呼出し
側アプリケーション・プログラムにデータをさらすこと
なくＫＤ２のもとて再暗号化される。そうでないと、既
存の非暗号機能及び暗号機能を使ってＸ１ａｔｅ暗号テ
キストが実行できることになる。
Ｃ−ＡＮＳＩとその他すべて ＡＮＳ　Ｉキーは、キー分配用のそれ自体のプロトコル
と、ＡＮＳＩ　　ＣＯＭＢＩＮＥ　　ＫＥＹと呼ばれる
追加の可能な用途をもつ。これらの相違により、すべて
のＡＮＳＩＮＳ用に別のプールが必要となる。
Ｄ−データ互換性とその他すべて データ互換性キーは、ＩＢＭ　　ＣＵＳＰ／３８４８、
ＩＢＭ　　ＰＣＦＭ１１ＢＭ４７００など以前のシステ
ムと互換性をもたせるという要件のために存在する。こ
れらのシステムで実施された内部分離は、プライバシ・
キーからＭＡＣを分離するレベルまでは及ばないので、
これらのキーをこうした改良された分離レベルを支援す
るＣ■平キーら区別する必要がある。
２、Ｂ−ＭＡＣＧＥＮ、！＝ＭＡＣＶＥＲメツセージと
ＭＡ、Ｃを誰が発信したかを「証明」するための監査証
跡をもたらす。この方法は、ＣＦと同様に安全ではなく
、ＣＦに記憶されたキーの保全性と安全保護に対する相
互信頼を前提としている。
３、Ｃ−暗号化と非暗号化（復号化） 暗号機能と非暗号機能の真の分離を行ない、したがって
同じデータ・キーのもとて非暗号化（復号化）する権利
を扱わずに、データをそのデータ・キーのも七で暗号化
できる。たとえば、暗号化のみのデータ・キーは、「秘
密投票」方式で使用できる。非暗号化（復号化）のみの
データ・キーは、ユーザがあるデータを読み取ることは
許可されているが書き込むことは許可されていない環境
で使用できる。
ＰＩＮキーの分離 第６図は、ＰＩＮキー分離の流れ図を示す。この分離の
理由は下記に示す。
１、Ａ−ＰＩＮ生成キーとＰＩＮ暗号化キーＰＩＮブロ
ックを有効ＩＤ値に等しくさせ、ＰＩＮ暗号化キーでは
なくてＰＩＮ生成キーのもとて暗号化させることができ
る内部者が、ＰＩＮをさらすことができる。
２、Ｂ−ＰＩＮ生成機能とＰＩＮ暗号化機能ＰＩＮ生成
中に、暗号化ＰＩＮ属性により、平文ＰＩＮを生成させ
るＰＩＮ生成キーを、暗号化されたＰＩＮを常に出力し
なければならないＰＩＮ生成キーから分離することが可
能になる。
３．０−ＰＩＮブロック作成及びＰＩＮ生成とＰＩＮ再
フォーマット化、ＰＩＮ検査及びＰＩＮＸｌａｔｅ　　
ＰＩＮ暗号化キーをＰＩＮ再フォーマット化、ＰＩＮ検
査及びＰＩＮ　　Ｘ１ａｔｅなどの日常的ＰＩＮ処理機
能と共に使用しても、ＰＩＮキーが使用または作成され
、あるいはその他の方法でＰＩＮが電子速度でネットワ
ークに「導入」できるようにはならない。そうできるよ
うになれば、平文及び暗号化されたＰＩＮの辞書が電子
速度で収集されることが妨げられ、ＰＩＮを直接非暗号
化（復号化）せずともＰＩＮを攻撃し回復することが可
能になってしまう。どこで、いつ、どんな条件のもとで
ＰＩＮがシステムに導入されるかについて緊密な制御を
実施する必要がある。
−５４＝ ４、Ｄ−ＰＩＮブロック作成とＰＩＮ生成ネットワーク
内へのＰＩＮの導入に対してより大きな制御が実施でき
る。ＰＩＮブロックを作成する要件をもつノードは、必
ずしもＰＩＮを生成する権利または必要をもたない。
５、Ｅ−ＰＩＮ再フォーマット化及びＰＩＮ検査とＰＩ
ＮのＸ１ａｔｅ ネットワークへのＰＩＮの導入に対してより大きな制御
が実施できる。ＰＩＮブロックを変換する要件をもつノ
ードは、必ずしもＰＩＮを再フォ−マツト化または検査
する権利または必要をもたない。後の２つの機能を組み
合わせて使って、外部攻撃を介してＰＩＮを駆使するこ
とができるが、Ｘ１ａｔｅ　　ＰＩＮ機能は、いくつか
のノードが使用しても完全な処理能力を失うことはない
。
キー暗号化キーの分離 第７図は、キー暗号化キー分離の流れ図を示す。
分離の理由は、下記に示す。
１、Ａ−認証と非認証 内部者は、キーのバリアントが旧オフセット・カウンタ
値に等しくなるように、オフセットと共に使用されるよ
う意図されたキーを、オフセット／認証なしに使用させ
ることができる場合もあり、逆に、キーのオフセットが
、暗号機構内で特権モードでまたは許可されたバリアン
ト表の入力項目によって作成または生成されるよう意図
されないバリアントに等しくなるように、非オフセット
／許可のためのみに使用されるよう意図されたキーを、
オフセット処理で使用させることができることもある。
２、Ｂ−ＣＶ　　ＫＥＹと非ＣＶ　　ＫＥＫＣｖ暗号機
構によって実行される、他の非Ｃｖネットワーク・ノー
ドを支援する暗号動作は、ＣＶネットワーク・ノード安
全保護を弱めまたは減少させてはならない。たとえば、
Ｃｖシステムは、非ＣＶ　　ＩＢＭ４７００またはＩＢ
Ｍ３８４８システムからのプライバシ・キーと認証キー
の搬入を支援しなければならない。すべての場合に、こ
れらのデータ・キーは共用される定義域間キーのバリア
ントＯのもとで受け取れる。これらの非Ｃ■システムの
共用定義域間キーが、Ｃｖシステム定定義域中キーら暗
号方式で分離されていない場合、（定義域間キーのバリ
アント０によって指定された）１つの目的のために意図
されたＣ　Ｖｃｙｃｔｅｍデータ・キーを搬入し、（他
のバリアントによって指定された）別の目的のためにそ
れを変換することができる。
３．０−ＫＥＫ送信者とＫＥＫ受信者 現ＩＢＭ３８４８／ＣＵＳＰ及びＩＢＭ　　ＰＣＦにあ
るのと同じ定義域間キーの一方向特性を維持する。また
、双方向ＫＥＫの無許可の作成を防止する際の制御を改
善する。
４　、　Ｄ−ＧＥＮＫＥＹＳＥＴ／ＸＬＡＴＥとＲＦＭ
Ｋ／ＧＥＮＫＥＹＳＥＴ／ＬＡＴＥ マスク・キー（またはマスク・キーのバリアント）のも
とで記憶された既存のデータ・キーの搬出を必ずしも可
能にはせずに、データ・キーの送出ツタめに：　ＧＥＮ
ＥＫＥＹＳＥＴとＬＸＡＴＥをＫＥＫが支援できるよう
にする。したがって、この特性が必要になるかまたは希
望されないかぎり、Ｃｖシステムによって使用されたデ
ータ・キーが、搬出のためにさらされることはない。
５　、　Ｅ　−ＧＥＨＫＥＹＳＥＴ　（搬出のみ）　／
ＸＬＡＴＥとＧＥＨＫＥＹＳＥＴ　（汎用） 生成ノード内で生成されたデータ・キーを使用できるよ
うにせずに、ノードをキー分配センタ（ＫＤＣ）または
キー変換センタ（ＫＴＣ）として動作させる。
６、Ｆ−ＲＴＭＫとＩＢＭ３８４８／ＣＵＳＰ　（及び
互換システム）上のＲＦＭＫ ＣＶシステムと互換性があるＩＢＭ３８４８／ＣＵＳＰ
及び他のシステムの一方向性を支援する。
第１表は、キー分離の要約を示し、それらに相対する優
先順位を指定するものである。最高の優先順位は「１」
、最低の優先順位は「４」である。
第８図は、分離の流れを要約して示す。木の「葉」は、
個々のタイプのキーを使用する暗号命令を示す。
制御ベクトル 制御ベクトルの概念 制御ベクトルとは、キーの使用の制御用の６４ビツトの
秘密でない暗号変数である。暗号システムに対して定義
された各キー■くは、関連制御ベクトルＣを有し、すな
わち、キーと制御ベクトルで集合（Ｋ、Ｃ）を定義する
。
各制御ベクトルは、ＣＶタイプを指定する。ＣＶタイプ
は、キーの使用方法とキーのリンク上での通信方法を支
配する規則とを広く定義する。キーは、データ・キー、
送信側のキー暗号化キー、受信側のキー暗号化キー、Ｐ
ＩＮ暗号化キー、ＰＩＮ生成キー、中間ＩＣＶ１キ一部
分またはトークンでよい。制御ベクトル中の追加ビット
は、どの暗号命令とパラメータ入力でキーが動作するか
を正確に指定する。他のビットは、キーの搬出、すなわ
ち、キーが搬出されるかどうかを制御する。
制御ベクトルは、特殊な暗号機能を介してキーに暗号方
式で結合される。たとえば、Ｋがキー記憶機構に記憶さ
れるとき、Ｋは制御ベクトルをマスク・キーと排他的論
理和を取ることによって形されるキーのもとて暗号化さ
れる。すなわち、Ｋは集合（ｅＫＭ、ｃ　（Ｋ）　、Ｃ
）として記憶される。ただし、ＫＭ、ＣはＫＭ　ｘｏｒ
　Ｃを示ず。Ｋがリンク上で（装置間を）伝送されると
き、類似の暗号化された形が使用される。この場合は、
マスク・キーＫＭの代わりにキー暗号化キーＫＥＫが使
用される。
ただし、ＫＥＫは送信側と受信側の間で共用されるキー
である。すなわち、Ｋは集合（ｅＫＥＫ、Ｃ（Ｋ）　。
Ｃ）として伝送される。このアーキテクチャでは、その
値が文脈から暗黙に定義され、あるいは利用可能なキー
関連情報から再構成可能である状況で制御ベクトルをキ
ーと共に記憶または伝送する必要がない。
制御ベクトル（Ｃ）は、暗号化された形ｅＫＭ、ｃ（Ｋ
）　　またはｅＫＥＫ、Ｃ（Ｋ）　　を介してキー（Ｋ
）に緊密に結合されているので、Ｃが正しく指定されな
いかぎり、Ｋをその暗号化された形から回復できないこ
とは明らかである。すなわち、要求された暗号命令に対
する入力として集合（ＥＫＭ、Ｃ（Ｋ）　、Ｃ）が供給
される場合、暗号機構はまずＣの供給値を検査して、キ
ーの要求された使用が許可されていると判定する。その
後で始めて、Ｃを使ってｅＫＭ。
Ｃ（Ｋ）を非暗号化（復号化）して、暗号機能の内部の
Ｉ（の平文値が回復される。偽りの値Ｃ＊が指定された
場合、暗号機構は一時的にだまされてＣ＊を受け入れる
が、Ｋは適切に回復されない。すなわち、Ｃの正しい値
も指定されないかぎり、ユーザがＫの正しい値を回復す
ることはできない。したがって、この暗号原理は、アー
キテクチャ全体の組立ての基礎である。必要に応じてま
た適切な場合、追加の安全保護が設けられる。
制御ベクトルは、暗号キーの使用属性を定義するための
コンパクトなデータ構造である。制御ベクトルは、暗号
処理を介してキーに暗号方式で結合されている。この処
理は、制御ベクトルが正しく指定された場合だけ、キー
が適切に非暗号化（復号化）できるようになっている。
（制御ベクトルのビットが変わっても全く異なるキーが
回復されてしまう。） ＣＶ恍査 制御ベクトルは、Ｃ■検査が最小限ですむように設計さ
れている。制御ベクトル使用ビットは、各使用属性自体
が特定の使用を許可または否定するように定義され構成
されている。すなわち、データ暗号命令によってデータ
を暗号化する能力が、制御ヘクトル内の単一「暗号化」
ビットによって制御される。そのタイプ／サブタイプは
「データ／プライバラ」である。
すなわち、各使用属性が他のすべての使用属性から独立
して定義される。このため、各命令が要求された機能に
よって呼び出された使用属性だけを検査するようなＣＶ
検査処理が保証される。他の何らかの属性が使用可能ま
たは使用不可能になるときだけ使用属性が使用可能にな
るような設計は、Ｃｖ検査を増加させるので特に回避さ
れる。
２つ以」−の制御ベクトルの間での属性の相互検査が必
要であるが、最小限に抑えられる。
Ｃ■検査を容易にし単純にするために、各暗号命令に、
必要な場合、その命令に対するパラメータとして渡され
るキーの特定の使用を宣言する「モード」パラメータが
渡される。すなわち、Ｃ■検査処理で、指定された「モ
ード」に従って各制御ベクトルが検査される。このため
、整合性を確保するために制御ベクトル属性の間でコス
トのかかる相互検査を行なう必要がなくなる。
この設計はまた、どんな暗号命令も制御ベクトルを生成
しないという原理にも従っている。すべての制御ベクト
ルは、パラメータ入力として暗号命令に供給される。
可能な場合、Ｃｖタイプに関わらず、同じ使用属性とフ
ィールド定義が、制御ベクトル中の同じビット位置に配
置される。そのため、ＣＶ検査が容易になる。たとえば
、データ／ブライバクＣＶに対する使用ビットがＥ″及
びＤ″で、データ／ｘｌａｔｅ　　ＣＶに対する使用ビ
ットがＸ０ＵＴ″とＸＩＮ″であるとしても、暗号テキ
スト変換命令は、データ／プライバク制御ベクトル及び
データ／ｘｌａｔｅ制御ベクトル中の同じビット位置を
照会する。
ＣＶ槽構 造般に、（形式、フィールド及びビット指定を含めて）
制御ベクトルの構造は、Ｃｖ＠査を最小に抑え容易にし
、同時に、暗号安全保護をもたらすように定義されてい
る。Ｃｖ槽構造、いわば、設計過程における自由度が最
大の変数である。
以下に示す設計任意選択が制御ベクトルで使用される。
１、垂直分離。制御ベクトルは、バリアントによって行
なわれる分離と同様に、制御ベクトル構造内での垂直分
離をもたらす「Ｃｖタイプ」フィールドを有する。制御
ベクトルのタイプは直感によって定義され、既存のキー
用語とキー管理に従う。
しかし、垂直分離は、ＣＡのもとて必要な場合にしか実
施されず、したがってＣＶ検査規則のアーキテクチャが
簡単になり、かつ理解しやすくなる。
まず、ＣＶ主タイプ（たとえば、データ・キーキー暗号
化キー、Ｐ工Ｎキー）の広いクラスを定義し、次に、Ｃ
ｖタイプ内のＣｖサブタイプと使用属性を定義すること
により、ＣＶ検査規則を、「分割統治」式探索が力づく
の方法より効果的なのと同様に最適化できる。
２、水平分離。制御ベクトルは、キーに関連する使用属
性（またはその他の暗号変数）を記録するためのデータ
構造として理想的である。ＣＡ内では、これは、キーが
入力として使用されるあらゆる暗号命令に対する制御ベ
クトルのビット（あるいは複数のキー・パラメータが関
与する場合、命令内のキー・パラメータ）を指定するこ
とによって行なう。１″のビット値は、キーの使用がＣ
Ｆによって「使用可能」にされることを示し、０″のビ
ット値は、キーの使用がＣＦによって「使用不可能」に
されることを示す。この形の制御ベクトル構造化は水平
分離と呼ばれる。
３、コード化フィールド。複数ビットのフィールドはし
ばしば安全保護上の理由でコード化される。
コード化されたフィールドは、個々のビットがそれ自体
は重要でないが、ビット全体で可能な１組の値を定義す
るという特徴をもつ。コード化フィールドは、−時に１
つの値しか取れないので、相互に排他的な事象を定義す
るという利点をもつ。コード化フィールドは、Ｃｖ検査
が性能の点から必ずしも最適化されないという潜在的欠
点をもつ。しかし、暗号攻撃を起こしあるいは何らかの
暗号の弱点を導入する、不適切な組合せで使用属性を混
合できないようにするために、コード化フィールドが必
要となることが多い。
４、非システム生成キーからの保護。制御ベクトルとキ
ーを結合するこの方法は、Ｃ■検査で非システム生成キ
ーから（ＫＧＥＮまたはＧＫＳを用いて）システム生成
キーを検出できないようになっている。このため、この
アーキテクチャ内に、キーと制御ベクトルを生成するｒ
バック・ドア」法がある。この方法は、「好みの」制御
ベクトルと乱数を定義するものである。乱数は、選択さ
れた制御ベクトルを用いるアーキテクチャのもとで記述
された方式で暗号化されたキーとして表される。
（ただし、この方法は、暗号機構内で実際に回復された
キーを制御する能力はない。） いわゆる「バック・ドア」キー生成法は、追加の防御手
段をアーキテクチャ内で講じなかった場合に暗号攻撃が
可能になることもあるが、主として面倒である。この「
バック・ドア」キー生成を（−度たけ）除去するアーキ
テクチャを定義するのは簡単なことであるが、そうすれ
ば、保証されない追加の複雑さと処理が導入されること
になる。
ＣＡは、より実際的な方法に従う。すなわち、安全保護
」二の理由で必要な場合にだけ「バック・ドア」キー生
成の問題が防止される。すなわち、安全保護、複雑さ及
び性能の間でうまく均衡がとられる。「バック・ドア」
キー生成法によって導入される暗号上の弱点を回避する
技術は以下の通りである。
ａ）必要な場合、単一制御ベクトル内の競合する使用属
性が２つの制御ベクトル間で分割される。
ＧＫＳ命令は、キ一対のいわゆる不良組合せが生成され
ないよう検査する。
ｂ）必要な場合、単一制御ベクトル内の競合する使用属
性が、単一コード化フィールドにまとめられる。
Ｃ）最後の手段として、余分の冗長性を使ってＣＦがそ
れ自体のシステム生成キーの妥当性検査を行なえるよう
にする。
５、制御ベクトルの偶数パリティ。制御ベクトルに対し
て偶数パリティが実施される。このため、奇数パリティ
・キーを制御ベクトルと排他的論理和を取ると、内部キ
ーが奇数パリティとなる。そのために、（こうした検査
が実施される場合）こうした内部誘導キーが奇数パリテ
ィかどうか検査するハードウェアとの互換性が確保され
る。別の言い方をすると、ＣＡは、ハードウェアが内部
キーでこの奇数パリティを実施しないようにすることが
できない。
０ないし６３の番号をつけた６４個のビットからなる制
御ベクトル。規約により、最上位ビットはビット０であ
る。６４ビツトのうち、８つのパリティ・ビットがある
。
６、反バリアント・ビット。これは、ノード内部での一
部の実施態様では混合することが避けられないバリアン
トと制御ベクトルの間の暗号分離を保証する。
７、上へのマツピングの回避。この制御ベクトルの設計
と、暗号命令セットによる制御ベクトルの操作により、
複数の値をもっＣＶフィールドが単一値にマツプされる
インスタンスが回避される。
こうした上へのマツピングの特定のインスタンスは、安
全保護が損なわれる危険がない場合（たとえば、ＬＣＶ
Ａ、ＲＦＭＫ及びＲＴＭＫ命令）に認められる。
ＣＦＡＰ制御 制御ベクトルのいくつかのビットは、ＣＦＡＰ用に予約
されている。これらのビットは、今後のキー管理制御の
ためにＣＦＡＰが使用できる。これらのビットは、ＣＦ
によって検査されず、ｃＦＡＰによって完全に管理され
る。
制御ベクトルの一般形式 第２表は、制御ベクトルの一般形式を示す。第２表の第
１行は、制御ベクトルの大半に共通なフィールドを示す
。それらのフィールドを、以下に要約して説明する。（
詳細は以後の小項目に示す。） ＊ＣＶタイプ このフィールドは、制御ベクトルのタイプを示し、この
制御ベクトルが関連するキーのキー・タイプでもある。
ＣＶタイプ・フィールドは主タイプとサブタイプから構
成される。
制御ベクトルの主タイプは以下の通りである。
データ・キー データ・キーはデータを暗号化／非暗号化（復号化）し
データを認証するのに使用される。
ＰＩＮキー ＰＩＮキーは、ＰＩＮを暗号化しＰＩＮを生成するのに
使用される。
キー暗号化キー キー暗号化キーはキーを暗号化するのに使用される。
キ一部分 キ一部分はキーの一部または構成要素であり、キーと同
じ長さをもつ。たとえば、キーには、ＫａＸＯＲＫｂ　
＝にとなる２つのキ一部分Ｋａ　とＫｂ　をもつことが
できる。
中間ＩＣＶ 中間ＩＣＶは、ＭＡＣ処理中にデータまたはメツセージ
のセグメントの中間出力連鎖値を暗号化するために使用
される。このＯＣＶは、次いでデータの次のセグメント
に送られてＩＣ■として使用される。それが行なわれる
のは、それに対するＭＡＣが生成または検査されるメツ
セージまたはデータが長すぎて、短いセグメントに分割
しなければならない場合である。
トークン トークンは、データ・キー・データ・セット（データ・
キー用のキー記憶機構）に記憶されたデータ・キーの保
全性を保護するために使用される変数である。これは、
無許可のユーザがデータにアクセスするのを防止するの
に役立つ。
サブタイプは、同じ主タイプのキーのクラスを区別する
ためのものである。たとえば、データ・キーという主キ
ー・タイプのキーは、プライバシ（暗号化と非暗号化（
復号化）を行なうことができる）　、ＭＡＣ（データ認
証を実行することができる）、データＸＬＡＴＥ　（暗
号テキストを変換することができる）、などのサブタイ
プをもつことができる。サブタイプが区分されないとき
、キーは通常主タイプの名前（たとえば、データ・キー
ＰＩＮキーなど）で呼ばれる。
＊搬出制御 このフィールドは、この制御ベクトルに関連するキーの
搬出がどのように制御されるか、及びキーの搬出が許可
されるかどうかを示す。
＊ＣＦ強制使用 このフィールドは、キーがどのＣＡ機能に使用できるか
、及びそれが使用される方法を示す。たとえば、データ
・プライバシ・キーは、そのキーがデータの暗号化及び
非暗号化（復号化）を行なうための暗号化機能及び非暗
号化機能で使用できることを示す使用属性Ｅ＝１とＤ＝
１を有する。
＊ＡＶ　（反バリアント） このフィールドは、バリアントに基づく暗号システムで
使用される、６４個の事前定義されたバリアントから任
意の有効制御ベクトルを区別する。
６４個の事前定義バリアントのうちのどのバリアントの
８バイトもすべて同じなので、制御ベクトルの少なくと
も２バイトが同一でないようにＡＶフィールドの値を設
定すると、有効制御ベクトルが事前定義バリアントから
区別される。
＊ソフトウェア・ビット このフィールドは、ＣＦＡＰによって完全に制御／管理
される制御ベクトル・ビットを表す。ソフトウェア・フ
ィールドはハードウェア（ＣＦ）によって検査／実施さ
れない。制御ベクトルがないときは、ＣＦＡＰは（通常
マクロ中のパラメータを介して）ＣＦＡＰに供給される
情報から制御ベクトルを作成する。制御ベクトルがすで
に存在しているときは、ＣＦＡＰは（ソフトウェア・フ
ィールドを含む）制御ベクトルを検査して、そのキーが
指定／要求された方式で動作できるかどうか判定する。
ソフトウェア（ＣＦＡＰ）とは異なり、ハードウェア（
ＣＦ）は、ＣＡ命令に関連するビットだけを検査する（
他の使用ビットは検査されない）。
＊拡張 このフィールドは、制御ベクトルが６４ビツトの制御ベ
クトルかそれとも１２８ビツトの拡張制御ベクトルかを
示す。現在のＣＡでは、すべての制御ベクトルは長さ６
４ビツトである。制御ベクトルを指定するのに必要なビ
ットの数がｂ４ビット長を超えるとき、将来制御ベクト
ルを拡張しやすくするため、このフィールドが定義され
る。
＊予約ビット このフィールドは将来の使用のためにシステムに予約さ
れている。
＊パリティ・ベクトル すべてのパリティ・ビットは、バイトの先行する７ビツ
トの偶数パリティである。
キー暗号化キー制御ベクトルでは、上記の共通のフィー
ルドの他に、２つの追加フィールド、ＫＥＹ　ＦＯＲＭ
及びＬＩＮＫ　Ｃ０ＮＴＲ０Ｌがある。
＊キー形式 このフィールドは、キーの長さ（単長または倍長）及び
制御ベクトル・キーに関連するキーの半分がキーの右半
分か左半分かを示す。単長キーでは、右半分は左半分と
同じで、キー自体であることに留意されたい。
＊リンク制御 このフィールドは、この制御ベクトルに関連するキー暗
号化キーを使ってリンク上で他のキーがどのように伝送
されるか、及びこのキー暗号化キーのもとで、どのタイ
プのシステム（たとえば、ＣＶシステムまたは非Ｃｖシ
ステム）との間でキーが送受できるかを示す。
本節の一般的な表及び参照する他の表の第２行及び第３
行の記述は、制御ベクトルの一部ではないことに留意さ
れたい。それらの記述は、制御ベクトルの各フィールド
に次のような情報を示すためにそこに置かれている。
第２行は、フィールドのビット長を示す。略語ｒｂＪは
「ビット」を表す。たとえば、１ｂは１ビツトを表し１
．３ｂは３ビツトを表し、以下同様である。
第３行は、そのフィールドがハードウェア（ＣＦ）によ
って検査されるかそれともソフトウェア（ＣＦＡＰ）に
よって検査されるかを示す。
データ・キー用制御ベクトルの形式 データ・キーは以下のサブタイプに分かれる。
データ互換性キー。これは、ＩＢＭ３８４８／ＣＵＳＰ
またはＩＢＭ４７００ＦＣ８などの既存システムとの互
換性を維持するために使用されるデータ・キーである。
これらの既存システムはプライバシと認証の間の暗号分
離を行なわないので、このキーは、ＭＡＣの暗号化、非
暗号化（復号化）、生成及び検査などの機能のいずれか
またはすべてを実行するのに使用できる。この制御ベク
トルは、それが（ＲＦＭＫ命令を用いて）他のシステム
に搬出されるとき除去できる（すなわち、オン・ザ・リ
ンクでＣＶ＝Ｏと置換できる）が、ＡＮＳ　Ｉデータ・
キーを除く他のすべてのデータ・キー用の制御ベクトル
は除去できない。
プライバシ・キー。これは、暗号化または非暗号化（復
号化）のためにだけ使用されるキーである。
ＭＡＣキー。これは、データ認証のためにだけ使用され
るキーである。すなわち、これはＭＡＣの生成または検
査にしか使用できない。
データ変換キー（データ互換性キー）。これは暗号テキ
ストの変換で使用されるキーである。
ＡＮＳＩキー。これは、ＡＮＳＩアプリケーションで使
用されるキーである。これは、データの暗号化及び非暗
号化（復号化）またはＭＡＣの生成及び検査に使用でき
る。また、他のＡＮＳＩキーと組み合わせてＡＮＳＩ　
　ＭＡＣキー（すなわち、ＭＡＣ生成／検査機能をもつ
データ互換性キー）を形成することもできる。この制御
ベクトルは、ＡＲＦＭＫ命令を用いて他のシステムに搬
出されるとき除去できる（すなわち、オン・ザ・リンク
でＣＶ＝Ｏと置換できる）が、互換性キーを除く他のす
べてのデータ・キーの制御ベクトルは除去できない。
制御ベクトルのＣＶサブタイプに応じて、ＵＳ＝７７ ＡＧＥフィールドの各ビットは以後に記載する特定の意
味をもつ。
プライバシ・キー用制御ベクトル 第３表を参照して、この表の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊Ｃｖタイプ プライバシ・キー用のＣｖタイプ（主タイプ二″ＤＡＴ
Ａ　　ＫＥＹ”、サブタイプ＝”ＰＲＩＶＡＣＹ″） ＊搬出制御（このキーの搬出を制御する）：このフィー
ルドは１ビツトを占める。
ＥＸＰＯＲＴ　Ｃ０ＮＴＲ０Ｌ　＝　１　：このキーは
ＲＦＭＫによって搬出できる。また、ＲＦＭＫ、ＲＴＭ
Ｋ及びＬＣＶＡ命令でこのビットを０にリセットできる
。
ＥＸＰＯＲＴ　Ｃ０ＨＴＲＯＬ　−０：このキーはＲＦ
ＭＫによって搬出できない。また、どの命令によっても
１に変更できない。
例として、ノードＸがキーにと制御ベクトルＣを生成し
、それらをノードＹに送るものと仮定する。
水使用 ａ）Ｅ Ｅ−１＝このキーは、データを暗号化するために暗号命
令中で使用できる。
Ｅ：０：このキーは、データを暗号化するために暗号命
令中で使用できない。
ｂ）Ｄ Ｄ＝１＝このキーは、データを非暗号化（復号化）する
ために非暗号化命令中で使用できる。
Ｄ＝０　：このキーは、データを非暗号化（復号化）す
るために非暗号化命令中で使用できない。
＊ＡＶ　（反バリアント） このフィールドは２ビツトを占め、バリアントに基づく
暗号システムで使用される６４個の事前設定バリアント
から制御ベクトルを区別するのに使用される。６４個の
事前定義バリアントのうちのどのバリアントの８バイト
もすべて同じなので、制御ベクトルの少なくとも２バイ
トが同じでないようにＡＶフィールドの値を設定すると
、有効制御ベクトルが事前設定バリアントから区別され
る。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン このフィールドは、長さ６ビツトで、現在の制御ベクト
ルの定義を将来の定義から区別するためにＣＦＡＰによ
って使用される。
ｂ）ソフトウェア二強制使用 ＣＦＡＰの節も参照のこと。
ＣＶＤＰＩＭ（制御ベクトル・データ・プライバシＩｃ
ｖ必須） ＣＶＤＰＣＵ　（制御ベクトル・データ・プライバシＣ
Ｕｓｐ） ＣＶＤＰ４７　（制御ベクトル・データ・プライバシ４
７００） ＣＶＤＰＭ８　（制御ベクトル・データ・プライバシ８
の倍数） ＊拡張 このフィールドは、制御ベクトルが６４ビツトの制御ベ
クトルかそれとも６４ビツトを超える拡張制御ベクトル
かを示ｔ。
＊予約ビット このフィールドは、将来の使用のためにシステムに予約
されている。
＊パリティ このフィールドは、制御ベクトルのすべてのバイトの最
後のビットから構成される。各バイトのパリティ・ビッ
トは、そのバイトに対する偶数パリティをもたらすよう
に設定される。
ＭＡＣキー用制御ベクトル 第４表を参照する。この図の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊Ｃｖタイプ： ＭＡＣキー用のＣＶタイプ（主タイプ＝：ＤＡＴＡ　　
ＫＥＹ″、サブタイプ＝”ＭＡＣ”）＊搬出制御（この
キーの搬出を制御する）プライバシ・キーの説明と同じ
。
水使用 ａ）ＭＧ ＭＧ＝ｌこのキーは、データに対するＭＡＣを生成する
ためにＧＭＡＣ命令中で使用することができる。
ＭＧ＝ＯＳこのキーは、データに対するＭＡＣを生成す
るためにＧＭＡＣ命令中で使用することができない。
ｂ）ＭＶ ＭＶ＝ｌこのキーは、データに対するＭＡＣを検査する
ためにＶＭＡＣ命令中で使用することができる。
ＭＶ＝０：このキーは、データに対す°るＭＡＣを検査
するためにＶＭＡＣ命令中で使用することができない。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン−同じ説明 ｂ）ソフトウェア強制使用 ＣＦＡＰの節も参照のこと。
ＣＶＤ肛４（制御ベクトル・データＭＡＣＬＥＨ＝４）
ＣＶＤＭ９９　（制御ベクトル・データＭＡＣＭＯＤＥ
　＝ＡＮＳＩ　Ｘ　９．９） ＣＶＤＭ１９　（制御ヘクトルーデータ１４ＡＣＭＯＤ
Ｅ　＝ＡＮＳＩ　Ｘ　９．１９） ＣＶＤＭＯＯ（制御ペクト）Ｌｔ−データＭＡＣＭＯＤ
Ｅ　＝ＩＢＭ４７００　） ＣＶＤＭ３０　（制御ヘクト７Ｌ／−データＭＡＣＭＯ
ＤＥ　＝ＩＢＭ　４７３０） ＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
データ互換性キー用制御ベクトル 第５表を参照する。この表の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊Ｃｖタイプ ＣＶタイプ＝データ互換性キー用（主タイプ＝”ＤＡＴ
Ａ　　ＫＥＹ”、サブタイプ：”ＣＯＭＰＡＴＩＢＩＬ
ＩＴＹ”） ＊搬出制御 プライバシ・キーの説明と同じ。
＊使用 ａ）Ｅ −Ｅ＝ｌこのキーは、データを暗号化するために暗号命
令中で使用できる。
Ｅ＝０：このキーは、データを暗号化するために暗号命
令中で使用できない。
ｂ）Ｄ Ｄ＝１＝このキーは、データを非暗号化（復号化）する
ために非暗号化命令中で使用できる。
Ｄ＝Ｏ：このキーは、データを非暗号化（復号化）する
ために非暗号化命令中で使用できない。
ｃ）ＭＧ ＭＧ＝ｌこのキーは、データに対するＭＡＣを生成する
ためにＧＭＡＣ命令中で使用できる。
ＭＧ＝Ｏ：このキーは、データに対するＭＡＣを生成す
るためにＧＭＡＣ命令中で使用できない。
ｄ）ＭＶ ＭＶ＝１＝このキーは、データに対するＭＡＣを検査す
るためにＶＭＡＣ命令中で使用できる。
ＭＶ＝Ｏ：このキーは、データに対するＭＡＣを検査す
るためにＶＡＭＣ命令中で使用できない。
＊ＡＶ　（反バリアント） ブライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 ＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
データＸＬＡＴＥキー用制御ベクトル 第６表を参照する。この表の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊ＣＶタイプ データＸＬＴＡＥキー用のＣｖタイプ（主タイプ＝″Ｄ
ＡＴＡ　　ＫＥＹ″、サブタイプ＝″ＸＬＡＴＥ″） ＊搬出制御（このキーの搬出を制御する）プライバシ・
キーの説明と同じ。
＊使用 ａ）ＸＤｏｕｔ ＸＤｏｕｔ＝ｉ：このキーは、暗号テキスト変換命令中
で出力データ・キーとして使用することができる。
ＸＤｏｕ　ｔ＝ｏ　：このキーは、暗号テキス８６一 ト変換命令中で出力データ・キーとして使用することが
できない。
ｂ）ＸＤｉｎ ＸＤｉｎ−１：このキーは、暗号テキスト変換命令中で
入力データ・キーとして使用することができる。
ＸＤ　ｉ　ｎ＝ｏ　：このキーは、暗号テキスト変換命
令中で入力データ・キーとして使用することができない
。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは、１２ビツトを占める。
ａ）ＣＶバージョン ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
ＡＮＳＩデータ・キー用制御ベクトル 第７表を参照する。この表の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊Ｃｖタイプ データＡＮＳＩキー用のＣｖタイプ（主タイプ＝ｖ′Ｄ
ＡＴＡ　ＫＥＹ″、サブタイプ＝″ＡＮＳ工？′） ＊搬出制御 ブライバシ・キーの説明と同じ。
＊使用 ａ）Ｅ Ｅ＝１＝このキーはデータを暗号化するために暗号命令
中で使用できる。
Ｅ＝０：このキーはデータを暗号化するために暗号命令
中で使用できない。
ｂ）Ｄ Ｄ＝１：このキーは、データを非暗号化（復号化）する
ために非暗号化命令中で使用できる。
Ｄ＝０：このキーは、データを非暗号化（復号化）する
ために非暗号化命令中で使用できない。
ｃ）ＭＧ ＭＧ＝１：このキーは、データに対するＭＡＣを生成す
るためにＧＭＡＣ命令中で使用できる。
ＭＧ＝Ｏ：このキーは、データに対するＭＡＣを生成す
るためにＧＭＡＣ命令中で使用できない。
ｄ）ＭＶ ＭＶ＝１：このキーは、データに対するＭＡＣを検査す
るためにＶＭＡＣ命令中で使用できる。
ＭＶ＝Ｏ：このキーは、データに対するＭＡＣを検査す
るためにＶＭＡＣ命令中で使用できない。
ｅ）ＡＣＭＢ このビットは、データ・キーをＡＣＯＭＢＫＤ属性をも
つ他のデータ・キーと排他的論理和を取ることができる
ことを示す。排他的論理和処理は、後でＡＮＳＩ　　Ｋ
Ｄ結合（ＡＣＯＭＢＫＤ）”の節で述べるように、ＡＣ
ＯＭＢＫＤ命令によって実行される。その結果得られる
キーは、ＡＮＳＩ　　Ｘ９．１７プロトコルを用いて通
信されるメツセージのＭＡＣを検査し生成するために使
用される。
ＡＣＭＢ＝１：このデータ・キーは、ＡＣＭＢ命令中で
結合できる。
ＡＣＭＢ＝０　：このデータ・キーは、ＡＣＭＢ命令中
で結合できない。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット ａ）ＣＶバージョン プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
零予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
ＰＩＮキー用制御ベクトルの形式 ＰＩＮキーは以下に示すサブタイプに分かれる。
ＰＩＮ暗号化キー（ＰＥＫ） これらのキーは、ＰＩＮを暗号化するのに使用されるキ
ーである。
ＰＩＮ生成キー（ＰＧＫ） これらは、ＰＩＨを生成するのに使用されるキーである
。ＰＧＫはＰＩＨの妥当性検査／検査を行なうのに使用
されるので、場合によってはＰＩＮ妥当性検査キーと呼
ばれることもある。
ＰＩＮ暗号化キー用制御ベクトル 第８表を参照する。この表の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊ＣＶタイプ ＰＩＮ暗号化キー　（ＰＥＫ）用のＣｖタイプ（主タイ
プ＝″ＰＩＮキー　、サブタイプ二″ＰＩＮ暗号化キー ＊搬出制御 プライバシ・キーの説明と同じ。
＊使用 ａ）ＰＩＮＢＬＫ作成 ＣＲＥＡＴＥ　ＰＩＮＢＬＫ＝１　：このキーは、ピン
・ブロック作成命令中でＰＩＮブロックを暗号化するこ
とができる。
ＣＲＥＡＴＥ　ＰＩＮＢＬＫ＝Ｏ：このキーは、ピン・
ブロック作成命令中でＰＩＮブロックを暗号化すること
ができない。
ｂ　）　ＧＩＮＰＩＮ ＧＥＮＰＩＮ＝１　：このキーは、ピン生成命令中で入
力顧客ＰＩＮ（ＣＰＩＮ）を暗号化することができる。
ＧＥＮＰＩＮ＝０　：このキーは、ピン生成命令中で入
力顧客ＰＩＮ（ＣＰＩＮ）を暗号化することができない
。
ｃ　）ＶＥＲＰＩＮ ＶＥＲＰＩＮ＝１　：このキーは、ピン検査命令に対す
るＰＩＮ入力を暗号化することができる。
ＶＥＲＰＩＮ＝Ｏ：このキーは、ピン検査命令に対する
ＰＩＮ入力を暗号化することができない。
ｄ）ＸＰＩＮ　　１ｎ ＸＰＩＨ１ｎ＝１　：このキーは、ピン変換命令中で入
力ＰＩＮを暗号化することができる。
ｘＰＩＮｉｎ＝１＝このキーは、ピン変換命令中で入力
ＰＩＮを暗号化することができない。
ｅ）ＸＰＩＮ　　ｏｕｔ ＸＰＩＨｏｕｔ＝１　：このキーは、ピン変換命令中で
出力ＰＩＮを暗号化することができる。
ＸＰＩＨｏｕｔ＝ｏ　：このキーは、ピン変換命令中で
出力ＰＩＮを暗号化することができない。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
ＰＩＮ生成キー用制御ベクトル 第９表を参照する。この表の各フィールドとサブフィー
ルドの詳細な説明を以下に示す。
＊ＣＶタイプ ＰＩＮ生成キー用のＣＶタイプ（主タイプ＝”ＰＩＮＩ
−”、サブタイプ＝”ＰＩＮ生成生成キー 水搬出制御 プライバシ・キーの説明と同じ。
水使用 ａ）ＧＥＮＰ　　Ｉ　Ｎ このフィールドは２ビツトを占め、そのもとでキーがピ
ン生成命令中でＰＩＮまたはＰＩＮオフセットを生成す
ることができる状態を示す。
ＧＥＮＰＩＮ＝Ｂ’ＯＯ’　：　Ｐ　Ｉ　ＮまたはＰＩ
Ｎオフセットを生成することができない。
ＧＥＮＰＩＮ＝Ｂ’０１’　：平文ＰＩＮまたは平文Ｐ
ＩＮオフセットを生成することができる。
ＧＥＮＰＩＮ＝Ｂ′１０′：暗号化されたＰＩＮまたは
暗号化されたＰＩＮオフセットを生成することができる
。
ＧＥＮＰＩＨ＝Ｂ　’　１１°：平文または暗号化され
たＰＩＮまたはＰＩＮオフセットを生成することができ
る。
ｂ）ＧＰＩＮ このビットは、顧客が選択したＰＩＮ（ＣＰＩＮ）を、
平文ＰＩＮまたは暗号化ＰＩＮの形でＧＥＮＰＩＮ命令
に入力できるかどうかを示す。
ＧＰＩＮ＝Ｏ：平文または暗号化ＰＩＮが入力できる。
ＧＰＩＮ＝１　：暗号化ＰＩＮだけが入力できる。
ｃ）ＶＥＲＰＩＮ このビットは、そのキーがＰＩＮ妥当性検査キーとして
ピン検査命令中のＰＩＮを検査するのに使用できるかど
うかを示す。
ＶＥＲＰＩＮ＝１　：　Ｐ　Ｉ　Ｎ　（７）検査に使用
できる。
ＶＥＲＰＩＮ＝０　：　Ｐ　Ｉ　Ｎの検査に使用できな
い。
ｄ）ＶＰＩＮ このビットは、ピン検査命令中で検査されるＰＩＮを、
平文ＰＩＮまたは暗号化ＰＩＮの形で命令に入力できる
かどうかを示す。
ＶＰＩＮ＝Ｏ：平文または暗号化ＰＩＮが入力できる。
ＶＰＩＮ＝１　：暗号化ＰＩＮだけが入力できる。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
このフィールドは１２ビツトを占める。
＊ソフトウェア・ビット ａ）ＣＶ　　ＶＥＲ８Ｉ　ＯＮ プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
零予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
キー暗号化キー用制御ベクトルの形式 キー暗号化キーは以下のサブタイプに分がれる。
−ＫＥＫ　（キー暗号化キー）送信側 このタイプのＫＥＫはキーの送信または搬出に使用され
る。
−ＫＥＫ受信側 このタイプのＫＥＫはキーの受信または搬入に使用され
る。
ＫＥＫ　　ＡＮＳＩ このタイプのキーは、ＡＨＳＩ　Ｘ９．１７キー管理環
境である。
ＫＥＫ送信側用制御ベクトルの形式 第１０表を参照する。この表の各フィールドとサブフィ
ールドの詳細な説明を以下に示す。
零ＣＶタイプ ＫＥＫ送信側用のＣＶタイプ（主タイプ＝”キー暗号化
キー（ＫＥＫ）″、サブタイプ＝”送信側＊搬出制御 プライバシ・キーの説明と同じ。
本使用 ａ）ＧＫＳ このフィールドは３ビツトを占め、そのキーがＧＫＳ命
令のモード、搬入−搬出、動作−搬出及び搬出−搬出の
いずれかに搬出キーとして関与できるかどうかを示す。
ビットＯ：搬入−搬出モード これは、ＧＫＳ命令がキーの２コピーを生成し、搬出コ
ピーと呼ばれる一方のコピーは、後で生成ノードによっ
て搬入される形であり、搬出コピーと呼ばれる他方のコ
ピーは、別のノードに送られる形である。
−ビット０＝１＝このキーは、Ｉｍ−Ｅｘ　（搬入−搬
出）モードで生成されたキーの搬出 コピーを送ることができる。
ビット０＝０：このキーは、１ｏ−Ｅｘ　（搬入搬出）
モードで生成されたキーの搬出 コピーを送ることができない。
ビット１：動作−搬出モード このモードは、ＧＫＳ命令がキーの２コピーを生成し、
一方のコピーは局所使用のためのもの（動作コピー）で
、他方のコピーは他のノードに送られる形（搬出コピー
）である。
−ビット１＝１：このキーは、０ｐ−Ｅｘ　（動作−搬
出）モードで生成されたキーの搬出 コピーを送ることができる。
−ビット１＝１：このキーは、０ｐ−Ｅｘ　（動作−搬
出）モードで生成されたキーの搬出 コピーを送ることができない。
ビット２：搬出−搬出モード このモードは、ＧＫＳ命令がキーの２コピーを生成し、
各コピーは異なるノードに送られる形である。
−ビット２：ｌ：このキーは、Ｅｘ−Ｅｘ　（搬出−搬
出）モードで生成されたキーの搬出 コピーの１つを送ることができる。送 られるコピーは、ＧＫＳ命令中のパラ メータで指定される。
−ビット２＝０：このキーは、搬出−搬出モードで生成
されたキーを送ることが できない。
ｂ）ＲＦＭＫ このフィールドは１ビツトを占める。
ＲＦＭＫ＝１　：このキーは、ＲＦＭＫ命令を用いて他
のノードにキーを搬出できる。
ＲＦＭＫ＝Ｏ：このキーは、ＲＦＭＫ命令を用いて他の
ノードにキーを搬出することができない。
ｃ）ＸＬＴＫＥＹ　　ｏ　ｕ　ｔ ＸＬＴＫＥＹ　ｏｕｃｌ：このキーは、他のキーのもと
て以前に暗号化されたキーを再暗号化するためにＴＲＡ
ＮＳＬＡＴ　　ＫＥＹ命令中でＫＥＫとして使用できる
。
ＸＬＴＫＥＹ　ｏｕｔ＝１　：このキーは、他のキーの
もとで以前に暗号化されたキーを再暗号化するためにＴ
ＲＡＮＳＬＡＴ　　ＫＥＹ命令中でＫＥＫとして使用で
きない。
＊ＫＥＫ形式 このフィールドは２ビツトを占め、ＫＥＫが短キー（す
なわち、単長）かそれとも長キー（すなわち、倍長）か
、及びそれがキーの右半分かそれとも左半分かを示す。
＊リンク制御 このフィールドは２ビツトを占め、このＫＥＫがリンク
上でキーを送受するのに使用される方法を示す。
ＬＩ１４Ｋ　Ｃ０ＮＴＲ０Ｌ＝Ｂ’ＯＯ’　：適用され
ない。
ＬＩＮＫ　Ｃ０ＮＴＲ０Ｌ＝８’０１’　：　ＣＶノミ
。すなわち、送られるキーには、このＫＥＫとキーＫに
関連する制御ベクトルの排他的論理和を取って形成され
たキーのもとて暗号化されなければならない。明らかに
、このタイプのリンク環境またはチャネルは、両方の通
信ノードがＣＡを実施するノードであるとき、キーの交
換に適している。
ＬＩＮＫ　Ｃ０ＮＴＲ０Ｌ＝Ｂ’ｌＯ°：　ＣＶ＝Ｏの
み。すなわち、送られるキーには、ＫＥＫと非ゼロの制
御ベクトルの排他的論理和を取って形成されたキーでは
なく、このＫＥＫのもとて暗号化される。このタイプの
チャネルは、受信側ノードと送信側ノードのどちらか一
方が非Ｃ■ノードのときに適している。
ＬＩＮＫ　Ｃ０ＮＴＲ０Ｌ＝Ｂ’ｌｌ°：ＣｖまたはＣ
ｖ＝０゜すなわち、送られるキーには、ＫＥＫのみのも
とで暗号化されたものでも、またＫＥＫとキーＫに関連
する制御ベクトルの排他的論理和を取って形成されたキ
ーのもとて暗号化されたものでもよい。このタイプのチ
ャネルは、ＣＡ環境で走行するアプリケーションを除い
て、制御ベクトルを認識しない既存の一部のアプリケ−
シロンをもつＣＡノードに適している。制御ベクトルを
認識しない既存のアプリケーションでは、ノードは、Ｋ
ＥＫのみのもとで暗号化されたキーを搬出する。ＣＡ環
境で走行するアプリケーションでは、ノードは、ＫＥＫ
と送られるキーに関連する制御ベクトルの排他的論理和
を取って形成されたキーのもとて暗号化されたキーを搬
出する。
これらのタイプのチャネルを使ってキーを交換する方法
については、キー管理の節でより詳細に説明する。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 ＣＦＡＰの節も参照のこと。
ＣＶＫＳＫＤ　（制御ベクトルＫＥＫ送信側−データ・
キーを送る） ＣＶＫＳＫＰ　（制御ベクトルＫＥＫ送信側−ＰＩＮキ
ーを送る） ＣＶＫＳＫＫ　（制御ベクトルＫＥＫ送信側−ＫＥＫを
送る） ＊拡張 プライバシ・キーの説明と同じ。
零予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
ＫＥＫ受信側用制御ベクトルの形式 第１１表を参照する。この表の各フィールドとサブフィ
ールドの詳細な説明を以下に示す。
＊Ｃ■タイプ ＫＥＫ受信側のＣＶタイプ（主タイプ＝”キー暗号化キ
ー（Ｋ　Ｅ　Ｋ）″、サブタイプ＝”受信側″） ＊搬出制御 プライバシ・キーの説明と同じ。
水使用 ａ）ＧＫＳ このフィールドは２ビツトを占め、そのキーがＧＫＳ命
令のモード、搬入−搬出及び動作−搬入のいずれかに搬
出キーとして関与できるがどうかを示す。
ビットＯ：搬入−搬出モード このモードでは、ＧＫＳ命令がキーの２コピーを生成し
、搬入コピーと呼ばれる一方のコピーは、後で生成側ノ
ードによって搬入される形であり、搬出コピーと呼ばれ
る他方のコピーは、別のノードに送られる形である。
ビット０＝１：このキーは、Ｉｎ−Ｅｘ　（搬入搬出）
モードで生成されたキーの搬入 コピーを暗号化することができる。
ビットＯ＝０：このキーは、Ｉｍ−Ｅｘ　（搬入−搬出
）モードで生成されたキーの搬出 コピーを暗号化することができない。
ビット１：動作−搬入モード このモードでは、ＧＫＳ命令がキーの２コピーを生成し
、一方のコピーは局所使用のためのもの（動作コピー）
であり、他方のコピーは、生成側ノードに搬入される（
搬入コピー）形である。
ビット１＝１：このキーは、Ｏｐ−Ｉｍｐ　（動作−搬
入）モードで生成されたキーの 搬入コピーを暗号化することができる。
−ビット１＝Ｏ：このキーは、Ｏｐ−Ｉｍｐ　（動作−
搬入）モードで生成されたキーの 搬入コピーを暗号化することができな い。
ｂ）ＲＴＭＫ このフィールドは１ビツトを占める。
ＲＴＭＫ＝１　：このキーは、ＲＴＭＫ命令を用いてキ
ーを受信することができる。
ＲＴ！４に＝Ｏ：このキーは、ＲＴＭＫ命令を用いてキ
ーを受信することができない。
ｃ）ＸＬＴＫＥＹ　　ｉ　ｎ ＸＬＴにＥＹｉｎ−１：このキーは、ＴＲＡＮＳＬＡＴ
Ｅ　　ＫＥＹ命令に対する入カキ−を暗号化することが
できる。
ＸＬＴＫＥＹ　１ｎ＝１　：このキーは、ＴＲＡＮＳＬ
ＡＴＥ　　ＫＥＹ命令に対する入カキ−を暗号化するこ
とができない。
＊キー形式 このフィールドは２ビツト長で、ＫＥＫが類キー（すな
わち、単長）それとも長キー（すなわち、倍長）か、及
びキーが長い場合、キーの半分が右半分かそれとも左半
分かを示す。
＊リンク制御 ＫＥＫ送信側キーの説明と同じ。
＊ＡＶ　（反バリアント） フライパン・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン フライパン・キーの説明と同じ。
ｂ）ソフトウェア強制使用 ＣＦＡＰの節も参照のこと。
ＣＶＫＲＫＤ　（制御ベクトルＫＥＫ受信側−データ・
キーを受信する） ＣＶＫＲＫＰ　（制御ベクトルＫＥＫ受信側−データ・
キーを受信する） ＣＶＫＲＫＫ　（制御ベクトルＫＥＫ受信側−ＫＥＫを
受信する） ＊拡張 フライパン・キーの説明と同じ。
＊予約ビット フライパン・キーの説明と同じ。
＊パリティ・ビット フライパン・キーの説明と同じ。
ＡＮＳＩ　　ＫＥＫ用制御ベクトルの形式第１２表を参
照する。この表の各フィールドとサブフィールドの詳細
な説明を以下に示す。
＊Ｃｖタイプ ＣＶタイプ（主タイプ＝”キー暗号化キー（ＫＥＫ）″
、サブタイプ二″ＡＮＳＩ”）＊搬出制御 フライパン・キーの説明と同じ。
本使用 ａ）ＡＲＦＭＫ キーを他のノードに送るためにこのキーがＡＲＦＭＫ命
令中でキー暗号化キーとして使用できるかどうかを指定
する。
ｂ）ＡＲＴＭＫ キーを他のノードから受信するためにこのキーがＡＲＴ
ＭＫ命令中でキー暗号化キーとして使用できるかどうか
を指定する。
ｃ）ＡＸＬＴＫＥＹ キーを変換するためにこのキーがＡＸＬＴＫＥＹ中でキ
ー暗号化キーとして使用できるかどうかを指定する。Ａ
ＮＳＩ　　ＫＥＫ制御ベクトル上には、入力変換キーま
たは出力変換キーの指示がないことに留意されたい。こ
れはＡＮＳＩキーが双方向性であるためである。
ｄ）ＡＰＮＯＴＲ 後で他のキーを認証することができる部分認証キーを作
成するために、このキーに対して変換を実施できるかど
うかを指定する。その変換が行なわれると、その結果得
られる部分認証キーＫＫＰＮは、ＫＫＰＮが他の部分認
証キーを計算するためにＡＰＮＯＴＲ命令に供給されな
いように、このＡＰＮＯＴＲビットをゼロにクリアさせ
なければならない。
＊キー形式 ＫＥＫ送信側キーの説明と同じ。
＊リンク制御 このフィールドはＡＮＳＩ　　ＫＥＫには適用されない
。ＫＥＫ送信側のこのフィールドの説明も参照のこと。
＊ＡＶ　（反バリアント） フライパン・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン フライパン・キーの説明と同じ。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット プライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
キ一部分用制御ベクトルの形式 第１３表を参照する。この表の各フィールドとサブフィ
ールドの詳細な説明を以下に示す。
＊Ｃｖタイプ Ｃｖタイプの最後の３ビツトＸＸＸがゼロに設定される
が、１０の命令によって検査されるｃｖタイプ。（主タ
イプ＝”キ一部分”、サブタイプ二適用されない） ＊搬出制御 ブライバシ・キーの説明と同じ。
＊キー形式 ＫＥＫ送信側の説明と同じ。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン プライバシ・キーの説明と同じ。。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット ブライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
中間ＩＣＶ用制御ベクトルの形式 第１４表を参照する。この表の各フィールドとサブフィ
ールドの詳細な説明を以下に示す。
零Ｃｖタイプ ＣＶタイプの最後の３ビツトＸＸＸがゼロに設定される
が、命令によって検査されないＣＶタイプ。（主タイプ
＝”中間ＩＣＶ″、サブタイプ二適用されない） ＊搬出制御 プライバシ・キーの説明と同じ。ＩＣＶキーは通常は他
のノードに搬入されない。ただしホット・バックアップ
の場合を除く。すなわち、通常、このフィールドはＩＣ
Ｖ制御に対する値Ｂ’ＯＯ’をとる。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
＊予約ビット ブライバシ・キーの説明と同じ。
＊パリティ・ビット プライバシ・キーの説明と同じ。
トークン用制御ベクトルの形式 第１５表を参照する。この表の各フィールドとサブフィ
ールドの詳細な説明を以下に示す。
＊Ｃｖタイプ Ｃｖタイプの最後の３ビツトＸＸＸがゼロに設定される
が、命令によって検査されないＣｖタイプ。（主タイプ
＝”トークン”、サブタイプ二適用されない） トークンは、データ・キー・データ・セット（ＤＫＤＳ
）に記憶されたデータ・キーの保全性を保護するために
使用される秘密の量である。データ・キーはトークン＋
ｅ＊ＫＭ、ｃｌ（Ｋ）、　ｅ：ＫＭ、ｃ２（ｔｏｋｅｎ
）の形でＤＫＤＳに記憶される。トークン制御ベクトル
・タイプは、ＥＭＫｌＲＴＮＭＫｌＲＴＣＭＫなどの様
々な命令中で許可される。
＊搬出制御 プライバシ・キーの説明と同じ。ＩＣＶキーは通常は他
のノードに搬入されない、ただしホット・バックアップ
の場合を除（。すなわち、通常、このフィールドはＩＣ
Ｖ制御に対する値Ｂ’００’をとる。
＊ＡＶ　（反バリアント） プライバシ・キーの説明と同じ。
＊ソフトウェア・ビット このフィールドは１２ビツトを占める。
ａ）ＣＶバージョン プライバシ・キーの説明と同じ。
ｂ）ソフトウェア強制使用 なし。
＊拡張 プライバシ・キーの説明と同じ。
零予約ビット ブライバシ・キーの説明と同じ。
＊パリティ・ビット ブライバシ・キーの説明と同じ。
命令セット 本明細書で説明する命令セットは、ＣＦ内で実施される
共通の暗号機能セットである。この要件には例外がある
。たとえば、ＭＤＣはＣＦＡＰレベルで実施できる。命
令セットの実施における他の逸脱は、安全保護要件と製
品環境に基づいて注意深く考慮するべきである。
命令セットは、制御ベクトル手法に基づくものである。
制御ベクトル中には様々なフィールドがあり、特定のシ
ステムで実施されるものも実施されないものもある。し
かし、本明細書で説明する最小限の制御ベクトル検査は
、ＣＦ内の各システムで実行しなければならない。完全
な暗号分離が不必要であったり、命令セットのサブセッ
トだけで所与のアプリケーションには十分である場合に
は、所与の設計で実施されていない機能については制御
ベクトル検査を省略できる。（コード化されたフィール
ドである制御ベクトルのサブタイプ・フィールドの検査
により、制御ベクトルを無効な組合せを用いて暗号命令
中で混合し突き合わせることができなくなる。この検査
は安全保護にとって重要である。） 命令セットの式は、説明中の暗号機能に関係する機能及
びその機能からの期待される出力に必要な入力を表す。
実際のデータを機能に渡す代わりに、この実施態様では
、データのアドレスを機能に渡すことができる。このア
ドレッシングは、所与のシステムの実施態様によって変
わるので、本明細書では説明しない。
この式は、所与の機能を実行するのに必要なすべてのパ
ラメータとデータをすべて記述する。動作のモードに応
じて、パラメータのすべてまたはいくつかがその機能で
使用されるが、式中の各フィールドは、所与の実施態様
で機能に渡される入力及び出力の実際の値ではなくて、
入力及び出力として処理しなければならない。たとえば
、式のｆｌ　Ａ　Ｉ＋フィールドは、機能に渡されるデ
ータを表し、その物理形式は、命令によってメモリから
取り出され、あるいはメモリに記憶されるデータを指す
３２ビツト・アドレスである。メモリからのデータ・バ
スの幅も実施態様によって変わるが、暗号機能の動作に
よって暗号化または非暗号化（復号化）される入力デー
タは常に８バイトの倍数である。
ＣＶ検査を行なうための基本的な方式には、次の２つが
ある。
１、制御ベクトル中のビットのテスト二制御ベクトルの
各ビットをそれぞれのとるべき値と比べて検査する。そ
れが一致しない場合、条件コードを設定して動作を打ち
切る。たとえば、暗号命令中でＣ■の”Ｅ″ビツト１″
であるかどうか検査され、そうでない場合は、動作が打
ち切られる。
より複雑な命令では、検査はそれほど単純ではない。入
出力動作の意図と制御ベクトルの使用を指定するいくつ
かのパラメータを渡す必要がある。
たとえば、生成キー・セット（ＧＫＳ）中で、出力の特
定の形式を生成するため、命令に対して「モード」が指
定され、制御ベクトル検査は、その「モード」指定に応
じて実行しなければならない。
２、制御ベクトル中のビットの設定：制御ベクトル中で
適切なビットを設定して、動作を実行する。
これは、制御ベクトルの検査が不必要である。たとえば
、暗号命令中で、″Ｅ″ビットが制御ベクトル中で設定
され、動作が実行される。この場合、各命令は、どんな
ビットをどんな条件下で設定すベきかを知らなければな
らない。この戦略はどんな場合でもうまく動作はしない
。たとえば、命令は、「目標制御」のためのビット設定
がなんであるかをどのようにして知るのか。これは、制
御ベクトル中で特定の設定を選ぶことを指示するパラメ
ータを命令に対して指定しなければならないことを意味
する。この手法は、制御ベクトル指定の柔軟性をすべて
なくしてしまう。
上記２つの技術のどちらでも制御ベクトル検査の暗号要
件は満足される。以下の理由で、「制御ベクトルのビッ
ト検査ｊ法（制御ベクトル中のビットが命令によって設
定されない）を選んだ。
１、命令が、どのビットがいつ設定されるかを知る必要
はない。
２、「モード」などのパラメータを渡して、出力の可能
な組合せを得て、入力の組合せを命令に供給する点で非
常に柔軟性がある。
３、設定がＣＦ中でハードコード化されている場合、ア
ーキテクチャを拡張することが非常に難しく、また前も
って可能なすべての組合せを知ることも非常に難しい。
４、ハードウェア実施態様が簡単になり、ソフトウェア
がより柔軟になる。
５、制御ベクトルの意図を保存する。制御ベクトルは（
現在）暗号分離、特に安全保護のために使用されている
。制御ベクトルが、［命令に対して動作または機能を指
定する」ためにＣＡ中で使用されることはない。言い替
えれば、制御ベクトルは、その命令の「拡張命令コード
」のようなものではない。
コード化（ＥＮＣ） 式：　　　　ＫＤ、　Ａ−ｅＫＤ（Ａ）入カニ ＫＤ　　　　　　６４ビット平文キー Ａ　　　　　　　８４ビット平文テキスト出カニ ｅＫＤ（Ａ）　　６４ビット暗号化データ説明：コード
化機能は、６４ビット平文キーを用いてＥＣＭモードで
８バイトの平文テキスト・データを暗号化するのに使用
される。この命令には制御ベクトルは渡されない。
第１０図は、この命令の構成図である。
ＣＣ： １、動作成功 ２、動作失敗 注：動作失敗は、所与の実施態様に特有のどのハードウ
ェア・エラーでもよい。本明細書に記載する条件コード
（ＣＣ）は、命令に対する条件コードの案にすぎず、所
与のシステム中で実施される条件コードは他にも多数あ
る。さらに、ｃｃコードは、所定の実施態様中で機能が
渡さなければならない実際の条件コードではない。本明
細書で使用する番号付けは、暗号アーキテクチャの説明
の便宜上設けたものである。
制御ベクトル検査：なし 復号（ＤＥＣ） 式：　　　　ＫＤ、　ｅＫＤ（Ａ）−Ａ入カニ ＫＤ　　　　　　８４ビット平文キー ｅＫＤ（Ａ）　　８４ビット暗号化データ出力： Ａ　　　　　　　６４ビット暗号化データ説明：復号機
能は、６４ビット平文キーを使用してＥＣＭモードで８
バイト平文テキスト・データを暗号化するのに使用され
る。この命令には制御ベクトルは渡されない。
ＣＣ： １、動作成功 ２、動作失敗（エラー） 制御ベクトル検査：なし 暗号化（ＥＮＣＩ　） 式：　　　　ｅ”ＫＭ、ｃｌ（にＤＩ）、　ＩＣＶ、　
Ａ、　ｎ、　Ｃ１−−−ｅＫＤｌ（ＩＣＶ、Ａ） 入カニ ｅ宰ＫＭ、Ｃ１（ＫＤＩ） ＩＣＶ 制御ベクトルＣ１を用いてマスク・ キー（ＫＭ）のもとて３重暗号化 された６４ビツト・データ・キー （ＫＤＩ）。
６４ビット暗号化データ 注：暗号化ＩＣｖは、ｒＩＣＶ／ Ａ ０Ｃｖ管理」及び「ソフトウェア・ インターフェース」で説明するよ うにＣＦＡＰによって管理される。
出力連鎖値（ＯＣＶ）が必要な 場合、最後の８バイト出力（Ｅ　ｎ） をＯＣＶとして使用しなければな らないが、これは標準的手法では ない。各システム実施態様では、 最終ブロックの暗号化と非暗号化 （復号化）を別のやり方で処理す る。最終ブロック処理及びＯＣｖ 生成技術についての詳細は、「ソ フトウェア・インターフェース」 を参照のこと。ＣＦＡＰは、可能 なすべての最終ブロック暗号化と 非暗号化（復号化）及びＯＣＶ管 理を処理する。
８倍数のバイト・ブロックで暗号 化されるデータ。８バイト・ブロッ クはＡ１、Ａ２１．、、Ａｎであ る。最終ブロックＡｎが８バイト の倍数ではない場合、この命令を 呼び出す前にＣＦＡＰによって埋 込みを行なう必要がある。ＣＦ命 令は常に、入出力として８バイト の倍数のデータを取る。
暗号化する８バイト・ブロックの 数。ｎはできるだけ大きくすべき であるが、システムによって変わ る。ＣＡはｎに対する上限を定義 しない。
例＝８バイト・ブロックの数＝１ ００００かつｎ　　ｍａｘ＝４００ ０の場合、暗号命令は次のように して呼び出される。
一暗号化ｎ＝４０００ 一暗号化ｎ＝４０００ 一暗号化ｎ＝２０００ 注：暗号化の呼出しごとに、その 後で、最後の８バイト暗号化デー ９Ｅｎ　（ＯＣＶ）をＩＣＶ入力と して次の暗号化呼出しに戻さなけ ればならない。
ｃｌ　　　　　　データ・キー（ＫＤＩ）に対する６４
ビツトの制御ベクトル 出カニ ｅＫＤｌ（ＩＣＶ、Ａ）　　暗号化データ、ｎ個のブロ
ック、各ブロックは８バイト（Ｅｌ。
Ｅ２＋　、、＋　Ｅｎ）である。
説明二人力データはＤＥＡ暗号化のＣＢＣモードを用い
て暗号化される。８バイトの倍数のブロックが、ｎ個の
ブロックがすべて暗号化されるまでこの命令によって暗
号化される。
このアーキテクチャは、機能に対する平文ＩＣＶ入力だ
けを定義する。暗号化されたＩＣＶが必要な場合、暗号
命令を使ってデータ・キー（ＫＤ２）でＩＣＶを暗号化
することができる。暗号化ＩＣＶは非暗号化命令を用い
て非暗号化（復号化）できる。暗号化されたＩＣＶとＯ
ＣｖはすべてＣＦＡＰプログラムによって管理される。
入力データが８バイトの倍数のブロックでない場合は、
埋込みを実行しなければならない。この埋込みは、暗号
機能を呼び出す前にＣＦＡＰによって実行しなければな
らない。
ＣＣ： １、動作成功 ２．０１無効 ３、動作失敗（エラー） 制御ベクトル検査 １．０１の検査 −ＣＶタイプ　＝　「データ／互換性」または「データ
／プライバラ」ま たは「データ／ＡＮＳＩＪ −Ｅ使用ビット　＝　１ 一子約（４８：６３）　＝　Ｘ　’　Ｏ’注二本明細書
で説明するすべての命令では、制御ベクトル検査は、検
査に合格しない場合は、命令を打ち切らなければならず
、対応する制御ベクトル無効条件コード（ＣＣ）がオン
になることを暗示している。制御ベクトルに対して１つ
または複数の検査が行なわれる場合、すべての検査が実
行され、すべての検査に合格しないと動作が実行されな
い。いずれかの検査に失格すると、動作を打ち切らなけ
ればならない。
非暗号化（ＤＥＣＩ） 式：　　　　ｅ”ＫＭ、ｃｌ（ＫＤＩ）、　ＩＣＶ、　
ｅＫＤｌ（ＩＣＶ、Ａ）。
ｎ、　Ｃ１−−Ａ 入力 ｅ”ＫＭ、ｃｌ　（Ｋｄｌ） ＩＣＶ 制御ベクトルＣ１を用いてマスク・ キー（ＫＭ）のもとて３重暗号化 された６４ビツト・データ・キー （ＫＤＩ）。
６４ビット平文人力連鎖値 注：暗号化されたＩＣＶは、「■ ＣＶ１０ＣＶ管理」及び「ソフト ウェア・インターフェース」で説 明するようにＣＦＡＰによって管 理される。
出力連鎖値Ｃ０ＣＶ）が必要な ｅ”ＤＫｌ（ＩＣＶ、Ａ） 場合、最後の８バイト入力（Ｅ　ｎ） をＯＣＶとして使用しなければな らないが、これは標準的手法では ない。各システム実施態様では、 最終ブロックの暗号化及び非暗号 化（復号化）を別のやり方で処理 する。最終ブロック処理及びＯＣ Ｖ生成技術の詳細は、「ソフトウェ ア・インターフェース」を参照の こと。ＣＦＡＰは、可能なすべて の最終ブロック暗号化及び非暗号 化（復号化）ならびにＯＣｖ管理 を処理する。
暗号化データ、ｎブロック、各ブ ロックは８バイト（Ｅｌ、Ｅ２．、、、、Ｅｎ）である
。
暗号化する８バイト・ブロックの 数。ｎはできるだけ大きくすべき であるが、システムによって変わ る。ＣＡはｎの上限を定義しない。
注：非暗号化（復号化）の呼出し ごとに、その後で、最後の８バイ トの暗号化データＥｎ　（ＯＣＶ） を次の非暗号化（復号化）呼出し に入力ＩＣＶとして供給しなけれ ばならない。これはＣＦＡＰによっ て管理される。
例＝８バイト・ブロックの数＝１ ｏｏｏｏ及びｎ　　ｍａｘ＝４００ ０の場合、非暗号命令は次のよう にして呼び出される。
非暗号化　ｎ＝４０００ 非暗号化　ｎ＝４０００ 非暗号化　ｎ＝２０００ データ・キー用の６４ピツト制御 ベクトル（ＫＤＩ） 出カニ ８バイトの倍数のブロックの平文 データ。８バイト・ブロックはＡ ＬＡ２９．、＊Ａｎである。
説明二人カデータはＣＢＣのＤＥＡ暗号化モードを用い
て非暗号化（復号化）される。８バイトの倍数のブロッ
クは、ｎ個のブロックがすべて非暗号化（復号化）され
るまでこの命令によって非暗号化（復号化）される。
このアーキテクチャは、機能に対する平文ＩＣＶ入力だ
けを定義する。暗号化されたＩＣＶが必要な場合、Ｃｖ
は暗号化命令を用いてデータ・キー（ＫＤ２）を暗号化
することできる。暗号化されたＩＣＶは非暗号化命令を
用いて非暗号化（復号化）できる。暗号化ＩＣＶとＯＣ
Ｖ、＝’ｓはすべてＣＦＡＰによって管理される。
第１３図はこの命令の構成図である。
ＣＣ： １、動作成功 ２．０１無効 ３、動作失敗 制御ベクトル検査 １．０１の検査 ｃｖ　ｔｙｐｅ　：　ｒデータ／互換性」または「デー
タ／プライバシ」または「データ／ＡＮＳＩ」 Ｄ使用ビット　＝　１ 予約（４８：　６３）＝Ｘ”　０　’ ＭＡＣ生　（ＧＭＡＣ） 式：　　　　ｅ”ＫＭ、ｃｌ　（にＤ２＝１）、　［ｅ
”ＫＭ、Ｃ２（ＫＭ２）］。
ＩＣＶ［ｅ”ＫＭ、Ｃ３（ＯＣＶ）］ Ａ、　ｎ、　１ｃｙ−ｔｙｐｅ、　ｏｕｔｐｕｔ−ｔｙ
ｐｅ。
ｍａｃ−ｅｎｃ＋　ＣＬ　［Ｃ２Ｌ　［Ｃ３］−−−−
−ＭＡＣ（６４ビツト） または ｅ’ＫＭ、ｃ３　（ＯＣＶ） 入カニ ｅ”ＫＭ、ｃｌ　（ＫＤＩ） ｅ”ＫＭ、ｃ２　（ＫＭ２） ＫＤＩは制御ベクトルＣ１を用い てＫＭのもとて３重暗号化された ＭＡＣを単一暗号化するためのＭ ＡＣ生成キーである。
ＫＭ２は、制御ベクトルＣ２を用 いてＫＭのもとて３重暗号化され たＭＡＣを３重暗号化するための ＩＣＶ 任意選択のＭＡＣ生成キーである。
これは、５ａｃ−ｅｎｃ＝１　の場合に、ｍａｃを３重
暗号化するために必要な任 意選択入力である。
ゼロに等しいＩＣＶは、省略時期 期連鎖値であり、ＣＡアーキテク チャ、ＡＮＳＩ　　Ｘ９．９及びＡ ＮＳＩ　　Ｘ９．１９にとって標準 的である。非ゼロの平文ＩＣＶも、 平文ＩＣ■入力が必要なシステム との互換性をもつために使用でき る。暗号化されたＩＣＶ入力は、 機能の安全保護を高めないことが 判明しているので、ＣＡによって 支援されない。暗号化された中間 ＩＣＶは、ＣＡによって支援され る。
注：必要な場合、暗号化ＩＣＶは、 ｒＩＣＶ１０ＣＶ管理」及び「ソ フトウェア・インターフェース」 ｅ”ＫＭ、ｃ３（ＯＣＶ） に記載されているようにＣＦＡＰ によって管理される。
これは特殊制御ベクトルＣ３を用 いてマスク・キーのもとで暗号化 された６４ビツトの中間ＩＣＶで ある。これは、ＭＡＣを生成する ために大きなデータ・ブロック （Ｉｎ）が使用される場合に提供し なければならない任意選択入力で ある。ＩＣＶの非暗号化（復号化） は、機能内部で行なわれる。中間 ＯＣＶは、制御ベクトルを用いて マスク・キーのもとてローカル使 用専用の形で記憶されているので、 ローカル・ノードから送ることは できない。
８バイトの倍数のブロック（ＡＩ　、　Ａ２、、、Ａｎ
）中で、ＭＡＣされるデー タ。
ＭＡＣされる８バイト・ブロック の数。ｎはできるだけ大きくすべ きであるが、システムによって変 わる。ＯＣＡはｎの上限を定義し ない。多数のブロックをＭＡＣＬ なければならない場合、すべての ブロックが完了するまで、ＧＭＡ Ｃが何回も呼び出される。
例ニ システムに対するｎ　　ｍａｘが４ ０００で、ＭＡＣされるデータが １００００個の８バイト・ブロワ クである場合、ＧＭＡＣは次のよ うにして呼び出される。
ＧＭＡＣｎ＝４０００．ｏｕｔｐｕｔ−ｔｙｐｅ＝１．
　ｉｃｙ−ｔｙｐｅ＝０ＧＭＡＣｎ４０００．ｏｕｔｐ
ｕｔ−ｔｙｐｅ＝１．　ｉｃｙ−ｔｙｐｅ＝２ＧＭＡＣ
ｎ＝２０００．ｏｕｔｐｕｔ−ｔｙｐｅ＝ｌ、　１ｃｙ
−ｔｙｐｅ＝２注：　ＧＭＡＣの呼出しごとに、そ の後で中間Ｉ　ＣＶ　Ｃ）　ｅ”ＫＭ、ｃ３（ＯＣＶ）
をＩＣＶ入力として次のＧＭＡＣ 呼出しに戻さなければならない。
１ｃｙ−ｔｙｐｅ ｏｕｔｐｕｔ−ｔｙｐｅ この中間ＩＣＶの非暗号化（復号 化）はＣＦの内部で行なわなけれ ばならない。
１ｃｙ−ｔｙｐｅ　は、機能に渡されたＩＣＶがゼロか
、平文か、それとも 中間ＩＣＶかを示す。中間ＩＣＶ は、制御ベクトルＣ３を用いてマ スフ・キーのもとて３重暗号化さ れる。ゼロのＩＣＶが省略時の値 である。
Ｏ：ゼロＩＣＶ（省略時） １：平文ＩＣＶ ２：中間Ｉ　ＣＶ　（ＯＣＶ） この命令に対するＭＡＣ生成処理 の段階を示す。
０：ＭＡＣ出力 １：中間ＩＣＶ出力（ＯＣＶ） １重または３重暗号化ＭＡＣ出力 を示す。
Ｏ：１重暗号化ＭＡＣ出力 ＣＩ、Ｃ２，Ｃ３ １：３重暗号化ＭＡＣ出力（ＡＮ ＳＩ９．１重要件） それぞれＫＤＩ、ＫＤ２及びＯＣ Ｖ用の６４ビツトの制御ベクトル。
Ｃ２及びＣ３は命令に対する任意 選択入力であり、Ｃ２はｍａｃ−ｅｎｃ＝１の場合に入
力しなければなら ず、Ｃ３は１ｃｖ−ｔｙｐｅ＝２またはｏｕｔｐｕｔ”
ｔＹｐｅ”ｌの場合に入力しなければならない。
出カニ Ｍ　Ａ　Ｃｍａｃ−ｅｎｃパラメータに応じて最終入力
データ・ブロックの１重暗号 化または３重暗号化によって生じ る６４ビツト出力である。
ｅ”ＫＭ、Ｃ３（ＯＣＶ）　　ＯＣＶは、制御ベクトル
Ｃ３を用いてＫＭのもとて３重暗号化され た６４ビツト中間ＩＣＶである。
この出力は、ｏｕｔｐｕｔ−ｔｙｐｅ＝１の場合に限り
有効である。ＭＡＣ出力 と中間ＯＣｖ出力は、安全保護上 の理由から両方同時に出力しては ならない。
説明：入力データはＣＢＣのＤＥＡ暗号化モードで暗号
化され、暗号化されたデータの最終ブロックが出力され
る。１重暗号化モードと３重暗号化モードの２つのモー
ドがある。１重暗号化モードでは、単一キーＫＤ１を使
ってＭＡＣが作成される。３重暗号化モードでは、１重
暗号化モードを使ってＫＤＩを用いてＭＡＣを作成する
。ただし、次いでＫＤ２を用いてＭＡＣを非暗号化（復
号化）し、再びＫＤＩを用いて再暗号化して、最終的に
６４ビツトＭＡＣを作成する。
この命令は６４ビツトのＭＡＣを出力するが、Ｘ９．９
では、６４ビツトＭＡＣ出力の左側の３２ビツトである
３２ビツトＭＡＣが指定されている。ＣＦＡＰは６４ビ
ツトＭＡＣ出力から適切なＭＡＣビットを抽出しなけれ
ばならない。
ＩＣＶは標準としてゼロであり、任意選択としてＧＭＡ
Ｃ命令に対する平文ＩＣＶまたは中間エＣｖでもよい。
暗号化されたＩＣＶが必要な場合、ＣＦＡＰは（ＫＤＳ
）＜７）ｔ、、！：でＩ’ＣＶを暗号化しなければなら
ず、平文ＩＣＶをＧＭＡＣ命令に渡さなければならない
。ＡＮＳＩ　　Ｘ９．９ＭＡＣ基準では、第１ブロツク
に対してゼロのＩＣＶが指定されているので、ここでは
それを標準入力として定義する。しかし、このアーキテ
クチャは、ＭＡＣ生成の可能なあらゆる必要性を満足さ
せるために平文人力及び中間入力を提供する。
ｎ個より多くのブロックに対してＭＡＣ生成が必要な場
合、中間ＩＣＶのオプションを使ってＭＡＣを生成しな
ければならない。この要件は、平文の中間ＩＣＶをさら
さないことによって安全保護を高める。
データ・ブロックが８バイトの倍数のブロックではない
場合、埋込みを行なわなければならない。
埋込みは、この機能を呼び出す前にＣＦＡＰによって実
行しなければならない。ＭＡＣ計算は、ＡＮＳＩ　　Ｘ
９．９−１９８８第５．０節で指定されているように２
進データに対して行なわなければならず、必要に応じて
コード化文字セットをＣＦＡＰによって実施しなければ
ならない。
第１４図は、この命令の構成図である。
ＣＣ： １、動作成功 ２．０１無効 ３、Ｃ２またはＣ３無効 ４、動作失敗（エラー） 制御ベクトル検査 １．０１の検査 Ｃｖタイプ＝「データ／互換性」または「データ／ＭＡ
ＣＪまたは［データ／ＡＮＩＪ ＭＧ使用ビット＝１ 予約（４８：６３）＝Ｘ’Ｏ” ２、　　（ｍａｃ−ｅｎｃ＝１）の場合に０２の検査Ｃ
Ｖタイプ＝「データ／互換性」または［データ／ＭＡＣ
Ｊまたは「データ／ＡＮＩＪ ＭＧ使用ビット＝１ 予約（４８：　６３）＝Ｘ’　０　’ ３、　　（ｉｃｖ−ｔｙｐｅ＝２　またはｏｕｔｐｕｔ
−ｔｙｐｅ＝１　）の場合にＣ３の検査 Ｃｖタイプ＝１中間ＩＣＶ” ＭＡＣ検査（ＶＭＡＣ） 式：　　　　ｅ”ＫＭ、ｃｌ（ＫＤＩ）、　［ｅ”ＫＭ
、Ｃ２（ＫＭ２）］。
ＩＣＶ　［ｅ”ＫＭ、Ｃ３（ＯＣＶ）　］　。
Ａ、　ＭＡＣ，ｎ、　１ｃｖ−ｔｙｐｅ。
ｏｕｔｐｕｔ−ｔｙｐｅ、　ｍａｃ−ｅｎｃ、　ｍａｃ
−１ｅｎ。
Ｃ１，［Ｃ２］、　［Ｃ３］ 一−−−−−イエス／ノー または ｅ”ＫＭ、Ｃ３（ＯＣＶ） 入カニ ｅ”ＫＭ、ｃｌ（ＫＤＩ）　　Ｋ　Ｄ　１は、制御ペク
トλしＣ１を用いてＫＭのもとて３重暗号化され た、ＭＡＣを１重暗号化するため のＭＡＣ検査キーである。
ｅ”ＫＭ、Ｃ２（ＫＭ２）　　Ｋ　Ｄ　２は、制御ベク
トルＣ２を用いてＫＭのもとて３重暗号化され ＩＣＶ た、ＭＡＣを３重暗号化するため のＭＡＣ検査キーである。これは、 ｍａｃ−ｅｎｃ”ｌの場合にＭＡＣを３重暗号化するた
めに必要な任意選択 入力である。
ゼロに等しいＩＣＶは、省略時期 期連鎖値であり、ＣＡアーキテク チャ、ＡＮＳＩ　　Ｘ９．９及びＡ ＮＳＩ　　Ｘ９．１９にとって標準 的である。非ゼロの平文ＩＣＶも、 平文ＩＣＶ入力が必要なシステム と互換性をもつために使用できる。
暗号化ＩＣＶ入力は、機能の安全 保護を高めないことが判明してい るので、ＣＡによって支援されな い。暗号化された中間ＩＣＶはＣ Ａによって支援される。
注：必要な場合、暗号化ＩＣＶは、 ｒＩＣＶ１０ＣＶ管理」及び「ソ フトウェア・インターフェース」 ｅ”ＫＭ、Ｃ３（ＯＣＶ） に記載されているようにＣＦＡＰ によって管理される。
これは、特殊な制御ベクトルＣ３ を用いてマスク・キーのもとて暗 帰化された６４ビット中間ＩＣＶ である。これは、大きなデータ・ ブロック（］ｎ）を使ってＭＡＣを 生成する場合に提供しなければな らない任意選択入力である。ＩＣ Ｖの非暗号化（復号化）は、機能 の内部で行なわれる。中間ＯＣｖ は、制御ベクトルを用いてマスク・ キーのもとでローカル使用専用の 形で記憶されているので、ローカ ル・ノードから送ることはできな い。中間ＩＣＶは、攻撃から保護 するためにＭＡＣ検査処理中秘密 にしなければならない。
８バイトの倍数のブロック（Ａ１．Ａ ２、、、Ａｎ）で、ＭＡＣ中で使用されＭＡＣ るデータ。
１重または３重暗号化された命令 に対する６４ピツトＭＡＣ入力。
省略時には、このＭＡＣの左側３ ２ビツトだけがＭＡＣ比較のため に使用される。５ａｃ−１ｅｎを使って、他の比較長を
明示的に指定するこ とができる。
ＭＡＣされる８バイト・ブロック の数。ｎはできるだけ大きくすべ きであるが、システムによって変 わる。多数のブロックをＭＡＣ検 査しなければならない場合、すべ てのブロックが完了するまで、Ｖ ＭＡＣが何回も呼び出される。
例ニ システムに対するｎ　　ｍａｘが４ ０００で、検査されるデータは１ ００００個の８バイト・ブロック である場合、ＶＭＡＣは次のよう １ｃｙ−ｔｙｐｅ にして呼び出される。
注：ＶＭＡＣの呼出しごとに、そ の後で中間Ｉ　ＣＶ　ｅ”ＫＭ、Ｃ３（ＯＣＶ）をＩＣ
Ｖ入力として次のＶＭＡＣ 呼出しに戻さなければならない。
この中間ＩＣＶの非暗号化（復号 化）はＣＦの内部で行なわなけれ ばならない。
Ｖ）４ＡＣｎ＝４０００．　ｏｕｔｐｕｔ−ｔｙｐｅ＝
１．　ｉｃｙ−ｔｙｐｅ＝０ＶＡＭＣｎ＝４０００．　
ｏｕｔｐｕｔ−ｔｙｐｅ＝１．　ｉｃｙ−ｔｙｐｅ＝２
ＶＭＡＣｎ＝２０００．　ｏｕｔｐｕｔ−ｔｙｐｅ二〇
、　１ｃｖ−ｔｙｐｅ＝２ｉｃｙ−ｔｙｐｅはその機能
に渡される■ＣＶがゼロか、平文か、それとも 中間ＩＣＶかを示す。中間ＩＣＶ は制御ベクトルＣ３を用いてマス ク・キーのもとて３重暗号化され る。
０：ゼロＩＣＶ（省略時） １：平文ＩＣＶ ２：中間Ｉ　ＣＶ　（ＯＣＶ） ｏｕｔｐｕｔ−ｔｙｐｅ この命令に対するＭＡＣ検査処理 段階を示す。
０：ＭＡＣ検査出力 １：中間ＩＣＶ出力（ＯＣＶ） ｍａｃ−ｅｎｃは１重または３重暗号化ＭＡＣ入力であ
る。
０：１重暗号化ＭＡＣ人力 １：３重暗号化ＭＡＣ入力（ＡＮ ＳＩ９．１９要件） ｍａｃ−１ｅｎは比較すべきＭＡＣのバイト数を指定す
る。省略時には左 側４バイトが比較される。
０：左側４バイト １：左側５バイト ２：左側６バイト ３：左側７バイト ４：８バイト 注＝４．５．６．７．８バイトの ＭＡＣ検査を行なうと、８バイト ＭＡＣのＭＡＣ生成処理が覆える Ｃ１，Ｃ２，Ｃ３ 出カニ ｙｅｓ／ｎ。
ｅ”ＫＭ、Ｃ３（ＯＣＶ） ことがある。暗号機構でこの問題 を解決する解決方法はないが、Ｃ ＦＡＰでは異なる長さのＭＡＣ検 査のための何らかの検査を考慮で きる。この問題についてはさらに 調査が必要である。
それぞれＫＤＩ、ＫＤ２及びＯＣ ｖ用の６４ビツト制御ベクトル。
Ｃ２及びＣ３はこの命令に対する 任意選択入力である。ｍａｃ−ｅｎｃ＝１の場合はＣ２
が必要であり、ＩＩｃＶ ｔｙｐｅ＝２またはｏｕｔｐｕｔ−ｔｙｐｅ＝１の場合
は、Ｃ３が必要である。
ＭＡＣが検査される／されない。
ＯＣＶは、制御ベクトルＣ３を用 いてＫＭのもとて３重暗号化され た６４ピツトの中間ＩＣＶである。
これは、ｏｕｔｐｕｔ−ｔｙｐｅ＝１に対して有効な任
意選択出力である。
説明二人力データは、データ・キーＫＤＩを用いてＣＢ
ＣのＤＥＡ暗号化モードで暗号化され、最終的に暗号化
されたブロックの左側３２ビツトが供給されるＭＡＣと
等しいかどうか比較される。
３２ビツトのＭＡＣ比較対象値が省略時の値である。他
の比較はｍａｃ−１ｅｎパラメータで指定されるように
行なわなければならない。ＣＣ：＝１はＭＡＣが等しい
場合に設定され、ＣＣ＝２はＭＡＣが等しくない場合に
設定される。２つの暗号化モードがある。１重暗号化モ
ードでは、単一キーＫＤ１を使ってＭＡＣが作成される
。３重暗号化モードでは、単一暗号化モードを使ってＫ
ＤＩを用いてＭＡＣを作成する。ただし、次いでＭＡＣ
をＫＭ２を用いて非暗号化（復号化）シ、再びＫＤｌを
用いて再暗号化し、最終的に６４ピツ）ＭＡＣを作成す
る。ＭＡＣはｍａｃ−ｅｎｃ入力で指定されるように生
成され、次いで機能に供給されるＭＡＣと比較される。
最初のＩＣＶは標準としてゼロであり、任意選択で平文
とすることである。中間ＩＣＶは、ＭＡＣされたデータ
が長さｎブロックより大きい場合に使用しなければなら
ない。
データ・ブロックが８バイトの倍数のブロックではない
場合、埋込みを行なわなければならない。
埋込みは、この命令を呼び出す前にＣＦＡＰによって実
行しなければならない。
第１５図はこの命令の構成図である。
ＣＣ： １、ＭＡＣが等しい ２、ＭＡＣが等しくない ３．０１無効 ４、Ｃ２またはＣ３無効 ５、動作失敗（エラー） 制御ベクトル検査 １．０１の検査 Ｃｖタイプ＝「データ／互換性」または「データ／ＭＡ
ＣＪまたは［データ／ＡＮＩＪ ＭＶ使用ビット＝１ 予約（４８：　６３）＝Ｘ’　Ｏ。
２、　（ｍａｃ−ｅｎｃ＝１）の場合に０２の検査Ｃｖ
タイプ＝「データ／互換性」または「データ／ＭＡＣＪ
または「データ／ＡＮＩＪ ＭＧ使用ビット＝１ 予約（４８：６３）＝Ｘ’Ｏ’ ３、　（ｉｃｙ−ｔｙｐｅ＝２またはｏｕｔｐｕｔ−ｔ
ｙｐｅ＝１）の場合に０３の検査 Ｃｖタイプ＝「中間ＩＣＶＪ 暗号テキスト　換（ＴＣＴＸＴ） 式：　　　　ｅ”ＫＭ、ｃｌ（ＫＤＩ）、　ＩＣＶＩ、
　ｅＫＤｌ（ＩＣＶＩ、Ａ）。
ｅ”ＫＭ、Ｃ２（ＫＭ２）、　ＩＣＶ２．　ｎ、　Ｃ１
，Ｃ２−−−−ｅＫＤ２（ＩＣＶ２．Ａ） 入カニ ｅ”ＫＭ、ｃｌ　（ＫＤＩ） ＩＣＶ１ ｅＫＤｌ（ＩＣＶＩ、Ａ） ＫＤＩは、制御ベクトルＣ１を用 いてＫＭのもとて３重暗号化され た入力データ・キーである。
６４ビツトの平文ＩＣＶ ＫＭ２は、制御ベクトルＣ２を用 いてＫＭのもとて３重暗号化され た出力データ・キーである。
ＩＣＶ２　　　８４ビツトの平文ＩＣＶｎ　　　　　　
変換される８バイトのデータ・ブロック数 ＣＩ、Ｃ２それぞれＫＤＩ、ＫＭ２用の制御ベクトル 出カニ ｅＫＤ２（ＩＣＶ２．Ａ）　　Ｉ　ＣＶ　２を使ってデ
ータ・キーＫＤ２のもとて暗号化されたデータ Ａを出力する。
説明：暗号化テキスト変換命令は、あるデータ・キー及
びＩＣＶから他のデータ・キーとＩＣＶにデータを変換
する。この命令は、データ／変換キー及びデータ／互換
性キーで動作する。Ｃ■キーまたはＣＶ＝Ｏキーがデー
タを変換するのに使用できるが、これらのキー・タイプ
の混合と突合せは、この命令によって許されない。デー
タは最高ｎ個の８バイト・ブロックまで可能であり、変
換は暗号機構内で行なわれ、暗号機構の外部で平文デー
タがさらされることはない。
ＩＣＶ入力ＩＣ：Ｖｌ及びＩ　ＣＶ２は命令に対する平
文ＩＣＶ入力しかとれない。中間ＩＣＶはこの命令によ
って供給されない。ｎ個を超えるデータ・ブロックを変
換しなければならず、データを連鎖しなければならない
場合、ＣＦＡＰは最後の８バイトの暗号化ブロック（Ｅ
ｎ）をＩＣＶに対する入力として渡さなければならない
。暗号化ＩＣＶが使用される場合、工Ｃｖを命令に渡す
前にＩＣＶを非暗号化（復号化）しなければならない。
注：暗号化テキスト変換命令は、Ｃ■専用キー（すなわ
ち、データ変換キー）で動作するように特に設計されて
いる。互換性モード暗号テキスト変換のオプションは提
供されない。それを克服するため、暗号テキスト変換命
令は、ＤとＥ属性及びＸＤｉｎとＸＤｏｕｔ属性をもつ
データ・キーを受け入れる。しかしこれは、平文データ
が偶然にさらされるのを減らすためのサービスとして提
供される。というのは、内部の不正使用者が、非暗号命
令を使ってデータを回復できるからである。
互換性モードで暗号テキスト変換キーを分離することは
できず、そのための制御ベクトルを作成しても、安全保
護は幻想でしかない。実際、（Ｃｖ＝Ｏチャネルを介し
て送られた）所期の変換キーを搬入することにより、Ｒ
ＴＭＫ命令を用いて攻撃を行なうことが可能である。し
たがって、暗号テキスト変換データ・チャネルは、その
チャネルを介して送られたデータを非暗号化（復号化）
することによって覆えされる。
第１６図はこの命令の構成図である。
ＣＣ： １、動作成功 ２、Ｃ１またはＣ２無効 ３、動作失敗 制御ベクトル検査 １．０１の検査 Ｃｖタイプ＝「データ／変換」または「データ／互換性
」 （ＣＶタイプ＝「データ／変換」）の場合、ＸＤ　ｉ　
ｎ＝　１ 予約（４８：　６３）＝Ｘ“０１ ２、　　（ｍａｃ−ｅｎｃ＝１）の場合に０２の検査Ｃ
Ｖタイプ＝「データ／変換」または「データ／互換性」 ＣＣＶタイプ＝「データ／変換」）の場合、ＸＤｏｕｔ
＝１ 予約（４８：８３）＝Ｘ’０’ ３．０１と０２の検査 Ｃｖタイプ（Ｃ１）＝「ＣＶタイプ（Ｃ２）」キー・セ
ット生　（ＧＫＳ） 式：　　　　　ｏｐ−ｏｐモード ｍｑｄｅ、　Ｃ３，Ｃ４，−−−ｅ”ＫＭ、Ｃ３（Ｋ）
、ｅ”ＫＭ、Ｃ４（Ｋ） 式： 式： ０Ｐ−ＥＸモード ｍｏｄｅ、Ｃ２Ｌ、Ｃ２Ｒ，Ｃ３，Ｃ４゜ｅ”ＫＭ、ｃ
２Ｌ（ＫＥＫ２Ｌ）、　ｅ”ＫＭ、ｃ２Ｒ（ＫＥに２Ｒ
）−−−ｅ”ＫＭ、Ｃ３（Ｋ）、　　ｅ”ＫＥＫ２．Ｃ
４（Ｋ）ＥＸ−ＥＸモード ｍｏｄｅ、ＣＩＬ＋　　ＣＩＲ，Ｃ２Ｌ、Ｃ２Ｒ，Ｃ３
゜Ｃ４，ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＬ）、　ｅ”ＫＭ
、ｃＩＲ（ＫＥＫＩＲ）、　ｅ”ＫＭ、ｃ２Ｌ（ＫＥＫ
２Ｌ）。
式： 式： ｅ”ＫＭ、ｃ２Ｒ（ＫＥＫ２Ｒ） −−−−−ｅ”ＫＭ、Ｃ３（Ｋ）、　ｅ”ＫＥＫ２．Ｃ
４（Ｋ）ＯＰ−ＩＭモード ｍｏｄｅ、　　Ｃ２Ｌ、　　Ｃ２Ｒ，Ｃ３，Ｃ４＋ｅ”
ＫＭ、ｃ２Ｌ（ＫＥＫ２Ｌ）、　ｅ”にＭ、Ｃ２Ｒ（Ｋ
ＥＫ２Ｒ）−−−−−ｅ”ＫＭ、Ｃ３（Ｋ）、　ｅ”Ｋ
ＥＫ２．Ｃ４（Ｋ）ＩＭ−ＥＸモード ｍｏｄｅ、　ＣＩＬ、　ＣＩＲ，Ｃ２Ｌ、　　Ｃ２Ｒ，
Ｃ３゜Ｃ４，ｅ’ＫＭ、ｃＩＬ（にＥＫＩＬ）、　ｅ”
ＫＭ、ｃＩＲ（ＫＥＫＩＲ）、　ｅ”ＫＭ、ｃ２Ｌ（Ｋ
ＥＫ２Ｌ）。
ｅ”ＫＭ、ｃ２Ｒ（ＫＥＫ２Ｒ） −−−−−ｅ”ＫＭ、Ｃ３（Ｋ）、　ｅ”ＫＥＫ２．Ｃ
４（Ｋ）入カニ ｍｏｄｅ ＧＫＳ命令の入出力形式とキー化 成モードを示す。キー生成モード のさらに詳しい説明は「キー管理」 の節に記載されている。
０：ｏｐ−ｏｐ（動作−動作） １　：　０Ｐ−ＥＸ　（動作−搬出） ２　：　ＥＸ−ＥＸ　（搬出−搬出） ＣＩＬ、ＣＩＲ Ｃ２に、Ｃ２Ｒ ３：　ＯＰ−ＩＭ　（動作−搬入） ４　：　ＩＭ−ＥＸ　（搬入−搬出） これらは６４ビツトの制御ペクト ルで、１２８ビツトのＫＥＫｉ用 の左右の制御ベクトルである。Ｃ ＩＬはＫＥＫ　Ｉ　Ｌ用の制御ベクト ルであり、ＣＩＲはＫＥＫ　ＩＲキー 用の制御ベクトルである。実際の 実施態様は、１つのＣｖだけを渡 して、ＣＦに制御ベクトル中の 「キー形式ｊビットを暗黙に設定 させる。このＣＡアーキテクチャ は、各ＫＥＫ用の左右の制御ベク トルを別々に渡すように選択した ものである。ＣＦＡＰは、ＫＥＫ 用のこれらの２つのタイプのＣｖ を生成し管理しなければならない。
これらは６４ビツト制御ベクトル で、１２８ビツトのＫＥＫ２用の 左右の制御ベクトルである。Ｃ２ ＬはＫＥＫ２Ｌ用の制御ベクトル であり、Ｃ２ＲはＫＥＫ２Ｒキー 用の制御ベクトルである。
Ｃ３，Ｃ４これらは出力キー用の６４ビツト制御ベクト
ルである。
ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＬ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｌは６４ビツトの左キー暗号化キーであり、制御ベクト
ル ＣＩＬを用いてマスク・キーＫＭ のもとて３重暗号化された１２８ ビットのキー暗号化キーＫＥＫ　１ の一部分である。
ｅ”ＫＭ、ｃＩＲ（ＫＥＫＩＲ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｒは６４ビツトの右キー暗号化キーであり、制御ベクト
ル ＣＩＲを用いてマスク・キーＫＭ のもとて３重暗号化された１２８ ビットのキー暗号化キーＫＥＫ　１ の一部分である。
ｅ”ＫＭ、Ｃ２Ｒ（ＫＥＫ２Ｌ）　　Ｋ　Ｅ　Ｋ　２　
Ｌは６４ビツトの左キー暗号化キーであり、制御ベクト
ル Ｃ２Ｌを用いてマスク・キーのも とで３重暗号化された１２８ビツ トのキー暗号化キーＫＥＫ２の− 部分である。
ｅ”ＫＭｃ２Ｒ（ＫＥに２Ｒ）　　ＫＥＫ２Ｒは６４ビ
ツトの右キー暗号化キーであり、制御ベクトル Ｃ２Ｒを用いてマスク・キー″Ｍ” のもとて３重暗号化された１２８ ビットのキー暗号化キーＫＥＫ２ の一部分である。
注：互換性のために、このアーキテクチャは単長（６４
ビツト）及び倍長（１２８ビツト）のキー暗号化キー（
ＫＥＫ）を支援する。しがし、すべてのＫＥＫは、ＣＫ
ＤＳ　（キー記憶機構）に１２８ビツト・キーとして記
憶される。真の倍長キーＫＥＫ＝ＫＥＫ　１ｅｆｔ　１
１　ＫＥＫ　ｒｉｇｈｔ　（ただし、ＫＥＫＩｅｆｔは
ＫＥＫの左側６４ビツト、ＫＥＫｒｉｇｈｔ右は右側６
４ビツト）は、何らかのｃｖＬＣ及びＣＲを使ってマス
ク・キー”ＫＭのもとて３重暗号化されて記憶される。
記憶される形は、ｅ”ＫＭ、ｃ（ＫＥＫ）：ｅ”ＫＭ、
ＣＬ（にＥＫ左）　１１　ｅ”ＫＭ、ｃＲ（ＫＥＫ右）
で表される１２８ビツトである。単長キーＫＥＫは、キ
ーを複製して１２８ビツト・キーを形成することにより
処理される。ＫＥＫ　１１　ＫＥＫは次いで＊ＫＭと制
御ベクトルＣＬ１ＣＲのもとて３重暗号化される。した
がって、記憶される形は、ｅｏにＭ、Ｃ（ＫＥＫ３３Ｋ
Ｅに）＝ｅ”ＫＭ、ＣＬ（にＥＫ）　１１　ｅ”ＫＭ、
ｃＲ（にＥＫ）で表される１２８ビツトである。複製さ
れたＫＥＫ制御ベクトルの「キー形式」ビットは、制御
ベクトルＣＬとＣＲ中でそれぞれ０１″であり、したが
ってＫＥＫを６４ビット形式でだけ記憶する宛先でキー
を回復することができる。通常のＫＥＫ制御ベクトルの
「キー形式」ビットは、ＣＬに対しては”１０”、ＣＲ
に対しては１１″であり、したがってそれらは完全な分
離を実現し、２”１１２個の作業因数を保持する。
出カニ ｅ”ＫＭ、Ｃ３（Ｋ） Ｋは、制御ベクトルＣ３を用いて ＫＭのもとて３重暗号化された６ ４ピツトのランダム生成キーであ る。制御ベクトルＣ３は常に使用 ｅ”ＫＭ、Ｃ４（Ｋ） ｅ”ＫＥＫｌ、Ｃ３（Ｋ） される。キーには奇数パリティで 調整される。このキーは、ノード の内部で使用できる動作キーであ る。
Ｋは、制御ベクトルＣ４を用いて ＫＭのもとて３重暗号化された６ ４ビツトのランダム生成キーであ る。制御ベクトルＣ４は常に使用 される。キーには奇数パリティで 調整される。このキーは常に使用 される。このキーは、ノード内部 で使用できる動作キーである。
Ｋは、制御ベクトルＣ３を用いて ＫＥＫｌのもとて暗号化された６ ４ビツトのランダム生成キーであ る。制御ベクトルＣ３は常に使用 される。キーには奇数パリティで 調整される。１２８ビツトのＫＥ Ｋは、０３制御ベクトルの代わり にＣ３ＬとＣ３Ｒで２回ＧＫＳを 呼び出すことによって生成できる。
ＣＦＡＰは必要に応じてこれらの 制御ベクトルのパスを制御しなけ ればならない。
ｅ”ＫＥＫ２．Ｃ４（Ｋ）　　Ｋは、制御ベクトルＣ４
を用いてＫＥＫ２のもとて暗号化された６ ４ビツトのランダム生成キーであ る。制御ベクトルＣ４は常に使用 される。キーには奇数パリティで 調整される。１２８ビツトＫＥＫ は、Ｃ４制御ベクトルの代わりに Ｃ４ＬとＣ４Ｒで２回ＧＫＳを呼 び出すことによって生成される。
ＣＦＡＰは必要に応じて制御ベク トルのパスを制御しなければなら ない。
説明：ＧＫＳ命令は、ランダムな奇数パリティで調整さ
れた６４ビツト・キーを生成し、２つの制御ベクトルＣ
３と０４で示される２つの属性をもつ。１２８ビツトの
パリティ調整されたキーは、ＧＫＳ命令を２回発行する
ことによって生成できる。ＧＫＳ命令は、Ｃｖチャネル
上でベクトル・システムを制御するためにキーを搬出す
ることができるだけである。互換性モードのキーは、Ｇ
ＫＳ命令によって生成されない。すべての互換性モード
・キーは、ＫＧＥＮを使って生成され、ＲＦＭＫを介し
て送らなければならない。互換性モード・キーは、ＣＶ
チャネル（リンク上のＣＶを使って）またはＣＶ＝Ｏチ
ャネルを介して送ることができる。
ＧＫＳ命令は、生成されたキーのコピーを２つだけ作成
することにより、高度の安全保護をもたらす。それらの
コピーは、２つの目的システムに属するキーのもとて暗
号化される。Ｃ３及びＣ４で表される生成キーの２つの
コピーに関連する制御ベクトルは、キーの所期の用途に
応じて同じことも異なることもある。
ＧＫＳ命令は、第１６表に示したキーを生成し分配する
のに使用される。
ＣＡシステム中のすべてのキーは１２８ビットＫＥＫの
もとて３重暗号化（ＥＤＥ）されて出力される。複製さ
れた６４ビツトＫＥＫは、６４ピツ）ＫＥＫだけを支援
するノードにキーを送るために使用される。受信側ノー
ドが１２８ビツトを支援する場合、そのノードは３重非
暗号化（ＤＥＤ）によってキーを回復することができる
。受取側が６４ピツ）ＫＥＫだけを支援する場合、１重
暗号化によってキーを回復することができる。すべての
ＫＥＫは、１２８ビツトの暗号化された量であるｅ”Ｋ
Ｍ、ｃＩＬ（ＫＥＫＬ）　１１　ｅ’ＫＭ、ｃＩＲ（Ｉ
ＫＥＫＲ）　としてマスク・キーのもとで記憶される。
ＣＩＬは左部分キー制御ベクトルで、ＣＩＲは右部分キ
ー制御ベクトルである。ＣＩＬ及びＣＩＲ制御ベクトル
は、左右の部分を区別するための「キー形式」フィール
ドをもつ。これにより、作業因数が約２１５６の倍長キ
ー（ただし左右部分は等しくない）に対する内部者の攻
撃がなくなる。１２８ビツト・キーに対する内部者の攻
撃は２Ｉ５６の程度である。
第１７図はこの命令の構成図である。
ＣＣ： １．動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３．０２ＬまたはＣ２Ｒ無効 ４．０３無効 ５．０４無効 ６、動作失敗（誤り） 制御ベクトル検査：モード＝０　（ＯＰ−ＯＰ）の場合
、以下の検査を行なう。
１．０３の検査 Ｃｖタイプ＝「データ／ブライバラ」または「データ／
ＭＡＣＪ 反バリアント（３０）＝“０“ 反バリアント（３８）＝”　１　’ 予約（４Ｂ：８３）＝Ｘ’０’ ２．０４の検査 Ｃｖタイプ＝「データ／プライハシ」または「データ／
ＭＡＣＪ 反バリアント（３０）＝’Ｏ“ 反バリアント（３８）＝’　１　’ 予約（４８：６３）＝Ｘ’Ｏ。
３．０３とＣｒの検査 第１７表は、検査を必要とするＣ３属性とＣ４属性の有
効な組合せを示す。表の組合せ以外のどの組合せも暗号
上無効であり、許されてはならない。
モード＝　１　（ＯＰ−ＥＸ）の場合、以下の検査を行
なう。
１、Ｃ２Ｌの検査 ＣＶタイプ：　ｒＫＥＫ／送信側」 −ＧＫＳ使用ビット（１）＝１ 予約（４８：６３）＝Ｘ’Ｏ’ ２、Ｃ２Ｒの検査 ＣＶタイプ＝　ｒＫＥＫ／送信側」 ＧＫＳ使用ビット（１）＝１ 予約（４８：６３）＝Ｘ”０’ ３．０３の検査 ＣＶタイプ＝「データ／プライハシ」、「データ／ＭＡ
ＣＪ、ｒデータ／変換」、ｒＫＥＫ／送信側Ｊ、ｒＫＥ
Ｋ／受信側」またはｒＰＩＮ／ＰＥＫＪ 反バリアント（３０）＝“０゜ 反バリアント（３８）＝”ｌ“ 予約（４８：　６３）＝Ｘ’　０　” ４．０４の検査 ＣＶタイプ＝「データ／プライハシ」、「データ／ＭＡ
ＣＪ、ｒデータ／変換」、ｒＫＥＫ／送信側Ｊ　、ｒＫ
ＥＫ／受信側」またはｒＰＩＮ／ＰＥＫ」 反バリアント（３０）＝’Ｏ。
反バリアント（３８）＝’ｌ” 予約（４８：　６３）＝Ｘ“０１ ５、Ｃ３とＣ２Ｌ、Ｃ２Ｒの検査 Ｃｖタイプ（Ｃ３）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式（Ｃ３）＝’ＩＯ”または
′１１′の場合、キー形式（Ｃ２Ｌ）＝　’　１０“か
つキー形式（Ｃ２Ｒ）＝’ｌｌ’ ６、Ｃ４とＣ２Ｌ１Ｃ２Ｒの検査 ＣＶタイプ（Ｃ４）＝　ｒＫＥＫ／送信側」またはｒＫ
　Ｅ　Ｋ／受信側」かつキー形式（Ｃ４）＝“１０′ま
たは１１１“の場合、キー形式（Ｃ２Ｌ）＝’　１０°
かっキー形式（Ｃ２Ｒ）＝”ｌｌ’ ７、Ｃ２ＬとＣ２Ｒの検査 第１８表は、検査が必要なＣ２Ｌ属性とＣ２Ｒ属性のを
効な組合せを示す。表の組合せ以外のどの組合せも暗号
上無効であり、許されてはならない。
８．０３と０４の検査 Ｃ３とＣ４は第１９表に示す組合せを満足しなければな
らない。他の組合せは許されない。
モード＝　２　（ＥＸ−ＥＸ）　　の場合、以下の検査
を行なう。
１、ＫＥＫＩとＫＥＫ２の検査 ＫＥＫＩＬ　１１　ＫＥＫＩＲ＝　ＫＥＫ２Ｌ　１１　
（１２８ビツト　・　キ　−　） 注：　ＫＥＫが一致しないことを検査すると、ＢｉＤｉ
キーはノードに送られなくなる。
２、ＣＩＬの検査 Ｃｖタイプ＝「ＫＥＫ／送信側」 ＧＫＳ使用ビット（２）＝１ 予約（４８：８３）＝Ｘ’Ｏ’ ３、ＣＩＲの検査 ＣＶタイプ＝　ｒＫＥＫ／送信側」 ＧＫＳ使用ビット（２）＝１ 予約（４８：６３）＝Ｘ’Ｏ“ ４、Ｃ２Ｌの検査 ＣＶタイプ＝ｒＫＥＫ／送信側」 ＧＫＳ使用ビット（２）＝１ 予約（４８：６３）＝Ｘ’Ｏ’ ５、Ｃ２Ｈの検査 ＣＶタイプ＝　ｒＫＥＫ／送信側」 ＧＫＳ使用ビット（１）＝１ 予約（４８：８３）＝Ｘ’Ｏ’ ６．０３の検査 ＣＶタイプ＝「データ／プライハシ」、「データ／ＭＡ
ＣＪ、「データ／変換」、ｒＫ　Ｅ　Ｋ／送信側」、ｒ
Ｋ　Ｅ　Ｋ／受信側」またはｒＰＩＮ／ＰＥＫＪ 反バリアント（３０）＝“０″ 反バリアント（３Ｂ）＝“１７ 予約（４８：６３）＝Ｘ’０’ ７．０４の検査 Ｃｖタイプ＝「データ／プライハシ」、「データ／ＭＡ
ＣＪ、ｒデータ／変換」、ｒＫＥＫ／送信側」、ｒＫＥ
Ｋ／受信側」またはｒＰＩＮ／ＰＥＫＪ 反バリアント（３０）＝９０′ 反バリアント（３８）＝’　１　’ 予約（４８：６３）＝Ｘ’Ｏ’ ８、ＣＩＬとＣＩＲの検査 第１８表の説明と同じ。
９、Ｃ２ＬとＣ２Ｈの検査 第１８表の説明と同じ。
１０、Ｃ３とＣ４の検査 第１９表の説明と同じ。
１１、Ｃ３とＣ２Ｌ１Ｃ２Ｈの検査 Ｃｖタイプ（Ｃ３）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式（Ｃ３）＝’ｌＯ“または
！１１′の場合、キー形式（Ｃ２Ｌ）＝　’　１０　’
　が−）キー形式（Ｃ２Ｒ）＝’１１’ １２、Ｃ４とＣ２Ｌ１Ｃ２Ｒ（７）検査ＣＶタイプ（Ｃ
４）＝　ｒＫＥＫ／送信側」またはｒＫＥＫ／受信側」
かっキー形式（Ｃ４）＝“１０゛または１１“の場合、
キー形式（Ｃ２Ｌ）＝　’　１０“がっキー形式（Ｃ２
Ｒ）＝’ｌｌ’ モード＝３（ＯＰ−ＩＭ）の場合、以下の検査を行なう
。
（このモードはファイル・アプリケーションを支援する
。） １、Ｃ２Ｌの検査 −ＣＶタイプ＝　ｒＫＥＫ／受信側」 ＧＫＳ使用ビット（１）＝１ 予約（４８：６３）＝Ｘ’Ｏ’ ２、Ｃ２Ｒの検査 ＣＶタイプ＝ｒＫＥＫ／受信側」 ＧＫＳ使用ビット（１）＝１ −　予約（４８：６３）＝Ｘ’Ｏ’ ＝１６９ ３．０３の検査 Ｃｖタイプ＝「データ／ブライバラ」、「データ／ＭＡ
ＣＪ　、または「データ／変換」 反バリアント（３０）＝’Ｏ。
反バリアント（３８）＝’ｌ。
予約（４８：　６３）＝Ｘ　’　Ｏ“ ５、Ｃ２ＬとＣ２Ｈの検査 第１８表の説明と同じ。
６．０３と０４の検査 第２０表は、検査が必要なＣ３と０４の有効な組合せを
示す。表の組合せ以外のどの組合せも暗号上無効であり
、許されてはならない。
モード＝４（ＩＮ−ＥＸ）の場合、以下の検査を行なう
。
（このモードはＩＢＭ　　ＳＮＡ複数定義域アプリケー
ションに使用される。） １、ＣＩＬの検査 Ｃｖタイプ＝　ｒＫＥＫ／受信側」 ＧＫＳ使用ビット（０）＝１ 予約（４８：６３）＝Ｘ’Ｏ’ １７〇− ２、ＣＩＲ（７）検査 Ｃｖタイプ＝　ｒＫＥＫ／受信側」 ＧＫＳ使用ビット（０）＝１ 予約（４８：　６３）＝Ｘ“０“ ３、Ｃ２Ｌの検査 ＣＶタイプ＝　ｒＫＥＫ／送信側」 ＧＫＳ使用ビット（０）＝１ 予約（４８：　６３）＝Ｘ’　Ｏ’ ４、Ｃ２Ｒの検査 ＣＶタイプ＝　ｒＫＥＫ／送信側」 ＧＫＳ使用ビット（０）＝１ 予約（４８：　６３）＝Ｘ“０“ ５．０３の検査 ＣＶタイプ二「データ／ブライバフ」、「データ／ＭＡ
ＣＪ、「データ／変換」またはｒＫ　Ｅ　Ｋ／送信側」 反バリアント（３０）＝’Ｏ’ 反バリアント（３８）＝”ｌ“ 予約（４８：Ｅ！３）＝Ｘ’０゜ ６．０４の検査 Ｃｖタイプ＝「データ／プライハシ」、「データ／ＭＡ
ＣＪ、ｒデータ／変換」、ｒＫ　Ｅ　Ｋ／送信側Ｊ、ｒ
ＫＥＫ／受信側」またはｒＰＩＮ／ＰＥＫＪ 反バリアント（３０）＝’０’ 反バリアント（３８）＝“１′ 予約（４８：　６３）＝Ｘ“０゛ ７、ＣＩＬとＣＩＲの検査 第１８表の説明と同じ。
８、Ｃ２ＬとＣ２Ｈの検査 第１８表の説明と同じ。
９．０３と０４の検査 第１９表の説明と同じ。
１０、Ｃ３とＣ２Ｌ１Ｃ２Ｒの検査 Ｃｖタイプ（Ｃ３）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式％式％（７） キー形式（Ｃ２Ｌ）＝’ｌＯ”かつキー形式（Ｃ２Ｒ）
＝’ｌｌ’ １１、Ｃ４とＣ２Ｌ１Ｃ２Ｒの検査 Ｃｖタイプ（Ｃ４）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式（Ｃ４）＝’ＩＯ’または
’ｌ１Ｍ）場合キー形式（Ｃ２Ｌ）＝’ｌＯ’かつキー
形式（Ｃ２Ｒ）＝’１１゜ マスク・キーからの再暗号化（ＲＦＭＫ）式：　　　　
　ｄｉｓｔ−ｍｏｄｅ、　ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩ
Ｌ）。
ｅ”ＫＭ、ｃＩＲ（ＫＥＫＩＲ）、　ｅ”ＫＭ、Ｃ２（
Ｋ）。
ＣＩＬ、　ＣＩＲ，Ｃ２，Ｃ３−−−−−ｅ”ＫＥＫ、
Ｃ３（Ｋ） 入カニ ｄｉｓｔ−ｍｏｄｅ　　　キーを送るのに使うチャネル
のタイプを示す。たとえば、ＣＶｌＣ ｖ＝０チャネルはキーを送るのに 使用される。
０：ＣＶ＝Ｏ（チャネル） １：ＣＶ（チャネル） ｅ’ＫＭ、ｃＩＬ（ＫＥＫＩＬ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｌは、６４ビツトの左キー暗号化キーであり、制御ベク トルＣＩＲを用いてマスク・キー ＫＭのもとて３重暗号化された１ ２８ビツトのキー暗号化キーＫＥ Ｋ１の一部分である。
ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＬ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｌは、６４ビツトの右キー暗号化キーであり、制御ベク トルＣＩＲを用いてマスク・キー ＫＭのもとて３重暗号化された１ ２８ビツトのキー暗号化キーＫＥ Ｋ１の一部分である。
ｅ”ＫＭ、Ｃ２（Ｋ）　　　Ｋは、制御ベクトルＣ２を
用いてＫＭのもとで３重暗号化された６ ４ビツト・キーである。Ｃ２はキー を回復するために使用される入力 制御ベクトルである。Ｋは、搬入 されるキーである。１２８ビツト・ キーは２つのＲＦＭＫ命令を使っ て搬出される。
ＣＩＬ、ＣＩＲこれらは６４ビツト制御ベクトルで、１
２８ビツトのＫＥＫＩの左 右の制御ベクトルである。ＣＩＬ Ｃ２ はＫＥＫＩＬ用の制御ベクトルで あり、ＣＩＲはＫＥＫＩＲキー用 の制御ベクトルである。実際の実 施態様では、ＣＶを１つだけ渡し て、ＣＦに制御ベクトルの「キー 形式」ビットを暗黙に設定させる。
ＣＡアーキテクチャは、それぞれ ＫＥＫ用の左右の制御ベクトルを 渡すように選択したものである。
ＣＦＡＰはＫＥＫ用のこの２つの タイプのＣＶを生成し管理しなけ ればならない。
キーに用の６４ビツト入力制御ベ クトル キーに用の６４ビツト出力制御ベ クトル 出カニ ｅ”ＫＥＫｌ、Ｃ３ には搬送される６４ビツト・キー である。それは、Ｃ３またはＣ３ ＝０を制御ベクトルとして搬出で きる。キーには制御ベクトルＣ３ を用いて１２８ビツトＫＥＫ１の もとて３重暗号化される。ＫＥＫ ＩＬ＝ＫＥＫＲの場合、受信側は この出力の１重非暗号化によって Ｋを回復することができる。
説明：ＲＦＭＫ命令は、マスク・キーによる暗号化から
１２８ビツト・キーＫＥＫＩ（搬出キーと呼ばれる）に
よる暗号化に６４ビ・ソト・キーＫを再暗号化する。
１２８ビツト・キーＫ（すなわち、２つの６４ビツト・
キー）は２つのＲＦＭＫ命令を発行することによって搬
出できる。
制御ベクトルを利用するシステムに搬出されるキーは、
ＫＥＫｌ、Ｃ３のもとて暗号化される。
すなわち、制御ベクトルが、搬出されるキーに付随する
。制御ベクトルなしでシステムに搬出されるキーは、Ｋ
ＥＫｌ、０のもとて暗号化される。
すなわち、指定された出力制御ベクトルはゼロでなけれ
ばならない。
ＲＦＭＫは、３つ以上のキーを配布しなければならない
（すなわち、生成キー・セットが必要なキーを生成でき
ない）場合にキーを搬出するのに使用される。ＲＦＭＫ
は非制御ベクトル・システムにデータ／互換性キーを送
るのにも使用される。
ｄ　ｉｓｔ−ｍｏｄｅ＝ｏの場合、Ｃ３に指定された制
御ベクトルはゼロでなければならない。データ・キーＫ
ＥＫ１ＰＩＮ暗号化キー、ＰＩＮ生成キー、中間ＩＣＶ
１キ一部分及びトークンを、ＲＦＭＫ命令を使ってＣｖ
システムに送ることができる。ＲＦＭＫはＣＶ＝Ｏチャ
ネルを介してＧＫＳ作成キーを搬出するのに使用できず
、この制限はＣｖ及びＣＶ＝Ｏチャネル分離を保証する
ためにこの命令によって課されている。
第１８図は、この命令の構成図である。
ＣＣ： １、動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３．０２無効 ４．０３無効 ５、動作失敗（エラー） 制御ベクトル検査： １、ＣＩＬの検査（搬出キー） ＣＶタイプ：　ｒＫＥＫ／送信側」 ＲＦＭＫ使用ビ使用ビッ ト約１４８　：　６３）＝Ｘ“０′ ２、ＣＩＲの検査（搬出キー） ＣＶタイプ＝　ｒＫＥＫ／送信側」 ＲＦＭＫ使用ビ使用ビッ ト約１４８　：　６３）＝Ｘ“０“ ３．０２の検査（搬出キー） Ｃｖタイプ＝「データ／互換性」、「データ／プライバ
フ」、「データ／ＭＡＣＪ、「データ／変換」、ｒＫＥ
Ｋ／受信側」、ｒＫ　Ｅ　Ｋ／送信側」、ｒＰＩＮ／Ｐ
ＥＫＪ、ｒＰＩＮ／ＰＧＫ」、ｒＫＥＫＰＡＲＴＪ、「
中間ＩＣＶＪまたは「トークン」 予約（４８：　６３）＝Ｘ“０“ ４　、　ｄｉｓｔ−ｍｏｄｅ・１の場合、以下の検査を
行なう。
リンク制御（ＣＩＲ）＝″０１″または″　１１　″ リンク制御（ＣＩＲ）＝″０１″または１１１　″ 搬出制御ビット（Ｃ２）＝１ Ｃｖタイプ（Ｃ２）＝Ｃ’Ｊ９イーｊ　（Ｃ３）使用ビ
ット（Ｃ２）＝使用ビ・ソト（Ｃ３）反バリアント・ビ
・ソト３０　（Ｃ３）＝　’　０“反バリアント・ビ・
ソト３８　（Ｃ３）＝’　１　’予約（４８：　６３）
（Ｃ３）＝Ｘ　’　Ｏ”５　、　ｄｉｓｔ−ｍｏｄｅ＝
ｏの場合、以下の検査を行なう。
リンク制御（ＣＩＬ）＝″′１０′″または″　１１　
″ リンク制御（ＣＩＲ）＝″１０″または″　１１　″ 搬出制御ビット（Ｃ２）＝１ ＣＶタイプ（Ｃ２）＝　ｒデータ／互換性」Ｃ３＝０ ６、ＣＩＬとＣＩＲの検査 第１８表で指定したものと同じ。
７、Ｃ３とＣＩＬｌＣＩＲの検査 Ｃｖタイプ（Ｃ３）＝　ｒＫＥＫ／ＫＥＫ／またはｒＫ
ＥＫ／受信側ヨ受信側−形式（Ｃ３）＝“１０′または
“１１゛の場合、キー形式（ＣＩＬ）＝“１０′かつキ
ー形式（ＣＩＲ）＝“１１１ マスク・キーへの再暗号化（ＲＴＭＫ）式：　　　　ｄ
ｉｓｔ−ｍｏｄｅ、　ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＬ）
。
ｅ”ＫＭ、ｃＩＲ（ＫＥＫＩＲ）、　ｅ”ＫＥＫ、Ｃ３
（Ｋ）。
ＣＩＬ、　ＣＩＲ，Ｃ２，Ｃ３−−−−ｅ”ＫＭ、　Ｃ
２（Ｋ） 入カニ ｄｉｓｔ−ｍｏｄｅ　　　キーの受信に使用されるチャ
ネルのタイプを示す。たとえば、Ｃｖ１ ＣＶ＝Ｏチャネルはキーを送るの に使用される。
０　：　ＣＶ＝０　（チャネル） １　：　ＣＶ　（チャネル） ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＬ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｌは６４ビツトの左キー暗号化キーで、制御ベクトルＣ
Ｉ Ｌを用いてマスク・キーＫＭのも とで３重暗号化された、１２８ビツ トのキー暗号化キーＫＥＫ１の− 部である。
ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＲ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｒは６４ビツトの右キー暗号化キーで、制御ベクトルＣ
Ｉ Ｒを用いてマスク・キーＫＭのも とて３重暗号化された、１２８ビツ トのキー暗号化キーＫＥＫ　１の一 部である（ＫＥＫＩは入カキ−で ある）。
Ｋは制御ベクトルＣ３を用いてキー 暗号化キー（ＫＥＫｌ）のもとて 他のノードから送られたキーであ る。このキーは１重または３重暗 帰化して送ることができ、どちら の場合でも回復される。このキー は、Ｃ■チャネルまたはＣＶ＝Ｏ チャネルを用いて送ることができ、 ＣＶ＝Ｏチャネルが使用される場 合は、ｄｉｓｔ−ｍｏｄｅはゼロでなけれｅ”ＫＥＫｌ
　、　Ｃ３（Ｋ） ＣＩＬ、ＣＩＲ ばならない。受信されたキーは奇 数パディをもつことももたないこ ともあり、したがってＣＦはパリ ティ検査を必要としない。Ｃ３は 入力制御ベクトルとも呼ばれる。
これらは６４ビツト制御ベクトル で、１２８ビツトのＫＥＫｌ用の 左右の制御ベクトルである。ＣＩ ＬはＫＥＫＩＬ用の制御ベクトル であり、ＣＩＲはＫＥＫＩＲキー 用の制御ベクトルであ。実際の実 施態様ではＣｖを１つだけ渡して、 ＣＦに制御ベクトルの「キー形式」 を暗黙に設定させる。このＣＡアー キテクチャは、ＫＥＫ用の左右の 制御ベクトルを別々に渡すように 選択したものである。ＣＦＡＰは ＫＥＫ用のこの２つのタイプのＣ Ｖを生成し管理する。
キーに用の６４ビツト出力制御べ クトル Ｃ３キーに用の６４ビツト入力制御ベ クトル 出力 ｅ”ＫＭ、Ｃ２（Ｋ）　　　Ｋは、制御ベクトルＣ２を
用いてＫＭのもとて３重暗号化された受 信キーである。このキーは、マス ク・キーを用いて暗号化する前に 奇数パリティで調整される。
説明：　ＲＴＭＫ命令は、１２８ビツトのキー暗号化キ
ーＫＥＫ　（搬入キーと呼ばれる）による暗号化からマ
スク・キーによる暗号化に６４ビツト・キーＫを再暗号
化する。
１２８ビツト・キーＫ（すなわち、２つの６４ビツト・
キー）は２つのＲＴＭＫ命令を発行することによって搬
入できる。
制御ベクトルを使用するシステムから搬入されたキーは
、ＫＥＫｌ、Ｃ３のもとて暗号化されることが期待され
る。すなわち、制御ベクトルが搬入すべきキーに付随す
る。これはＣＶチャネルを使用するキーの搬入とも呼ば
れる。制御ベクトルを使用しないシステムから搬入され
たキーは、ＫＥＫｌ、Ｏのもとて暗号化されることが期
待される。すなわち、制御ベクトルはゼロである。これ
はＣＶ＝Ｏチャネルを使用するキーの搬入とも呼ばれる
。ＣＡシステムのキーを搬入または搬出するために利用
できる他のチャネルはない。ｄｉｓｔｍｏｄｅ　は、キ
ーを送るのに使用されるチャネルを示すよう適切に指定
されなければならない。ｄｉｓｔｍｏｄｅ＝０の場合、
指定された入力制御ベクトルはゼロでなければならない
。ＣＶ＝Ｏだけが「データ／互換性」キーを搬送または
受信するのに利用され、他のキーはＣＡクシステム中こ
のチャネルを使って送るまたは受信することができない
。
どのシステムから搬入されたキーも、常に制御ベクトル
Ｃ２を用いてマスク・キーのもとて暗号化される。制御
ベクトルＣ２は常に命令に供給されなければならない。
すなわち、すべてのキーはＣＡクシステム中制御ベクト
ルを用いて記憶される。
第１９図は、この命令の構成図である。
ＣＣ： １、動作成功 ２、ＣＩＬまたはｃＩＲ無効 ３．０２無効 ４．０３無効 ５、動作失敗（エラー） 制御ベクトル検査： １、ＣＩＬの検査（搬入キー）： ＣＶタイプ＝ｒＫＥＫ／受信側」 ＲＴＭＫ使用ビ使用ビッ ト約１４８：８３）＝Ｘ’Ｏ’ ２、ＣＩＲの検査（搬入キー）： ＣＶタイプ＝ｒＫＥＫ／受信側」 ＲＴＭＫ使用ビ使用ビッ ト約１４８：Ｅｆ３）＝Ｘ’０’ ３　、　ｄｉｓｔ−ｍｏｄｅ＝１の場合、以下の検査を
行なう。
リンク制御（ＣＩＬ）＝”０１″または″　１１　″ リンク制御（ＣＩＲ）＝″ｏ１″またはｔ′　１１　″ ＣＶタイプ＝「データ／互換性」、「データ／プライバ
ラ」、「データ／ＭＡＣＪ、「データ／変換」、ｒＫＥ
Ｋ／受信側」、ｒＫＥＫ／送信側」、ｒＰＩＮ／ＰＥ Ｋ」、「キ一部分」、「中間ＩＣＶＪまたは「トークン
」 予約（４８：６３）＝Ｘ’Ｏ’ 搬出制御ピッ）　（Ｃ３）＝Ｏの場合、搬出制御ビット
（Ｃ２）＝Ｏ Ｃｖタイプ（Ｃ３）＝ＣＶタイーｊ　（Ｃ２）使用ビッ
ト（Ｃ３）＝使用ビット（Ｃ２）反バリアント・ビット
３０（Ｃ２）＝　’　Ｏ”反バリアント・ビット３８（
Ｃ２）＝　’　１゜４　、　ｄｉｓｔ−ｍｏｄｅ＝０の
場合、以下の検査を行なう。
リンク制御（ＣＩＬ）＝″１０″′または１１″ リンク制御（ＣＩＲ）＝”ｌＯ”または１１″ ＣＶタイプ（Ｃ２）＝　ｒデータ／互換性」反バリアン
ト・ビット３０　（Ｃ２）＝“Ｏ。
反バリアント・ビット３８　（Ｃ２）＝“１゜Ｃ３＝０ ５、ＣＩＬとＣＩＨの検査 第１８表で指定したものと同じ。
６、Ｃ２とＣＩＬ、ＣＩＲの検査 Ｃｖタイプ（Ｃ２）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式（Ｃ２）＝“１０“または
１１′の場合、キー形式（ＣＩ　Ｌ）二“１０“かつキ
ー形式（ＣＩＲ）＝”１１゜ キー生成（ＫＧＥＮ） 式： ％式％ この命令の以下の出力形式を示す。
０：６４ビツトの奇数パリティ調 整乱数（キー）を出力する。
１：パリティ調整されない６４ビツ トの乱数を出力する。
２：制御ベクトルＣ１を用いてＫ Ｍのもとで暗号化された、６ ４ビツトの奇数パリティ調整 乱数（キー）を出力する。
Ｃ１生成されたキー用の６４ビツトの 制御ベクトル 出カニ Ｋ　　　　　　　６４ビツトの平文の乱数またはパリテ
ィ調整キー ｅ”ＫＭ、ｃｌ　（Ｋ）　　　Ｋは、生成された制御ベ
クトルＣ１を用いてＫＭのもとて３重暗号 化された６４ビツト・キーである。
説明：キー生成機能は、６４ビツトの奇数パリティ調整
キーを作成し、あるいは制御ベクトルＣ１を用いてＫＭ
のもとて暗号化された６４ビツトの奇数パリティで調整
された平文キーまたはパリティ調整のない平文６４ビツ
ト乱数を生成する。
ｏｕｔｐｕｔ−ｔｙｐｅは必要な出力のタイプを指定す
る。
キー生成命令は、データ／互換性、データ／プライバラ
、データ／ＭＡＣ１データ／変換の各キー及びＡＮＳＩ
キーを生成するためだけに使用できる。他のすべてのキ
ー・タイプはＧＫＳを使って生成しなければならない。
第２０図はこの命令の構成図を示す。
ＣＣ： １、動作成功 ２．０１無効 ３、動作失敗（エラー） 制御ベクトル検査： １　、　ｏｕｔｐｕｔ−ｔｙｐｅ＝２の場合に０１を検
査する。
Ｃｖタイプ＝「データ／互換性」、「データ／プライバ
ラ」、「データ／ＭＡ’ＣＪ、「データ／変換」、［デ
ータ／ＡＮＳＩＪまたはｒＡＮＳ　Ｉ／ＫＥＫＪ 反バリアント（３０）二′０“ 反バリアント（３８）＝”　１　’ 予約ビット（４８：６３）＝Ｘ’Ｏ’ マスク・キーによる暗号化（ＥＭＫ） 式：　　　　Ｋ、　ＣＩ　−−−−−ｅ”ＫＭ、ｃｌ（
Ｋ）入カニ Ｋ　　　　　　この機能に供給される６４ビット平文奇
数パリティ調整キー、また はデータ・キー用の６４ビツトの トークンとすることができる。トー クンはＣＫＤＳ上にデータ・キー と−緒に記憶される。データ・キー 用のトークンの使い方については、 ＲＴＮＭＫを参照のこと。
Ｃ１供給されるキーまたはトークン用 の６４ビツト制御ベクトル 出カニ ｅ”ＫＭ、ｃｌ（Ｋ）　　　Ｋは、供給され制御ベクト
ルＣ１を用いてＫＭのもとて３重暗号化 される６４ビツト・キーである。
Ｋは、ＣＫＤＳにデータ・キーと 一緒に記憶される６４ビツトのトー クンでもよい。
説明：マスタ・キーによる暗号化命令は、制御ベクトル
Ｃ１を用いてＫＭのもとて暗号化された６４ビツト・キ
ーまたはトークンを作成する。
この機能に渡されるキーまたはトークンが［データ／プ
ライバラ」または「トークン」タイプの場合、それは制
御ベクトルｃ１を用いてＫＭのもとて暗号化される。そ
うでない場合、システムが「超安全Ｊ　　（ｓｕｐｅｒ
　５ｅｃｕｒｅ）モードの場合に限りこの機能が実行で
きる。「超安全」モードでは、この機能はいずれかのＣ
Ｖタイプを用いてどの平文キーをも暗号化できる。
第２１図は、この命令の構成図である。
ＣＣ： １、動作成功 ２．０１無効 ３、超安全モードではない。
４、動作失敗 制御ベクトル検査： １．０１の検査 Ｃｖタイプ＝「データ／互換性」、「データ／プライバ
シ」、「データ／ＭＡＣＪ、「データ／変換」、「デー
タ／ＡＮＳＩＪ、ｒＫＥＫ／送信側」、ｒＫＥＫ／受信
側」、「トークン」、「中間ＩＣＶＪ、ｒＰＩＮ／ＰＧ
ＫＪまたはｒＰＩＮ／ＰＥＫＪ 反バリアント（３０）＝’Ｏ“ 反バリアント（３８）＝“１“ 予約ビット（４８：８３）＝Ｘ’Ｏ’ （ＣＶタイプ０（「データ／互換性」または「トークン
」）の場合、超安全モード・フラグ＝１ キーパ換（ＸＬＴＫＥＹ） 式：　　　　　ｅ’ＫＭ、ｃＩＬ（ＫＥＫＩＬ）、　ｅ
”ＫＭ、ｃＩＲ（ＫＥＫＩＲ）、　ｅ”ＫＭ、ｃ２Ｌ（
ＫＥＫ２Ｌ）。
ｅ”ＫＭ、ｃ２Ｒ（ＫＥＫ２Ｒ）　、　ｅ”ＫＥＫｌ　
、Ｃ３（Ｋ）　。
ｍｏｄｅ、　ＣＩＬ、　ＣＩＲ，Ｃ２Ｌ、　Ｃ２Ｒ，Ｃ
３−−−−−ｅ”ＫＥＫ２．ｃ３（Ｋ） 入カニ ｅ”ＫＭ、ｃＩＬ（ＫＥＫＩＬ）　　Ｋ　Ｅ　Ｋ　Ｉ　
Ｌは、６４ビツトの左キー暗号化キーであり、制御ベク トルＣＩＬを用いてマスク・キー ＫＭのもとて３重暗号化された１ ２８ビツトのキー暗号化キーＫＥ Ｋ１の一部である（これは搬入Ｋ ＥＫである）。
ｅ”ＫＭ、ｃＩＲ（ＫＥＫＩＲ’）　　Ｋ　Ｅ　Ｋ　Ｉ
　Ｒは、６４ビツトの右キー暗号化キーであり、制御ベ
ク トルＣＩＲを用いてマスク・キー ＫＭのもとて３重暗号化された１ ２８ビツトのキー暗号化キーＫＥ Ｋ１の一部である（これは搬入Ｋ ＥＫである）。
ｅ”ＫＭ、ｃ２Ｌ（ＫＥＫ２Ｌ）　　Ｋ　Ｅ　Ｋ　２　
Ｌは、６４ビツトの左キー暗号化キーであり、制御ベク トルＣ２Ｌを用いてマスク・キー ＫＭのもとて３重暗号化された１ ２８ビツトのキー暗号化キーＫＥ Ｋ２の一部である（これは搬入Ｋ ＥＫである）。
ｅ”ＫＭ、ｃ２Ｒ（ＫＥＫ２Ｒ）　　Ｋ　Ｅ　Ｋ　２　
Ｌは、６４ビツトの右キー暗号化キーであり、制御ベク トルＣ２Ｒを用いてマスク・キー ＫＭのもとて３重暗号化された１ ２８ビツトのキー暗号化キーＫＥ Ｋ２の一部である（これは搬入に ｅ”ＫＥＫｌ、ｃ３（Ｋ） ｏｄｅ ＣＩＬ、ＣＩＲ ＥＫである）。
Ｋは、制御ベクトルＣ３を用いて ＫＭのもとて３重暗号化された６ ４ビツト・キーである。Ｋは変換 されるキーである。１２８ビット ツキ−は２つのキー変換命令を用 いて変換される。
０　：　Ｃ３＝非ゼロ制御ベクトル １　：　Ｃ３＝０ これらは、６４ビツトの制御ベク トルで、１２８ビツトＫＥＫｉ用 の左右の６４ビツト制御ベクトル である。ＣＩＬはＫＥＫＩＬ用の 制御ベクトルであり、ＣＩＲはＫ ＥＫＩＲキー用の制御ベクトルで ある。実際の実施態様ではＣＶを １つだけ渡して、ＣＦに制御ベク トルの「キー形式」ビットを暗黙 に設定させる。このＣＡアーキテ クチャは、ＫＥＫ用の左右の制御 Ｃ２Ｌ、Ｃ２Ｒ Ｃ３ ベクトルを別々に渡すように選択 したものである。ＣＦＡＰはＫＥ Ｋ用の２つのタイプのＣＶを生成 し管理しなければならない。
これらは、１２８ビツトＫＥＫ２ 用の左右の６４ビツト制御ベクト ルである。Ｃ２ＬはＫＥＫ２Ｌ用 の制御ベクトルであり、Ｃ２Ｒは ＫＥＫ２Ｒキー用の制御ベクトル である。
キーに用の６４ビツト制御ベクト ルである。同じ制御ベクトルが、 ＫＥＫ２のもとてキーを出力する のにも使用される。
出カニ ｅ”ＫＥＫ２．Ｃ３（Ｋ）　　Ｋは６４ビツトの変換さ
れたキーである。
説明：キー変換命令は、１２８ビツト・キー暗号化キー
ＫＥＫ１（搬入キーと呼ばれる）による暗号化から１２
８ビツト・キー暗号化キーＫＥＫ２（搬出キーと呼ばれ
る）による暗号化に６４ビツト・キーＫを再暗号化する
。局所的には、すべてのＫＥＫは１２８ビツトであり、
制御ベクトルを用いてマスク・キーのもとで記憶される
。１２８ビツトＫＥＫのＫＥＫＬ部分とＫＥＫＲ部分は
、ＫＭのもとて別々に暗号化されて、２つの６４ビット
暗号キー量を生成し、連結されて１２８ビツトの量とし
てローカルに記憶される。１２８ビツトＫＥＫを回復す
るために、ＤＥＤタイプの非暗号化動作を２回行なわな
ければならない。
１２８ビツト・キーＫ（すなわち、２つの６４ビツト・
キー）は、２つのキー変換命令を発行することによって
変換できる。
モード・パラメータは変換されるキーのタイプを指定す
る。このキーは、このモード・パラメータを使って回復
しなければならない。１Ｉｏｄｅ＝１　の場合、Ｃ３＝
０を使ってキーを回復しまた変換しなければならない。
ＣＶ＝ＯとＣｖの混合及び突合せはこの命令では許され
ない。
第２２図はこの命令の構成図である。
ＣＣ： １、動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３、Ｃ２ＬまたはＣ２Ｒ無効 ４．０３無効 ５、動作失敗（エラー） 制御ベクトル検査 １、ＣＩＬの検査（搬入キー） Ｃｖタイプ＝ｒＫＥＫ受信側」 ＸＬＡＴＥ　　ＩＮ使用ビット＝１ 予約（４８：６３）＝Ｘ’０“ ２、ＣＩＲの検査（搬入キー） Ｃｖタイプ＝　ｒＫＥＫ使用ヒツト」＝ＩＸＬＡＴＥ　
　ＩＮ使用ビット＝１ 予約（４８：　６３）＝Ｘ“０“ ３、Ｃ２Ｌの検査（搬出キー） Ｃｖタイプ＝ｒＫＥＫ送信側」 ＸＬＡＴＥ　　ＯＵＴ使用ビット＝１ 予約（４８：６３）＝Ｘ’０゜ ４、Ｃ２Ｒの検査（搬出キー） Ｃｖタイプ＝　ｒＫＥＫ送信側」 ＸＬＡＴＥ　　ＯＵＴ使用ビット＝１ 予約（４８：　６３）＝Ｘ’　Ｏ。
５、ＣＩＬとＣ２Ｒの検査 第２１表の説明と同じ。
Ｃ３，ＣＩＲ，！：Ｃ２Ｒの検査 第２１表の説明と同じ。
７、ＣＩＬｌＣＩＲ，Ｃ２Ｌ１Ｃ２Ｒの検査用ｏｄｅ＝
０の場合、 （リンク制御（ＣＩＬ）＝（リンク制御（ＣＩＲ）＝’
０１’または （リンク制御（ＣＩＬ）＝（リンク制御（ＣＩＲ）＝’
　１１　” ｍｏｄｅ＝０の場合、 （リンク制御（Ｃ２Ｌ）＝　（リンク制御（Ｃ２Ｒ）＝
　’　０１　’　ｔたは （リンク制御（Ｃ２Ｌ）＝　（リンク制御（Ｃ２Ｒ）＝
　”　１１゜ ｍｏｄｅ＝１の場合、 （リンク制御（ＣＩＬ）＝（リンク制御（ＣＩＲ）＝’
　１０　’または （リンク制御（ＣＩＬ）＝（リンク制御（ＣＩＲ）＝’
　１１　’ ｍｏｄｅ＝１の場合、 （リンク制御（Ｃ２Ｌ）＝　（リンク制御（Ｃ２Ｒ）＝
　’　１０“または （リンク制御（Ｃ２Ｌ）＝　（リンク制御（Ｃ２Ｒ）＝
”ｌｌ’ ８、Ｃ３とＣＩＬ、ＣＩＲの検査 Ｃｖタイプ（Ｃ３）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式（Ｃ３）＝’１０’または
＋１１１の場合、キー形式（ＣＩＬ）＝“１０９かつキ
ー形式（ＣＩＲ）＝“１１′ ９、Ｃ３とＣ２Ｌ１Ｃ２Ｒの検査 ＣＶタイプ（Ｃ３）＝　ｒＫＥＫ／送信側」またはｒＫ
ＥＫ／受信側」かつキー形式（Ｃ３）＝’１０”または
＋１１１の場合、キー形式（Ｃ２Ｌ）＝”ｌＯｑかつキ
ー形式（Ｃ２Ｒ）＝’ｌｌ” 新マスク・キーへの再暗号化（ＲＴＮＭＫ）式：　　　
　キー・モード ｍｏｄｅ、　ｅ”ＫＭｃ、ｃｌ（Ｋ）、Ｃ１−−−−ｅ
”ＫＭＮ　、ＣＩ　（Ｋ） 式：　　　　　トークン・モード ｍｏｄｅ、　（ｔｏｋｅｎ＋ｅ”ＫＭｃ、ｃｌ（Ｋ））
。
ｅ”ＫＭｃ、Ｃ２（ｔｏｋｅｎ）、　ＣＩ、　Ｃ２゜−
（ｔｏｋｅｎ＋ｅ”ＫＭＮ、ｃｌ（Ｋ））。
ｅ”ＫＭＮ、Ｃ２（ｔｏｋｅｎ） 入カニ ｏｄｅ 以下のようなＲＴＮＭＫモードを 示す。
０：キー・モード １ニド−クン・モード キー・モードは、キーを新しいマ スフ・キーに変換するのに使用さ れる。トークン・モードは、キー とトークンを、特殊な形でＤＫＤ Ｓに記憶される新マスク・キーに 変換するのに使用される。ＣＦＡ Ｐは乱数を生成し、それをトーク ンとして指定する。暗号化された データ・キーｅ”ＫＭ、ｃｌ　（ＫＤ）がこのトークン
と排他的論理和が取ら れて、その結果得られる値がＤＫ ＤＳに記憶される。トークン自体 は秘密の量であり、Ｅ　Ｍ　Ｋ　（ｅ”ＫＭ。
Ｃ２（ｔｏｋｅｎ）　）　　を使って暗号化されて、や
はりＤＫＤＳに記憶され る。マスク・キーが変更されると き、トークンとキーを、原子的動 作としてＲＴＮＭＫを使って再暗 号化しなければならない。
ｅ”ＫＭｃ、ｃｌ（Ｋ）　　Ｋは、制御ベクトルＣ１を
用いて現マスク・キーのもとて３重暗号 化された６４ビツト・キーである。
０１　　　　６４ビツト・キーＣ１用の制御ベクトルで
ある。
（ｔｏｋｅｎ＋ｅ”ＫＭｃ、ｃｌ（Ｋ）　）　　Ｄ　Ｋ
　Ｄ　Ｓに記憶された特殊な量である６４ビツトの量で
あ る（“十“動作は排他的論理和を 表す）。ＣＦＡＰはこの量を生成 し、それをＤＫＤＳに記憶する。
この入力はｍｏｄｅ＝１の場合に有効 である。
ｅ”ＫＭｃ、Ｃ２（ｔｏｋｅｎ）制御ベクトルＣ２を用
いて現マスク・キーのもとて暗号化された ６４ビツトのトークンである（こ れはＥＭＫ命令を使って生成され る）。この入力はｍｏｄｅ＝１の場合 に有効である。
０２　　　　６４ビツトのトークン用の制御ベクトルで
ある。この入力はｍｏｄｅ＝１の場合に有効である。
出カニ ｅ”ＫＭＮ、ｃｌ（Ｋ）　　　Ｋは制御ベクトルＣ１を
用いて新マスク・キーのもとで３重暗号化 された６４ビツト・キーである。
（ｔｏｋｅｎ＋ｅ”ＫＭｃ、ｃｌ　（Ｋ）　）　　これ
は、ＤＫＤＳに記憶できる、新マスク・キーのもとて生 成された特殊な量である。この出 力はｍｏｄｅ＝１　の場合にのみ仔効である。
ｅ”ＫＭＮ、ｃ２（ｔｏｋｅｎ）　　これは、制御ベク
トルＣ２を用いて新マスク・キーのもとて再暗 帰化されたトークンである。この 出力はｍｏｄｅ＝１の場合にのみ有効 である。
説明：　ＲＴＮＭＫ命令は、６４ビット暗号キーを現マ
スク・キーのもとて非暗号化（復号化）させ、新マスク
・キーのもとて再暗号化させる。
ＲＴＮＭＫ命令は、マスク・キーが変更されたときシス
テム内のすべてのキーを再暗号化するのに使用される。
この命令は、現マスク・キーと新マスク・キーを暗号機
構内の当該レジスタに保持する。ＲＴＮＭＫ命令を実行
するには、暗号機構内に新マスク・キー（ＮＭＫ）フラ
グが設定されていないといけない。新マスク・キーを暗
号機構にロードすると、このフラグが設定される。切換
え点で、ＳＭＫ命令がＮＭＫフラグをリセットする。暗
号機構内に新マスク・キーと現マスク・キー機能がなけ
ればならず、その他にＣＦ中に現マスク・キーのちょう
どルベル前のマスク・キーを含む旧マスク・キー位置も
あり得る。各マスク・キーは、ＣＦ中にそれに関連する
フラグをもたなければならず、ＲＴＮＭＫ動作を実行す
るには現マスク・キー・フラグを設定しなければならな
い。
マスク・キー・フラグは切換え点でＳＭＫ命令によって
設定される。
ある種のシステムでは、切換え点ではオフラインとなる
アプリケーションがある。したがって、いくつかのキー
は依然として旧マスク・キーのもとて暗号化される。切
換え後にアプリケーションがオフラインになると、それ
は、現マスク・キーへの再暗号命令（ＲＴＣＭＫ）を使
って、旧マスク・キーから現マスク・キーにこうしたキ
ーを変換することができる。
ＣＭＫ及びＮＭＫフラグが設定されない場合、動作が打
ち切られる。
ＲＴＮＭＫ命令は、トークンとトークンに関連する特殊
な値を１基本動作で再暗号化するのにも使用できる。こ
の特殊値は、トークンと暗号化データ・キーの排他的論
理和である。データ・キーはこの特殊値としてＤＫＤＳ
に記憶され、トークンの暗号化された値も秘密の量とし
て記憶される。
暗号化されたトークン値は、暗号機構内でＲＴＮＭＫま
たはＲＴＣＭＫ命令の内部でしか非暗号化（復号化）で
きない。ＣＡ中にトークンを非暗号化（復号化）する他
の機能はない。トークン値はＥＭＫを用いて暗号化され
、トークンは特殊な制御ベクトルに関連付けられる。制
御ベクトルの検査はシステム内でのトークンの安全保護
を確保するため、ＥＭＫ及びＲＴＮＭＫ中で行なわれる
。
第２３図と第２４図は、この命令の構成図である。
ＣＣ： １、動作成功 ２、ＮＭＫフラグ未設定、不法シーケンス３、ＣＭＫフ
ラグ未設定、不法シーケンス４．０１無効 ５．０２無効 ６゜動作失敗（エラー） 制御ベクトル検査 １　、　ｍｏｄｅ＝ｏの場合に０１の検査予約（４８：
Ｃ３３）＝Ｘ”０” ２　、　ｍｏｄｅ＝１の場合に０２の検査ＣＶタイプ＝
「トークン」 予約（４８：　Ｃ３３）＝Ｘ“０“ 現マスク・キーへの再暗号化（ＲＴＣＭＫ）式：　　　
　キー・モード ｍｏｄｅ、　ｅ’ＫＭＯ，ｃｌ（Ｋ）、　ＣＩ−−−−
ｅ”ＫＭｃ、ｃｌ（Ｋ） 式：　　　　　トークン・モード ｍｏｄｅ、　　（ｔｏｋｅｎ＋ｅ”ＫＭＯ，ｃｌ（Ｋ）
）。
ｅ”Ｋ）４［１，Ｃ２（ｔｏｋｅｎ）、　ＣＩ、　Ｃ２
−−（ｔｏｋｅｎ＋ｅ”ＫＭｃ、ｃｌ（Ｋ））。
ｅ”ＫＭｃ、ｃ２（ｔｏｋｅｎ） 入カニ ｏｄｅ 以下のようなＲＴＣＭＫモードを 示す。
０：キー・モード １ニド−クン・モード ｅ”ＫＭＯ，ｃｌ（Ｋ）　　　Ｋは、制御ベクトルＣ１
を用いて旧マスク・キーのもとて３重暗号 化された６４ビツト・キーである。
０１　　　　６４ビツト・キーに用の制御ベクトルであ
る。
（ｔｏｋｅｎ＋ｅ”ＫＭＯ，ｃｌ（Ｋ））　　６４ビツ
トの量で、ＤＫＤＳに記憶された特殊な量である （“＋“演算は排他的論理和であ る）。ＣＦＡＰはこの量を生成し、 それをＤＫＤＳに記憶する。この 入力はｌ１ｏｄｅ＝１　の場合に有効である。
ｅ”ＫＭＯ，ｃ２　（ｔｏｋｅｎ）制御ベクトルＣ２を
用いて旧マスク・キーのもとて暗号化された ６４ビツトのトークンである（こ れはＥＭＫ命令を用いて生成され る）。この入力はｍｏｄｅ−１の場合 に有効である。
６４ビツト・トークン用の制御ベ クトルである。この入力はｍｏｄｅ＝１の場合に有効で
ある。
出カニ ｅ”ＫＭｃ、ｃｌ（Ｋ）　　Ｋは、制御ベクトルＣ１を
用いて現マスク・キーのもとて３重暗号 化された６４ビツト・キーである。
（ｔｏｋｅｎ＋ｅ’ＫＭｃ、ｃｌ（Ｋ））　　これは、
ＤＫＤＳに記憶できる現マスク・キーで生成された 特殊な量である。この出力は ｍｏｄｅ＝１の場合にのみ有効である。
ｅ”ＫＭｃ、ｃ２（ｔｏｋｅｎ）　　これは、制御ベク
トルＣ２を用いて現マスク・キーのもとて再暗 帰化されたトークンである。この 出力はｍｏｄｅ＝１の場合にのみ有効 である。
説明：ＲＴＣＭＫ命令は、６４ビット暗号キーを旧マス
ク・キーのもとて非暗号化（復号化）させ、現マスク・
キーを用いて再暗号化させる。
ＲＴＣＭＫ命令は、旧マスク・キーのもとて暗号化され
たシステム内のキーを再暗号化するために使用され、そ
のとき以降、マスク・キーが変更される。すなわち、Ｎ
ＭＫフラグはセットされず、ＳＭＫ命令がすでに実行さ
れている。現マスク・キーは、ＲＴＮＭＫを用いて変換
されなかったキー用の新しいマスク・キーである。この
命令を実行するには、ＣＦ内でＣＭＫフラグとＯＭＫフ
ラグがセットされ、ＮＭＫフラグがリセットされなけれ
ばならない。この命令は、暗号機構内の当該のレジスタ
中で現マスク・キーと新マスク・キーを保持する。
暗号サブシステム内のＣＦＡＰは、ＲＴＮＭＫ及びＲＴ
ＣＭＫ命令の使用とマスク・キーのレベルを知らなけれ
ばならない。旧マスク・キーの問題を解決するため、マ
スク・キーの１つ前のレベルだけが任意選択でＣＦ内に
維持できる。ＣＦＡＰは旧マスク・キー及び現マスク・
キーのもとて暗号化されたキーを追跡しなければならな
い。
ＲＴＣＭＫ命令は、新マスク・キーの切換え点の後でＲ
ＴＣＭＫを実行したい場合に限って実施できる任意選択
命令である。
ＯＭＫ及びＣＭＫフラグがセットされず、ＮＭＫフラグ
がリセットされない場合、動作を打ち切らなければなら
ない。
ＲＴＣＭＫ命令を使って、トークンとそれに関連する特
殊な値を１基本動作で再暗号化することもできる。この
特殊な値は、トークンと暗号化データ・キーの排他的論
理和である。データ・キーは、この特殊値としてＤＫＤ
Ｓに記憶され、トークンの暗号化された値も秘密の量と
して記憶される。
暗号化されたトークン値は、暗号機構内でＲＴＮＭＫま
たはＲＴＣＭＫ命令の内部でしか非暗号化（復号化）で
きない。ＣＡ中にトークンを非暗号化（復号化）する他
の機能はない。トークン値はＥＭＫを用いて暗号化され
、トークンは特殊な制御ベクトルに関連付けられる。シ
ステム内でのトークンの安全保護を確保するため、ＥＭ
Ｋ及びＲＴＣＭＫで制御ベクトル検査が実行される。
第２５図と第２６図はこの命令の構成図である。
ＣＣ： １、動作成功 ２．０ＭＫフラグ未設定、不法シーケンス３、ＣＭＫフ
ラグ未設定、不法シーケンス４、ＮＭＫフラグ未設定、
不法シーケンス５．０１無効 ６．０２無効 ７、動作失敗（エラー） 制御ベクトル検査： １　、　ｍｏｄｅ＝０の場合に０１の検査予約（４８：
　６３）＝Ｘ　’　０“ ２　、　ｍｏｄｅ＝１の場合に０２の検査ＣＶタイプ＝
「トークン」 予約（４８：Ｅ３３）＝Ｘ’Ｏ’ マスク・キー設定（ＳＭＫ） 式：０ 人カニ　　　なし 出カニ　　　なし 説明：ＳＭＫ命令は次のことを引き起こす。
１、（旧マスタ・キー＝現マスタ・キー）２、（旧マス
ク・キー・フラグ＝１） ３、現マスタ・キー＝新マスタ・キー ４、現マスク・キー・フラグ＝１ ５、新マスク・キー・フラグ＝０ この命令は、「超安全」モードでのみ実行しなければな
らない。すなわち、この命令を実行するには、物理キー
位置が「超安全」位置になければならず、暗号機構内で
超安全フラグがセットされなければならない。マスク・
キーの左右の部分が、新マスク・キー・レジスタに等し
くないかどうか検査され、２つの部分が等しい場合は動
作が打ち切られる。
ＣＦ内でＳＭＫが実行された後はずっと、ＣＦはすべて
の暗号演算に対して新マスク・キーを使用する。切換え
点は、この命令の実行後に有効となる。システム内に旧
マスク・キーのもとて暗号化されたキーが他にもある場
合、任意選択命令ＲＴＣＭＫがキーを再暗号化する唯一
の手段である。
ＣＦ中でＮＭＫフラグがセットされない場合、動作を打
ち切らなければならない。
ＣＣ： １、動作成功 ２、ＮＭＫフラグ未設定 ３、左右の部分が等しい。
４、超安全フラグ未設定、無効シーケンス５、動作失敗
（エラー） ＭＤＣＯＰ　（ＭＤＣ動作） 説明：１９８７年８月２３日付けの米国特許出願第９０
８３３号に記載されているように、修正検出コード（Ｍ
ＤＣ）を計算する命令を提供することは、当該技術の範
囲内にある。これを引用により本明細書に組み込む。
暗号機構クリア（ＣＬＲＣＦ） 式二〇 人カニ　　　なし 出カニ　　　なし 説明：暗号機構（ＣＦ）のレジスタ、フラグ及びすべて
のローカル・メモリがクリアされる。この機能は、マス
ク・キーが危険にさらされた場合にマスク・キーとフラ
グをクリアするために使用できる。マスク・キー・フラ
グがリセットされた場合、侵入者は、ＲＴＮＭＫまたは
ＲＴＣＭＫを実行して危険にさらされたキーから自分の
マスク・キーにキーを変換することができない。
この機能は、無許可ユーザからのサービスの喪失を防ぐ
のに望ましい保護の程度に応じて、物理キーの制御下で
または特権命令として実施できる。
ＣＣ： １、動作成功 ２、動作失敗（エラー） キ一部分レジスタ・クリア（ＣＬＲＫＰＲ）式二〇 人カニ　　　なし 出カニ　　　なし 説明：この命令は暗号機構（ＣＦ）内のキ一部分レジス
タをクリアする。この命令は、キ一部分レジスタ中の誤
った入力または危険にさらされた入力をクリアするため
に使用できる。ＣＬＲＫＰＲを使うと、全体ＣＦを破壊
せずにキ一部分レジスタがクリアできる。ただし、ＣＬ
ＲＣＦ命令も使用できる。命令ＣＬＲＣＦとＣＬＲＫＰ
Ｒをどのように実施するか選択するのは、実施者の責任
である。たとえば、ＣＦレジスタを選択的にリセットで
きる単一命令を設けることができる。所与の実施態様で
は、無許可ユーザからのサービスの喪失を防ぐのに望ま
しい保護の程度に応じて、物理キーをまたは特権命令と
して使用できる。
ＣＣ： １、動作成功 ２、動作失敗（エラー） ＮＭＫレジス９−　りＩＪ７　（ＣＬＲＮＭＫ）式：０ 人カニ　　　なし 出カニ　　　なし 説明：この命令は、暗号機構（ＣＦ）内でＮＭＫレジス
タをクリアする。ＣＦまたはＮＭＫに誤って入力された
ＮＭＫが危険にさらされた場合に、この命令が使用でき
る。暗号機構クリア命令はきわめてよく使用されるので
、この命令を使って新しいマスク・キー・レジスタをク
リアすることができる。ＣＬＲＣＦ　　ＣＬＲＫＰＲ及
びＣＬＲＮＭＫなどの命令をどのように実施するか選択
するのは実施者の責任である。たとえば、ＣＦレジスタ
を選択的にリセットできる単一命令を設けることができ
る。無許可ユーザからのサービスの喪失を防ぐのに望ま
しい保護の程度に応じて、所与の実施態様では、物理キ
ーをまたは特権命令として使用できる。
ＣＣ： １、動作成功 ２、動作失敗（エラー） 下位ＣＶ権限低下（ＬＣＶＡ） 式：　　　　ｅ”ＫＭ、ｃｌ（Ｋ）、　ＣＩ、　Ｃ２−
−−−ｅ”ＫＭ、Ｃ２（Ｋ） 入カニ ｅ”ＫＭ、ｃｌ　（Ｋ） には、制御ベクトルＣ１を用いて マスク・キーのもとて３重暗号化 された６４ビツト・キーである。
６４ビツト入力制御ベクトル ６４ビツト出力制御ベクトル 出カニ ｅ”ＫＭ、Ｃ２（Ｋ）　　　Ｋは６４ビツト制御ベクト
ルＣ２を用いてＫＭのもとて３重暗号化 された６４ビツト・キーである。
説明：ＬＣＶＡは、ＣＶ中の搬出制御フィールドでの権
限を低下させるように構成された制御ベクトル命令であ
る。
ＣＣ： １、動作成功 ２、Ｃ１またはＣ２無効 ３、動作失敗（エラー） 制御ベクトル検査： １．０１と０２の検査 ＣＶタイプ（Ｃ１）＝Ｃｖタイプ（Ｃ２）予約（４８：
Ｅｆ３）（ＣＩ）＝ 予約（４８：　６３）（Ｃ２）＝Ｘ　’　０゜ＫＥＫの
使用ビット（Ｃ１）＝ＫＥＫの使用ビット（Ｃ２） ＰＩＮキー（Ｃ１）の使用ビット＝ＰＩＮキーの使用ビ
ット（Ｃ２） 搬出制御ビット： 搬出制御ビット１　（Ｃ２）　＝１　（他にＲＦＭＫな
し） 第１マスク・キ一部分のロード（ＬＦＭＫＰ）式：Ｄ＝
＝＝＝＝　　ＫＰレジスタの内容はＮＭＫレジスタに転
送される。フラグ （ＮＭＫレジスタ）＝「部分光 填」及びフラグ（ＫＰレジスタ） ＝「空」 説明：この命令は、キ一部分レジスタに記憶されたマス
ク・キーの第１の部分をＮＭＫ　（新マスク・キー）レ
ジスタにロードする。さらに、ＮＭＫレジスタのフラグ
が、（「空」状態から）ＮＭＫレジスタが完了してない
ことを示す「部分充填」状態に設定される。キ一部分レ
ジスタの内容は、（「満杯」状態から）キ一部分レジス
タが現在空であることを示す「空」状態に設定される。
この動作は、キ一部分レジスタが現在「満杯」状態にあ
り、ＮＭＫレジスタが「空」状態にある場合に限って行
なわれる。
注：この命令の実行の前に、第１のマスク・キー部分が
、トリガー・ボタン（たとえば「実行キー」）でキー人
力装置（キー・パッドなど）またはキー・ボードによっ
てキ一部分レジスタに入れられる。（トリガー・ボタン
は、通常キー・パッドまたはキー・ボードを介して入力
されたキーの値をキ一部分レジスタにロードする動作を
開始するために使用される。） 以下の追加機能は任意選択であり、物理キーをもつシス
テムで実施できる。
この命令を実施するには、上記のレジスタのフラグに関
する要件以外に、キー・スイッチ位置が感知され、それ
が適切な位置（たとえば、第１のマスク・キ一部分使用
可能位置）になければならない。
ＣＣ： １、動作成功 ２、ＣＫＰ１無効 ３、動作失敗 制御ベクトル検査：なし マスク・キ一部分組合せ（ＣＭＫＰ） 式：　ｍｏｄｅ　”＝Ｎ　Ｍ　Ｋの内容＝　（ＮＭＫレ
ジスタの内容）と（ＫＰレジスタの 内容）の論理和、 フラグ（ＫＰレジスタ）＝「空」 かつｍｏｄｅ＝ｏ　の場合はフラグ （ＮＭＫ）＝：　ｒ部分充填」 ｍｏｄｅ＝１　の場合はフラグ（ＮＭ Ｋ）＝「満杯」 ただし、モードは命令の入力であり、組み合わされるマ
スク・キ一部分が最後のキ一部分であるかどうかを示す
。
ｍｏｄｅ”ｏの場合、組み合わされるマスク・キ一部分
は最後のキ一部分ではなく、より多くのキ一部分が組み
合わされて、完全なマスク・キーを形成することが期待
される。
ｌ１ｏｄｅ：１　の場合、組み合わされるマスク・キ一
部分は最後のキ一部分であり、この命令の実行後にＮＭ
Ｋレジスタ中で完全な新マスク・キーが形成される。
説明：この命令は、キ一部分レジスタに記憶された１番
目のマスク・キ一部分ＫＰｊをＮＭＫレジスタに記憶さ
れた他のキ一部分と排他的論理和を取り、結果をＮＭＫ
レジスタに記憶する。
この命令はまた、 ＫＰレジスタのフラグを（「満杯」状態から）「空」状
態に設定する。
■ｏｄｅ＝１　の場合にＮＭＫレジスタのフラグを「満
杯」状態に設定し、ｍｏｄｅ＝ｏの場合に「部分充填」
状態に設定する。
この命令が実行されるのは、キ一部分レジスタが「満杯
」状態にあり、ＮＭＫレジスタが「部分充填」である場
合に限る。
注：この命令の実行前に、マスク・キ一部分ＫＰｊは、
トリガー・ボタン（たとえば、「実行キー」）でキー人
力装置（キー・パッドなど）またはキー・ボードによっ
てキ一部分レジスタに入れられる。（トリガー・ボタン
は、通常キー・パッドまたはキー・ボードを介して入力
されたキーの値をキ一部分レジスタにロードする動作を
開始するために利用される。） 複数部分（たとえば、マスタ・キーＫＭは、ＫＭ＝ＫＭ
Ｉ　　ＸＯＲＫＭ２．、、ＸＯＲＫＭｎとなるようなｎ
個の部分ＫＭ１．ＫＭ２．．．．。
ＫＭｎをもつ）のマスク・キーを導入する際のこの命令
及び第１マスク・キ一部分ロード命令の使い方は、「キ
ー管理」の節のキー導入手順のところに記載されている
。
以下の追加機能は任意選択であり、物理キーをもつシス
テムで実施できる。
この命令を実施するには、上記のレジスタのフラグに関
する要件以外に、キー・スイッチ位置が感知され、それ
が適切な位置（たとえば、第２のマスク・キ一部分使用
可能位置）になければならない。
ＣＣ： １、動作成功 ２、ＣＫＰｌ、ＣＫＰ２またはＣＫＥＫ無効３、動作失
敗 制御ベクトル検査：なし 第１キ一部分のロード（ＬＦＫＰ） 説明：この命令は、キ一部分レジスタに記憶されたキー
の第１のキ一部分を暗号化する。暗号化されたキ一部分
は、その後の検索及び（キー部分組合せ命令による）キ
ーの他のキ一部分との組合せのために、ＣＦＡＰによっ
てキー記憶機構に記憶される。この命令を実行すると、
キ一部分レジスタのフラグも「満杯」状態から「空」状
態に設定される。
この動作を実施するには、キ一部分レジスタが「満杯」
状態になければならない。
キ一部分組合せ（ＣＫＰ） 説明：キ一部分組合せ命令は、キ一部分レジスタに記憶
されたキ一部分と以前のキ一部分を組み合わせる。キ一
部分の組合せは、それらの論理和を取ることによって実
施される。この命令を実行すると、キ一部分レジスタの
フラグも（満杯状態から）「空」状態に設定される。こ
の命令が実行されるのは、キ一部分レジスタのフラグが
「満杯」状態にある場合に限る。
検査パターンの計算（ＣＶＰ） 説明：　ｃｖｐ命令は、所与のキーＫに関する検査パタ
ーンを計算する。この検査パターンを使って、手動で導
入されたキーが正しく入力されたかどうかを検査するこ
とができる。この命令の詳細は本発明の範囲外である。
エラー検出コードのＡＮＳＩ生成（ＡＧＥＤＣ）式：　
　　　Ａ　＝＝＝＝　ＥＤＣ 入カニ Ａ　　　　　　エラー検出コードが生成される対象とな
るデータ 出カニ ＥＣＣＡで指定されたデータについて計算された６４ビ
ツト・エラー検出 コード 説明：エラー検出コードは、他の手段（プライバシ・キ
ーによる確認など）が利用できないときに伝送エラーを
検出したりエラーを処理するために、ＡＮＳＩ　　Ｘ９
．１７−１９８５で使用される。ＥＤＣは、ＡＮＳＩ　
　Ｘ９．９−１９８２で定義された認証法（ＭＡＣ）と
、固定した秘密でないキーＫＤＸ＝Ｘ’０１２３４５８
７８９ＡＢＣＤＥＦ“を用いて生成される。
ＡＧＥＤＣは、コード化命令と平文値ＫＤＸを用いてＣ
ＦＡＰ内でシミュレートされる。この命令は、マスク・
キーのもとて暗号化された事前計算された形のＫＤＸを
もつ他のＣＡ命令（たとえば、ＧＭＡＣまたはＥＮＣＩ
　ＰＨＥＲ）を用いてシミュレートすべきではない（と
いうのは、これはマスク・キーのもとて暗号化された周
知の値を表すから）。
エラー検査ｍ１−ｐのＡＮｓＩ検査（ＡＶＥＤＣ）式：
　　　　Ａ、　Ｅ　Ｄ　Ｃ＝＝＝＝　ｙｅｓ／ｎ。
入カニ ＥＤＣ 供給されたエラー検出データと突 き合わせて検査されるデータ Ａで指定されたデータに対して検 査される６４ビツト・エラー検出 コード 出カニ ｙｅｓ／ｎ。
Ａで指定されたデータに基づいて 計算されたエラー検出コードが供 給されたＥＤＣと一致することを 示す。
説明：エラー検出コードは、他の手段（プライバシ・キ
ーによる承認など）が利用できないときに伝送エラーを
検出したりエラーを処理するために、ＡＮＳＩ　　Ｘ９
．１７−１９８５で使用される。ＥＤＣは、ＡＮＳｌ、
Ｘ９．９−１９８２で定義された認証法（ＭＡＣ）と、
固定した秘密でないキーＫＤＸ＝Ｘ“０１２３４５６７
８９ＡＢＣＤＥＦ“を用いて生成される。
ＡＶＥＤＣは、コード化命令と平文値ＫＤＸを用いてＣ
ＦＡＰでシミュレートされる。この命令は、マスク・キ
ーのもとて暗号化された事前計算された形のＫＤＸをも
つ他のＣＡ命令（たとえば、ＧＭＡＣまたはＶＭＡＣ）
を用いてシミュレートすべきでない（というのは、それ
はマスク・キーのもとて暗号化された既知の値を表すか
ら）。
部分認証キーのＡＮＳＩ作成（ＡＰＮＯＴＲ）式：　　
　　ｍｏｄｅ、　ｅ”ＫＭ、ｃＩＬ（ＫＫＩ）。
入カニ ｍｏｄｅ ｅ”ＫＭ、ｃＩＲ（ＫＫｒ）、　　ＦＭＩＤ、　ＴＯＩ
Ｄ、　　ＣＩＬ。
ＣＩＲ，Ｃ２Ｌ、Ｃ２Ｒ ”　ｅ”ＫＭ、ｃ２Ｌ（ＫＫ旧土）、ｅ”ＫＭ、ｃ２Ｒ
（ＫＫＮＩＲ） 入力”　Ｋ　Ｋ　＝　Ｋ　Ｋ　１　／　／　Ｋ　Ｋ　ｒ
が複製された６４ビツト（すなわち、 ＫＫ１＝ＫＫｒ）か、それとも真 の１２８ビツトＫＥＫかを示す。
０：真の１２８ビツトＫＥＫ １：複製６４ビツトＫＥＫ 部分認証キーを作成するためのア ルゴリズムは、６４ビツトＫＥＫ と１２８ビツトＫＥＫで少し異なっ ている（「認証アルゴリズム」参 照）。入力ＫＥＫ自体からは正し い選択が推論できないので、モー ド・パラメータは正しいアルゴリ ズムを選択する。（すなわち、６ ４ビツトＫＥＫも１２８ビツトＫ ＥＫも１２８ビツトとして入力さ れる）。
ｅ”ＫＭ、ｃＩＬ　（ＫＫＩ）制御ベクトルＣＩＬを用
いてマスク・キーのもとて暗号化された６ ４ビツトＫＫＩである。ＫＫｌは １２８ビツトのキー暗号化キー ”　Ｋ　Ｋの左部分である。
ｅ’ＫＭ、ｃＩＲ（ＫＫｒ）制御ベクトルＣＩＲを用い
てマスク・キーのもとて暗号化された６ ４ビツトＫＫｒである。ＫＫｒは １２８ビツトのキー暗号化キー ’ＫＫの右部分である。
注：ＣＡでは、（ＡＮＳＩ　　ＫＥ Ｋを含めて）すべてのＫＥＫは、 １２８ビツトの形で左右の６４ビツ ト部分として記憶される。（６４ ビットＫＥＫは複製されて１２８ ビットを形成する。この場合、左 右の部分は等しい。）”ＫＫの左 部分は、左制御ベクトルを用いて ＦＭＩＤ マスク・キーのもとて暗号化され ＣＫＤＳに記憶される。同様に、 ’ＫＫの右部分は、布制御ベクト ルを用いてマスク・キーのもとて 暗号化されＣＫＤＳに記憶される。
制御ベクトルのキー形式ビットは、 左右の部分間及び６４ピツ）ＫＥ Ｋと１２８ビツトＫＥＫ間で異な る。
ＡＮＳＩ　　Ｘ３．４−１９７７で 定義される１６個のＡＳＣＩＩ文 字。これは、認証パラメータとし て使用されるｒｆｒｏｍＪノード ＩＤである。このＩＤが１６文字 でない場合は、ＡＮＳＩ　　Ｘ９゜ １７−１９８５第７．５節、「キー 認証」に記載されているように、 １６文字が形成されるまで、ＩＤ を繰り返さなければならない。
（「参考文献」参照） ０ＩＤ ＣＩＬ、ＣＩＲ Ｃ２Ｌ、Ｃ２Ｒ ＡＮＳＩ　　Ｘ３．４−１９７７で 定義されている１６個のＡＳＣＩ Ｉ文字。これは、認証パラメータ として使用される「ｔＯ」ノード ＩＤである。このＩＤが１６文字 ではない場合、ＡＮＳＩ　　Ｘ９゜ １７−１９８５第７．５節、「キー の認証」に記載されているように、 １６文字が形成されるまで、ＩＤ を繰り返さなければならない。
”ＫＫのそれぞれ左右の部分用の ６４ビツト制御ベクトルである。
”ＫＫＮＩのそれぞれ左右の部分 用の６４ビツト制御ベクトルであ る。
出カニ ｅ”ＫＭ、ｃＬ（にＫＮＩＬ）制御ベクトルＣ２Ｌを用
いてマスク・キーのもとて暗号化された ６４ビツトＫＫＮＩＬである。こ れは、入力ＫＥＫ１”ＫＫの部分 的または間接的に認証された形で ある１２８ビツト”ＫＫＮＩの左 部分である。「部分」認証キーは、 オフセットされていない認証キー である。認証済みキーの搬入また は搬出のためにそれを認証キーと して使用する前に、”ＫＫＮＩで オフセット化を実行しなければな らない。オフセット化はＡＲＴＭ ＫｌＡＲＦＭＫｌ及びＡＸＬＴＫ ＥＹによって明示的に実行される。
ｅ”ＫＭ、ｃ２Ｒ（ＫＫＮＩＲ）制御ベクトルＣ２Ｒを
用いてマスク・キーのもとて暗号化された ６４ビツトＫＫＮＩＲである。こ れは、入力ＫＥＫ１’ＫＫの部分 認証された形である１２８ビツト ”ＫＫＮＩの右部分である。
注：　ＫＥＫと部分認証ＫＥＫはす べて１２８ビツトの形でＣＡに記 憶される。
説明：　ＡＮＳ　Ｉ認証は、通信対、すなわち、キーの
送信側と受信側の識別でキーをシールする方法である。
キーは、認証されると元のキー暗号化キーと通信対の識
別を知らないと回復できない。データ・キーまたはキー
暗号化キーは、伝送の前に認証キー（”）ＫＮを用いた
暗号化によって認証できる。
ＡＮＳＩでは、（”）ＫＮは、ＫＥＫ　（”）ＫＫと認
証シールＮＳの排他的論理和を取ることによって形成さ
れる。認証シールＮＳは、キー送信側の識別、所期のキ
ー受信側の識別及び（”）ＫＫに関連するキー・メツセ
ージ・カウンタの現在値から構成される。カウンタ値は
動的量であり、すなわち、（”）ＫＫの使用ごとに増分
されるので、各伝送ごとに（’）ＫＮを再計算しなけれ
ばならないことに留意されたい。
ＣＡでは、（”）ＫＮを形成する処理は、２つの別々の
ステップに分かれている。まずＡＰＮＯＴＲを呼び出し
て、”ＫＫＮＩと呼ばれる（０）ＫＮの中間形を計算す
る。”ＫＫＮＩは、ＮＳの静的量、すなわち、送信側の
識別、所期の受信側の識別及び（”）ＫＫ自体だけに基
づいている。オフセット化と呼ばれる最終ステップでは
、”ＫＫＮＩと（”）ＫＫに関連する現カウンタ値を組
み合わせて、（”）ＫＮを形成する。ＣＡで（０）ＫＮ
の形成を２ステツプに分ける理由は２つある。
１、効率性　（”）ＫＮは３つの静的量（１対の識別と
（”）ＫＫ自体）及び１つの動的量（（”）ＫＫに関連
するカウンタ）から構成されるので、（”）ＫＫカウン
タが更新されるたびに（ｅ′）ＫＮを完全に再計算する
必要はない。したがって、（”）ＫＮを計算する処理は
、静的量を使用する一時事象と動的量を使用するより単
純な繰り返し事象とに分けられる。
２、透過性　ＡＮＳＩでは、認証が使用される場合もそ
うでない場合も、伝送のためにＫＥＫを使ってキー（Ｋ
Ｄまたは（”）ＫＫ）を暗号化する前に、すべてのＫＥ
Ｋをオフセットさせなければならない。すなわち、オフ
セラト化は、ＡＲＴＭＫ、ＡＲＦＭＫ、ＡＸＬＴＫＥＹ
など他のキーを暗号化または非暗号化（復号化）するた
めにＫＥＫを使用するすべてのＣＡ　　ＡＮＳＩＮＳ中
に暗黙動作として含まれている。（”）ＫＮの形成を所
定の方式で分割することにより、認証が命令ＡＲＴＭＫ
１ＡＲＦＭＫ及びＡＸＬＴＫＥＹに対して透過性になる
。
ＡＰＮＯＴＲは所与のＫＥＫ用の部分認証キー”ＫＫＮ
Ｉを生成するために使用される。部分認証キーが使用さ
れるのは、認証済みキー（ＫＤまたは（”）ＫＫ）がＡ
ＲＴＭＫを使って搬入され、ＡＸＬＴＫＥＹを使って変
換され、あるいはＡＲＦＭＫを使って搬出されるときで
ある。たとえば、データ・キーＤＫＩを、オフセットＫ
ＥＫ、”ＫＫｌによる暗号化から他のＫＥＫｌ”ＫＫ２
の認証形による暗号化に変換すると仮定する。ｔ′ＫＫ
２の部分認証形である”ＫＫＮＩＩを作成すために、ｃ
′ＫＫ２、及び呼出側と所期の受取側の識別を使って、
ＡＰＮＯＴＲが呼び出される。次いで零ＫＫＩと”ＫＫ
ＮＩ２が、それぞれ人力ＫＥＫ及び出力ＫＥＫとしてＡ
ＸＬＴＫＥＹに渡される。
ＡＸＬＴＫＥＹは、”ＫＫＩと”ＫＫＮＩ２を当該の各
カウンタ値でオフセットさせ、その結果得られるＫＥＫ
を使ってＭＤＩを内部で回復し、出力のためにそれを再
暗号化する。（ＡＰＮＯＴＲは”ＫＫ２に対して一度呼
び出せばよいことに留意されたい。”ＫＫＮ　Ｉ　２は
、後で認証が望ましいときに使用できるようにＣＫＤＳ
　（キー記憶機構）にセーブすることができる。ただし
、ＡＰＮＯＴＲをこのキー管理手法で動的に行なうか、
それとも各（”）ＫＫごとに一度行なうかは実施者の責
任である。）この同じ例を使って、”ＫＫ２のもとての
認証が不要な場合、ＫＤｌのオフセット化、回復及び再
暗号化のために、”ＫＫｌ及び”ＫＫ２を直接ＡＸＬＴ
ＫＥＹに渡すことができる。
すべてのＡＮＳＩ　　ＫＥＫの使用の際にオフセット化
が常に暗示されており、したがってオフセット機能がハ
ードウェア内に埋め込まれ、暗号機能内でＡＲＴＭＫ、
ＡＲＦＭＫ及びＡＸＬＴＫＥＹ命令によって暗黙に実施
される。この方法は、オフセットのための別個の命令が
不要となり、これらの機能に対する認証キーの透過性を
容易にする。
ＡＰＮＯＴＲは、各通信ノード対間で共用される別個の
（”）ＫＫがあり、ノードＩＤは変更されないものと仮
定すると、認証性能が改善されるように設計されている
。
部分認証キー形成アルゴリズムが、第２７図と第２８図
に示されている。このアルゴリズムは、単長及び倍長Ｋ
ＥＫ用の個々のアルゴリズム間で共通のステップを利用
するように設計されている。
入力ＫＥＫ及び出力部分認証ＫＥＫが１２８ビツトとし
て処理される場合、唯一の相違は、”ＫＫＮＩを形成す
るために入力ＫＥＫと排他的論理和が取られる量ＮＳＩ
とＮＳｒの形成にある。入力ＫＥＫの実際のキー・サイ
ズを示すモード・パラメータが、ＮＳｌ及びＮＳｒの形
成を制御する。
ＭＵＸは、モードの制御下でＮＳＩの右半分を形成する
のに使用するため２つの３２ビツト入力の一方を選択す
る。同様に、ＭＵＸは、Ｎ　Ｓ　ｒの左半分を形成する
のに使用するため２つの入力の一方を選択する。この選
択処理を第２８図に示す。
モード・パラメータとＭＵＸの使用により、ｆ−ＫＫＮ
Ｉが形成される。”ＫＫＮＩは入力”ＫＫの実際のキー
・サイズとは無関係で、ＡＮＳＩ　　Ｘ９゜１７で（オ
フセット化の後に）定義された認証キーと等価であり、
他のＣＡ　　ＡＮＳＩ　　ＫＥＫと記憶上互換性がある
。
ＡＰＮＯＴＲへの入力は常に１２８ビツトＫＥＫである
。その出力は常に１２８ビツトである。
ＡＰＮＯＴＲに複製された６４ビツトＫＥＫが渡される
場合、モード・パラメータを１に設定しなければならな
い。ＡＰＮＯＴＲは出力線上に複製された６４ビツト部
分認証ＫＥＫを戻す。ＣＩＬ。
ＣＩＲ，Ｃ２Ｌ、Ｃ２Ｒのキー形式フィールドは、渡さ
れたモード・パラメータの値と整合しなければならない
。（下記の「Ｃｖ検査」を参照のこと）部分認証キーは
ＡＰＮＯＴＲに再入力できない。
キー管理設計のこの態様は、制御ベクトルＣＩＬ１ＣＩ
Ｒ１Ｃ２Ｌ１Ｃ２Ｒ及び”ＫＫＮＩの左右の６４ビツト
に対するハードウェア検査によって実施され、部分認証
キーを作成するために一度呼び出される。これは、１２
８ビツトＫＥＫの各６４ビツト部分ごとに呼出しを必要
とする他のＣＡ機能とは対照的である。
ＣＣ： １、動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３、Ｃ２ＬまたはＣ２Ｒ無効 ４、動作失敗（エラー） 制御ベクトル検査： １、ＣＩＬの検査 ＣＶタイプ＝”ＫＥＫ／ＡＮＳＩ“ ＡＰＮＯＴＲ使用ビット使用ビッ ト−＋１′ＣＩＬ）＝−１−一形式（Ｃ２Ｌ）予約（４
８：６３）＝Ｘ’　０　’ ２、ＣＩＲの検査 Ｃｖタイプ＝”　ＫＥＫ／ＡＮＳ　Ｉ　”ＡＰＮＯＴＲ
使用ビット使用ビッ ト−１１′ＣＩＲ）＝キー形式（Ｃ２Ｒ）予約（４８：
　６４）＝Ｘ“０“ ３．Ｃ２Ｌの検査 Ｃｖタイプ−″ＫＥＫ／ＡＮＳＩ″ ＡＰＮＯＴＲ使用ビット＝ＩＯ“ 予約（４８：　Ｃ３３）＝Ｘ“０“ ４、Ｃ２Ｒの検査 ＣＶタイプ＝９“ＫＥＫ／ＡＮＳＩ” ＡＰＮＯＴＲ使用ビット二“０′ 予約（４８：６３）＝Ｘ’　０　’ マスク・キーからのＡＮＳ　Ｉ再暗号化（ＡＲＰＭＫ） 式： ％式％） ： ｅ”ＫＭ、ｃＩＬ　（ＫＫＬ）制御ベクトルＣＩ　Ｌを
用いてマスタ・キーのもとて暗号化された、 ＫＫＬと呼ばれる”ＫＫの左６４ ビット。ぐＫＫは、１２８ビツト のキー暗号化キーまたは部分認証 キーである。
ｅ”ＫＭ、ｃＩＲ（ＫＫＲ）制御ベクトルＣＩＲを用い
てマスク・キーのもとて暗号化された、 ＫＫＲと呼ばれる”ＫＫの右６４ ビット。”ＫＫは、１２８ビツト のキー暗号化キーまたは部分認証 キーである。
注：ＣＡでは、（ＡＮＳＩキーを 含めて）すべてのＫＥＫが、１２ ８ビツト形式で左右の６４ビツト 部分として記憶される。（６４ピツ ）ＫＥＫは複製されて１２８ビツ トを形成する。この場合、左部分 と右部分は等しい。）”ＫＫの左 部分は、左制御ベクトルを用いて マスク・キーのもとて暗号化され ｅ’″ＫＭ、Ｃ２（Ｋ） ｎｔｒ てＣＫＤＳに記憶される。同様に、 ”ＫＫの右部分は、右制御ベクト ルを用いてマスク・キーのもとて 暗号化されてＣＫＤＳに記憶され る。制御ベクトル中のキー形式ビッ トは、左右の部分間及び６４ピツ ）ＫＥＫと１２８ビツトＫＥＫの 間で異なる。
搬出される６４ビツトＡＮＳＩキー に；には制御ベクトルＣ２を用い てマスク・キーのもとて３重暗号 化される。このキーは、データ・ キー　６４ビツト・キー暗号化 キー、あるいは１２８ビツト・キー 暗号化キーの左半分または右半分 でよい。
キー暗号化キー”ＫＫに関連する ６４ビツトの平文送信カウンタ値。
この値は、通常所期の受信側に搬 出キーと一緒に送られる。受信側 ４ｌ− ｋｅｙ−ｔｙｐｅ は、受信したカウンタを使って、 再生を検出し、”ＫＫ用のそのロー カル受信カウンタを同期させ、搬 出キーを回復する。ローカル・カ ウンタはＣＦＡＰによって保全性 を保って維持される。
搬出されるキーのタイプを指定す る。
注：データ・キーでは、ＡＲＦＭ Ｋの暗号化出力は２つの形をとる。
出力の１つの形は、所期の受信側 への搬出用である。そのキーはオ フセットされた形の指定されたキー 暗号化キーのもとて暗号化される。
もう１つの形は、Ｃ８ＭをＭＡＣ するために直接使用でき（単一Ｋ Ｄが搬出される場合）、また後で 他のこうしたキーと組み合わせて Ｃ８Ｍ　　ＭＡＣキーを形成する （２つのＫＤが同時に搬出される ＣＩＬ、ＣＩＲ Ｃ２ 出カニ ｅ”ＫＫｏ　（Ｋ） 場合）こともできる。ＡＣＯＭＢ ＫＤ命令を使って、これらの「部 公的ＪＭＡＣキーを組み合わせて Ｃ８Ｍ　　ＭＡＣ：キーにする。
０：ＫＤ １：ＫＫ それぞれキー暗号化キーまたは部 分認証キー”ＫＫの左右の部分用 の６４ビツト制御ベクトル。
大カキ−に用の６４ビツト制御ベ クトル。
ＫＭのもとで記憶されるＣ８Ｍ ＭＡＣキーまたは部分Ｃ８Ｍ　　Ｍ ＡＣキー用の６４ビツト制御ベク トル。この入力はｋｅｙ−ｔｙｐｅ二〇　のときだけ有
効にある。
キー暗号化キーまたは認証キー ”ＫＫｏのもとて３重暗号化され た６４ビツト・キーに、”ＫＫ。
ｅ”ＫＭ、Ｃ３（Ｋ） ｃｎｔｒ はｃｎｔｒでオフセットされた零Ｋ Ｋである。”ＫＫが”ＫＫＮＩと呼 ばれる部分認証キーの場合、。Ｋ Ｋｏは、”ＫＮと呼ばれる認証キー であり、Ｋは「認証された」と言 われる。
制御ベクトルＣ３を用いてマスク・ キーＫＭのもとて３重暗号化され た６４ビツト・データ・キーに０ この出力はｋｅｙ−ｔｙｐｅ＝０のときだけ有効であり
、Ｃ８ＭをＭＡＣす るために直接使用され、またＡＣ ＯＭＢＫＤを用いて他のこうした キーと組み合わされて、ＭＡＣ Ｃ３Ｍを形成する。
キー暗号化キー”ＫＫに関連する ６４ビット平文送信カウンタ値。
この値は、通常所期の受信側に搬 出キーと一緒に送られる。受信側 は、受信したカウンタを使って、 ｋｅｙ＝ｔｙｐｅ 再生を検出し、”ＫＫ用のそのロー カル受信カウンタを同期させ、搬 出キーを回復する。ローカル・カ ウンタはＣＦＡＰによって保全性 を保って維持される。
搬出されるキーのタイプを指定す る。
注：データ・キーでは、ＡＲＦＭ Ｋの暗号化出力は２つの形をとる。
出力の１つの形は、所期の受信側 への搬出用である。キーは、オフ セットされた形の指定されたキー 暗号化キーのもとて暗号化される。
もう１つの形式は、Ｃ８ＭをＭＡ Ｃするために直接使用でき（単一 ＫＤが搬出される場合）、また後 で他のこうしたキーと組み合わせ てＣ８Ｍ　　ＭＡＣキーを形成する （２つのＫＤが同時に搬出される 場合）こともできる。ＡＣＯＭＢ ＫＤ命令を使って、これらの「部 公的ＪＭＡＣキーを組み合わせて ＣＳＭ　　ＭＡＣキーにする。
０：ＫＤ ＣＩＬ、ＣＩＲ １：ＫＫ それぞれキー暗号化キーまたは部 分認証キー”ＫＫの左右の部分用 の６４ビツト制御ベクトル。
入カキ−に用の６４ビツト制御ベ クトル。
ＫＭのもとで記憶されるＣ８Ｍ ＭＡＣキーまたは部分Ｃ８Ｍ　　Ｍ ＡＣキー用の６４ビツト制御ベク トル。この入力はｋｅｙ−ｔｙｐｅ＝ｏ　の時だけ有効
になる。
出力； ｅ”ＫＫｏ　（Ｋ） キー暗号化キーまたは認証キー ”ＫＫｏのもとで３重暗号化され た６４ビツト・キーＫｏ”ＫＫ。
はｃｎｔｒ　でオフセットされた０に にである。”ＫＫが’ＫＫＮＩと呼 ばれる部分認証キーの場合、ｔ′Ｋ Ｋｏは、”ＫＮと呼ばれる認証キー であり、Ｋは「認証された」と言 われる。
ｅ”ＫＭ、Ｃ３（Ｋ）　　　　制御ベクトルＣ３を用い
てマスク・キーＫＭのもとて３重暗号化され た６４ビツト・データ・キーにで ある。この出力はｋｅｙ−ｔｙｐｅ＝ｏのときだけ有効
であり、Ｃ８ＭをＭ ＡＣするのに直接使用され、ある いはＡＣＯＭＢＫＤを用いて他の こうしたキーと組み合わされ、Ｍ ＡＣＣ８Ｍを形成する。
説明：ＡＲＦＭＫ命令は、マスク・キーによる暗号化か
ら１２８ビツトまたは複製６４ビツト・キー暗号化キー
”ＫＫ（搬出キーと呼ばれる）による暗号化に６４ビツ
ト・キーＫを再暗号化する。
１２８ビツト・キーには、６４ビツトの各半分ごとに１
回、合計２回ＡＲＦＭＫを呼び出すことによって搬出で
きるが、この場合”ＫＫは真の１２８ピツ）ＫＥＫでな
ければならない。この規則はハードウェアによって実施
される（下記の「Ｃｖ検査」を参照のこと）。
ＡＲＦＭＫは、ＡＮＳＩ　　Ｘ９．１７に従って認証さ
れた形または認証されない形でキーを搬出するのに使用
される。ＡＮＳ　Ｉキーは、所期の受信側と共用される
キー暗号化キーを用いてＡＲＦＭＫを呼び出すことによ
り、認証されない形で搬出される。ＡＲＦＭＫは指定さ
れたキー暗号化キーに対するオフセット化を内部で実行
する。ＡＮＳ■キーは、所期の受信側と共用される部分
認証形のキー暗号化キーを用いてＡＲＦＭＮを呼び出す
ことにより、認証された形で搬出される。ＡＲＦＭＫは
、特殊な部分認証キーに対するオフセット化を内部で実
行して、認証キーを作成する。部分認証キーはＡＰＮＯ
ＴＲ命令によってキー暗号化キーから形成される。
たとえば、ノードＡとＢが共用するキー暗号化キーを”
ＫＫａｂとする。ＡＰＮＯＴＲを呼び出すことによって
’ＫＫａｂから形成される部分認証キーを”ＫＫ　Ｉ　
ａ　ｂとする。キーには、キー暗号化キーとして”ＫＫ
ａｂを用いてＡＲＦＭＫを呼び出すことにより、Ａから
Ｂに認証されない形で搬出される。キーには、キー暗号
化キーとして”ＫＫＮＩａｂを用いてＡＲＦＭＫを呼び
出すことにより、認証された形でＡからＢに搬出される
。
ＡＮＳＩ　　Ｘ９．１７では、１つまたは２つのＫＤが
単一〇ＳＭで搬出される。１つのＫＤが送られると、そ
れは最終的にプライバシ・キーまたはＭＡＣキーとして
使用される。Ｃ８Ｍ自体は送られたＫＤを用いて確認さ
れる。２つのＫＤが送られる場合、第１のＫＤはＭＡＣ
キーであり、第２のＫＤはプライバシ・キーである。Ｃ
８Ｍは２つのＫＤの排他的論理和を用いて確認される。
ＡＲＦＭＫは２つの形で搬出されたデータ・キーを出力
することにより、Ｃ８Ｍ確認を支援する。
ＫＤの第１の形は、搬出用であり、すなわち、オフセッ
トされた形の指定されたキー暗号化キーのもとて暗号化
される。ＫＤの第２の形はＣ８ＭをＭＡＣするために直
接動的に使用でき（上記の単−ＫＤの場合のように）、
またこの形の他のＫＤと組み合わされて（排他的論理和
を取られ）Ｃ８ＭをＭＡＣするためのキーを形成する。
後者の使用は単一Ｃ８Ｍ中に２つのＫＤがある場合に対
応する。パラメータＣ３は、第２の出力形がＭＡＣキー
かそれともｒ部分的ＪＭＡＣキーかを制御する。ＡＣＯ
ＭＢＫＤは、２回のＡＲＦＭＫ呼出しからの部分的ＭＡ
Ｃキーを組み合わせて単一のＣ８Ｍ　　ＭＡＣキーにす
るのに使用される。
第２９図はＡＲＦＭＫ機能ブロック構成図を示す。
ＣＣ： １、動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３．０２無効 ４、動作失敗（エラー） 制御ベクトル検査 １、ＣＩＬの検査 ＣＶタイプ＝″ＫＥＫ／ＡＮＳＩ″ ＡＲＦＭＫ使用ビット二′１′ 予約（４８：　６３）＝Ｘ’　Ｏ’ ２、ＣＩＲの検査 ＣＶタイプ−ＫＥＫ／ＡＮＳＩ” ＡＲＦＭＫ使用ビット＝＋１′ 予約（４８：　ｆ３３）＝Ｘ’　Ｏ’ ３．０２の検査 Ｃｖタイプ＝″ＫＥＫ／ＡＮＳＩ”または“データ／Ａ
ＮＳＩ″ 搬出制御ビット１＝０　（ＲＦＭＫ許可）ＣＶタイプ＝
”データ／ＡＮＳＩ″の場合、以下の検査を行なう。第
２２表は、検査しなければならないＣ２属性の有効な組
合せを示す。表の組合せ以外のどの組合せも暗号方上無
効なので、許してはならない。ＥｌＤ、ＭＣ，ＭＶｌＡ
ＣＭＢは、データ・キー制御ベクトルの使用ビットであ
る。
４．０２とＣＩＬｌＣＩＲの検査 第２３表は、０２タイプ及びキー形式とＣＩＬおよびＣ
ＩＲキー形式属性の有効な組合せを示す。
左半分と右半分の分離を実施し、真の１２８ビン）ＫＥ
Ｋだけが１２８ビツトＫＥＫのもと搬送されるようにす
るため、これらの属性が検査される。
表中の組合せ以外の属性のどの組合せも暗号上無効なの
で、許されない。
５．０３の検査： ＣＶタイプ二″デデー／ＡＮＳＩ” 予約（４８：　６３）＝Ｘ“０“ 搬出制御ビット１＝１（搬出なし） 第２４表は検査しなければならないＣ３属性の有効な組
合せを示す。表の組合せ以外のどの組合せも暗号上無効
なので、許されない。Ｅ、ＤｌＭＧｌＭＶ、ＡＣＭＢは
データ・キー制御ベクトルの使用ビットである。
マスク・キーへのＡＮＳ　Ｉ再暗号化（ＡＲＴＭ−につ
− 式： ％式％） ： ｅ”ＫＭ、ｃＩＬ　（ＫＫＩ、）制御ベクトルＣＩＬを
用いてマスク・キーのもとて暗号化された、 ＫＫＬと呼ばれる”ＫＫの左６４ ビット。”ＫＫは、１２８ビツト のキー暗号化キーまたは部分認証 キーである。
ｅ”ＫＭ、ｃＩＲ（ＫＫＲ）制御ベクトルＣＩＲを用い
てマスク・キーのもとて暗号化された、 ＫＫＲと呼ばれる’ＫＫの右６４ ビット。”ＫＫは１２８ビツト・ キー暗号化キーまたは部分認証キー である。
注：ＣＡでは、（ＡＮＳ　Ｉキーを 含めて）すべてのＫＥＫが１２８ ビットの形で左右の６４ビット部 分として記憶される。（６４ピツ ｅ”ＫＫｏ（Ｋ） ）ＫＥＫは複製されて１２８ビツ トを形成する。この場合、左部分 と右部分は等しい。）”ＫＫの左 部分は左制御ベクトルを用いてマ スフ・キーのもとて暗号化されて ＣＫＤＳに記憶される。同様に、 ”ＫＫの右部分は右制御ベクトル を用いてマスク・キーのもとて暗 帰化されてＣＫＤＳに記憶される。
制御ベクトルのキー形式ビットは、 左右の部分間及び６４ピツ）ＫＥ Ｋと１２８ビツトＫＥＫの間で異 なる。
搬入される６４ビツトＡＮＳＩキー に、にはキー暗号化キーまたは認 証キー”ＫＫｏのもとて３重暗号 化される。”ＫＫｏはｃｎｔｒでオ フセットされた”ＫＫである。＊Ｋ Ｋが＊ＫＫＮＩと呼ばれる部分認 証キーの場合、”ＫＫｏは、１ＫＮ ｃｎｔｒ と呼ばれる認証キーであり、Ｋは 「認証された」と言われる。′Ｋ Ｋが複製された６４ビツト・キー である場合、すなわち、＊ＫＫ＝ ＫＫ／／ＫＫの場合、ｅ”Ｋにｏ　（Ｋ）は、オフセッ
トされた６４ビツト・ キーのもとて１重暗号化されたＡ ＮＳＩキーにであるｅＫＫｏ　（Ｋ）　　と等価である
。
キー暗号化キー”ＫＫに関連する ６４ビット平文送信カウンタ値。
この値は、通常所期の受信側から 供給され、Ｋを暗号化する前に０ ＫＫをオフセットさせるのに使わ れるカウンタである。ＡＲＴＭＫ を呼び出して受信キーを搬入する 前に、ＡＮＳＩ　　Ｘ９．１７カウ ント管理に従ってＮ　ｃｎｔｒ　を”ＫＫ用の対応する
ローカル受信カラン タと比較する必要がある。この比 ｋｅｙ−ｔＹＰｅ 較ステップとＡＲＴＭＫ呼出しス テップは、保全性を保つためＣＦ ＡＰ内で自動的に実行すべきであ る。ローカル・カウンタはＣＦＡ Ｐによって保全性を保って維持さ れる。
搬出されるキーの形式を指定する。
注：データ・キーでは、ＡＲＦＭ Ｋの暗号化された出力は２つの形 をとる。出力の１つの形は、搬入 キーの最終使用用である。このキー はプライバシ・キーまたはＭＡＣ キーとして使用できる。もう１つ の形は、Ｃ８ＭをＭＡＭするため に直接使用でき（単一ＫＤが搬入 される場合）、また後でこうした キーと組み合わせてＣ８Ｍ　　ＭＡ Ｃキーを形成する（２つのＫＤが 同時に搬入される場合）ことがで きる。ＡＣＯＭＢＫＤ命令を使っ ＣＩＬ、ＣＩＲ 出カニ ｅ”ＫＭ、ｃ２（に） て、これらの「部分的Ｊ　ＭＡＣキー を組み合わせてＣ８Ｍ　　ＭＡＣキー にする。
０：ＫＤ １：ＫＫ それぞれキー暗号化キーまたは部 公認証キー’ＫＫの左右の部分の ６４ビツト制御ベクトル。
ＫＭのもとで記憶されるキーに用 の６４ビツト制御ベクトル。この 制御ベクトルは搬入キーにの所期 の最終的使用を指定する。
ＫＭのもとで記憶されるＣ８Ｍ ＭＡＣキーまたは部分Ｃ８Ｍ　　Ｍ ＡＣキー用の６４ビツト制御ベク トル。この入力はｋｅｙ−ｔｙｐｅ＝ｏのときだけ有効
である。
制御ベクトルＣ２を用いてマスク・ キーＫＭのもとて３重暗号化され ＝　２５７ た６４ビツト受信キーＫ。
ｅ”ＫＭ、　Ｃ３（に）　　　制御ベクトルｃ３を用い
てマスク・キーＫＭのもとて３重暗号化され た６４ビツト受信データ・キーに０ この出力は、ｋｅｙ−ｔｙｐｅ＝０の場合だけ有効であ
り、Ｃ８ＭをＭＡＣす るために直接使用され、あるいは ＡＣＯＭＢＫＤを用いて他のこう したキーと組み合わされて、ＭＡ ＣＣ８Ｍを形成する。
説明：ＡＲＴＭＫ命令は、１２８ビツトまたは複製６４
ビツト・キー暗号化キー”ＫＫ　（搬入キーと呼ばれる
）による暗号化からマスク・キーによる暗号化に６４ビ
ツト・キーＫを再暗号化する。
１２８ビツト・キーには、各６４ビツトの各半分ごとに
１回、合計２回ＡＲＴＭＫを呼び出すことによって搬入
できる。
Ａ　ＲＴ　Ｍ　Ｋ　ハ、ＡＮＳＩ　　Ｘ９．１７に従ッ
テ認証されたキーまたは認証されないキーを搬入するの
に使用される。ＡＮＳ　Ｉ非認証キーは、キー送信側と
共用されるキー暗号化キーを用いてＡＲＴＭＫを呼び出
すことによって搬入される。ＡＲＴＭＫは、指定された
カウンタ値を使って指定されたキー暗号化キーに対する
オフセット化を内部で実行する。ＡＮＳＩ認証キーは、
キー送信側と共用される部分認証形のキー暗号化キーを
用いてＡＲＦＭＫを呼び出すことによって搬入される。
ＡＲＴＭＫは、指定されたカウンタ値を使って指定され
た部分認証キーに対するオフセット化を実行して、認証
キーを内部で形成する。部分認証キーは、ＡＰＮＯＴＲ
命令によってキー暗号化キーから形成される。
ＡＮＳＩ　　Ｘ９．１７では、１つまたは２つのＫＤが
単一Ｃ８Ｍ中で受信される。１つのＫＤが受信される場
合、それはブライバシ・キーまたはＭＡＣＡＣＭＢて最
終的に使用できる。Ｃ８Ｍ自体は受信されたＫＤで確認
される。２つのＫＤが受信される場合、第１のＫＤはＭ
ＡＣＡＣＭＢり、第２のＫＤはプライバシ・キーである
。Ｃ８Ｍは２つのＫＤの排他的論理和で確認される。
ＡＲＴＭＫは、搬入されたデータ・キーを２つの動作形
で出力することにより、Ｃ８Ｍ確認を支援する。ＫＤの
第１の形は、パラメータＣ２で指定されるその最終的使
用、すなわちプライバシまたはＭＡＣである。ＫＤの第
２の形は、（上記の単一ＫＤの場合と同様に）Ｃ８Ｍを
ＭＡＣするために直接使用でき、またこの形の他の搬入
ＫＤと組み合わせて（排他的論理和を取って）、Ｃ８Ｍ
をＭＡＣするためのキーを作成することができる。
後者の使用は、単一〇ＳＭに２つのＫＤがある場合に対
応する。パラメータＣ３は、第２の出力形がＭＡＣＡＣ
ＭＢれとも「部分ＪＭＡＣキーかを制御する。ＡＣＯＭ
ＢＫＤを使って、２回のＡＲＴＭＫ命令呼出しで得られ
る部分ＭＡＣキーを組み合わせて単一〇ＳＭ　　ＭＡＣ
ＡＣＭＢ成される。
第３０図はＡＲＴＭＫ機能の構成図である。
ＣＣ： １、動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３．０２無効 ４．０３無効 ５、動作失敗（エラー） 制御ベクトル検査： １、ＯＩＬの検査 Ｃｖタイプ＝　”ＫＥＫ／ＡＨＳＩ” ＡＲＴＭＫ使用ビット＝°１゜ 予約（４８：６３）＝Ｘ“０“ ２、ＣＩＨの検査 ＣＶタイプ＝　”ＫＥＫ／ＡＮＳＩ“′ＡＲＴＭＫ使用
ヒッ）　＝　’　１　’予約（４８：　６３）＝Ｘ“０
“ ３．０２の検査 Ｃｖタイプ＝　”ＫＥＫ／ＡＮＳＩ”またハ”ＤＡＴＡ
／ＡＨＳＩ” ＡＲＴＭＫ使用ビット＝１１１ Ｃｖタイプ＝　”ＤＡＴＡ／ＡＮＳＩ　”　（７）場合
、以下の検査を行なう。
第２５表は、検査しなければならないＣ２属性の有効な
組合せを示す。表の組合せ以外のどの組合せも暗号上無
効なので許されない。Ｅ１Ｄ、ＭＧｌＭＶ、ＩＡＣＭＢ
はデー１−　＋−制ａｌベクトルの使用ビットである。
４、Ｃ２とＣＩＬ、Ｃ：ＩＲの検査 第２６表は、０２タイプ及びキー形式とＣＩＬ及びＣＩ
Ｒキー形式属性の有効な組合せを示す。左半分と右半分
の分離を実施し、真の１２８ビツトＫＥＫだけが１２８
ビツトＫＥＫのもとで搬入されるようにするため、これ
らの属性が検査される。この表の組合せ以外のこれらの
属性の他のどの組合せも暗号上無効なので許されない。
５．０３の検査 −Ｃｖタイプ＝　”　ＤＡＴＡ／ＡＮＳＩ　”−予約（
４８：６３）＝Ｘ’Ｏ“ −搬出制御ビット１＝１（搬出なし） 第２７表は、検査しなければならないＣ３属性の有効な
組合せを示す。表の組合せ以外のどの組合せも暗号上無
効なので許されない。ＥｌＤｌＭＧｌＭＶ、ＡＣＭＢは
データ・キー制御ベクトルの使用ビットである。
キーのＡＮＳ　Ｉ変換（ＡＸＬＴＫＥＹ）式：　　ｅ”
ＫＭ、ｃＩＬ（ＫＫＩＬ）、　ｅ”ＫＭ、ｃＩＲ（ＫＫ
ＩＲ）。
ｅ”ＫＨ，ｃ２Ｌ（ＫＫ２Ｌ）、　　ｅ”ＫＭ、ｃ２Ｒ
（ＫＫ２Ｒ）。
ｅ”ＫＫｌｏ（（”）Ｋ）、　　（ｅ（”）Ｋｏ（ＫＤ
ｍａｃ））。
ｃｎｔｒｌ、ｃｎｔｒ２．ｋｅｙ−ｔｙｐｅ。
ＣＩＬ、ＣＩＲ，Ｃ２Ｌ、Ｃ２Ｒ，Ｃ３”　ｅ’ＫＫ２
ｏ（Ｋ）、　　ｅ”ＫＭ、ｃ３（Ｋ）（ｋｅｙ−ｔｙｐ
ｅ＝ｏ、ＫＤ） または ｅ”ＫＫ２ｏ（（”）Ｋ）、　ｅ”ＫＭ、ｃ３（ＫＤｍ
ａｃ）（ｋｅｙ−ｔｙｐｅ＝１．　ＫＥＫ） 入カニ ｅ”ＫＭ、ｃＩＬ（ＫＫＩＬ）制御ベクトルＣＩＬを用
いてマスク・キーのもとて暗号化された、 ＫＫＩＬで表される”ＫＫＩの左 ６４ビツト。’ＫＫ　１は１２８ピツ ）ＫＥＫまたは部分認証ＫＥＫで ある。
ｅ”ＫＭ、ｃＩＲ（ＫＫＩＲ）制御ベクトルＣＩＲを用
いてマスク・キーのもとて暗号化された、 ＫＫＩＲで表される”ＫＫＩの右 ６４ビツト。”ＫＫＩは１２８ピツ ）ＫＥＫまたは部分認証ＫＥＫで ある。
注：”ＫＫＩはカウンタｃｎｔｒｌでオフセットされて
、入力キー暗号化 キー”ＫＫ　１　ｏを内部で形成する。
変換すべきキーが認証された形で 入力される場合、ｔ′ＫＫ１は、Ａ ＰＮＯＴＲ命令によって作成され た、”ＫＫＮＩＩで表される部 公認証キーでなければならない。
この場合の”ＫＫｌｏは認証キー である。
ｅ”ＫＭ、ｃ２Ｌ（ＫＫ２Ｌ）制御ベクトルＣ２Ｌを用
いてマスク・キーのもとて暗号化された、 ＫＫ２Ｌで表される”ＫＫ２の左 ６４ビツト。”ＫＫ２は１２８ピツ ）ＫＥＫまたは部分認証ＫＥＫで ある。
ｅ”ＫＭ、ｃ２Ｒ（Ｋに２Ｒ）制御ベクトルＣ２Ｒを用
いてマスク・キーのもとて暗号化された ＫＫ２Ｒで表される”ＫＫ２の右 ６４ビツト。”ＫＫ２は１２８ピツ ）ＫＥＫまたは部分認証ＫＥＫで ある。
注：”ＫＫ２はカウンタｃｎｔｒ２でオフセットされて
、出力キー暗号化 キー”ＫＫ２ｏを内部で形成する。
変換すべきキーが認証された形で 入力される場合、”ＫＫ２は、Ａ ＰＮＯＴＲ命令によって作成され た、”ＫＫＮＩ２で表される部分 認証キーでなければならない。こ の場合ｔ′ＫＫ２ｏは認証キーであ る。
ｅ”ＫＫｌｏ（（”）Ｋ）変換される（”）Ｋで表され
る６４ビツトまたは１２８ビツトＡ ＮＳＩキー（ＫＤまたはＫＥＫ）。
（０）Ｋは”ＫＫｌｏのもとで３重 ｅ　（”）Ｋｏ　（ＫＤｍａｃ） 暗号化される。＊ＫＫ　１　ｏは ｃｎｔｒｌでオフセットされた”ＫＫＩである。（：）
Ｋが１２８ビツト の場合、すなわちＩ”＝に１／／ Ｋｒの場合、このパラメータは ｅ”ＫＫｌｏ　（Ｋｌ）／／ｅ”ＫＫｌｏ　（Ｋｒ）と
して入力される。そうではなく、（０） Ｋが６４ビツトの場合、このパラ メータはｅ”ＫＫｌｏ　（Ｋ）として入力される。
（Ｋ）Ｋｏのもとて暗号化された すなわちゼロでオフセットされた ６４ビツトにのもとて１重暗号化 され、あるいはゼロでオフセット された１２８ビツトｔ′にのもとて ３重暗号化された、任意選択の６ ４ビットＭＡＣキーＫＤｉａｃｏこ の場合、（”）Ｋｏ＝　（”）ＫｌＬ。
たがってｅ　（’）Ｋｏ　（ＫＤｍａｃ）　＝ｅ　（”
）Ｋ　（ＫＤｍａｃ）である。ＫＤｍａｃは、 ｃｎｔｒｌ キー変換センタ（ＫＴＣ）で暗号 サービス・メツセージ（Ｃ５Ｍ） を確認するために、ＡＮＳＩ　　Ｘ ９．１７で使用される一時ＭＡＣ キーである。ＫＤｍａｃは、ＫＴ ＣでＫＥＫを変換することを求め るＣ８Ｍ要求に常に付随する。Ｋ ＴＣとの間でＣ３Ｍを確認するた めにデータ・キー自体がＭＡＣキー として使用されるので、ＫＤｍａ Ｃは、ＫＤを変換することを求め るＣ８Ｍ要求に付随しない。した がって、このパラメータは、キー・ タイプが１、すなわち（＃）Ｋが ＫＥＫの場合にだけ有効である。
キー暗号化キー”ＫＫＩに関連す る６４ビット乎文カウンタ値。こ の値は、通常キー送信側によって 供給され、（”）Ｋを暗号化する前 に’ＫＫＩをオフセットするのに ｎｔｒ２ 使用されるカウンタを表す。受信 されたキーを変換するためにＡＸ ＬＴＫＥＹを呼び出す前に、ＡＮ ＳｉＩ２．１７カウンタ管理に 従って、Ｃｎｔｒｌを”ＫＫ用の対応するローカル受信
カウンタと比較す べきである。比較及びＡＸＬＴＫ ＥＹ呼出しステップは、保全性を 保持するためにＣＦＡＰ内で原子 的に実行する必要がある。ＫＥＫ カウンタはＣＦＡＰによって保全 性を保って維持される。
キー暗号化キー零ＫＫ２に関連す る６４ビット平文送信カウンタ値。
この値は、通常、所期の受領者へ 変換キーと一緒に送られる。受領 者は、受信したカウンタを使って 再生を検出し、”ＫＭ２のそのロー カル受信カウンタを同期させ、変 換されたキーを回復する。ローカ １（ｅｙ−ｔｙｐｅ ＣＩＬ、ＣＩＲ Ｃ２Ｌ、Ｃ２Ｒ ル・カウンタはＣＦＡＰによって 保全性を保持して維持される。
変換されるキーのタイプを指定する。
０：ＫＤ １　：（’）ＫＫｌすなわち６４ ビットまたは１２８ピツ ）ＫＥＫ それぞれ入力キー暗号化キーまた は部分認証キーの左右の部分の６ ４ビツト制御ベクトル。
それぞれ出力キー暗号化キーまた は部分認証キーの左右の部分の６ ４ビツト制御ベクトル。
ＫＭのもとで記憶される部分ＭＡ Ｃキーに対するＣ３Ｍ　　ＭＡＣキー 用の６４ビツト制御ベクトル。１ つのＫＥＫまたはちょうど１つの ＫＤが変換される場合、Ｃ３はＭ ＡＣＧＥＮ及びＭＡ　ＣＶ　Ｅ　Ｒ属性を指定しなけれ
ばならない。２つ のＫＤが変換される場合、Ｃ３は 「部分ＪＭＡＣキーを作成するた めＡＣＯＭＢＫＤ属性を指定しな ければならない。２つのＫＤを変 換するのにＡＸＬＴＫＥＹの呼出 しが２回必要である。その結果得 られる２つの部分ＭＡＣキーを八 〇〇ＭＢＫＤ命令を使って組み合 わせ、ＭＡＣＧＥＮ及びＭＡＣＶ ＥＲ属性を用いてＣ８Ｍ　　ＭＡＣ キーを形成することができる。
出カニ ｅ”ＫＫ２ｏ（（”）Ｋ）　　”　Ｋ　Ｋ　２　ｏのも
とて３重暗号化された６４ビツトまたは１２８ビツ ト・キー　（３）Ｋは、カウンタ ｃｎｔｒ２でオフセットされた出力キー暗号化キー”Ｋ
Ｍ２である。キー・ タイプが００場合、（０）Ｋは６４ ビツト・データ・キー（すなわち、 （”）Ｋ＝Ｋ）であり、このパラメー ｅ”ＫＭ、　Ｃ３（Ｋ） 夕はｅ”ＫＫ２ｏ（”）　　と呼ばれる。（０）Ｋは”
ＫＫｌｏから”ＫＫ２ｏに変 換される。
制御ベクトルＣ３を用いてマスク・ キーのもとて３重暗号化された、 変換されたデータ・キーＫに等し い６４ビツトＭＡＣキーまたは部 分ＭＡＣキー。この出力は、ＫＤ が変換された場合、すなわち、 キー・タイプが０の場合に限り有 効である。ＡＮＳＩ　　Ｘ９．１７ では、変換されるＫＤもＫＴＣと の間で暗号サービス・メツセージ を確認するために使用される。１ つのＫＤだけが変換される場合、 ＭＡＣキーはＫＤ自体である。こ の場合、ｅ”ＫＭ、Ｃ３（Ｋ）は、ＫＤすなわちＣ３Ｍ
をＭＡＣするためにＧ ＥＮＭＡＣとＶＥＲＭＡＣが直接 使用できる形のＫになる。２つの ＫＤが変換される場合、ＭＡＣキー は２つのＫＤを排他的論理和を取 ることによって形成される。この 場合、ＡＸＬＴＫＥＹは、各ＫＤ を変換するのに、１回ずつ、合計 ２回呼び出さなければならない。
その場合、各呼出しからのｅ”ＫＭ。
Ｃ３（Ｋ）は、部分ＭＡＣキーである。
２つの部分ＭＡＣキーをＡＣＯＭ ＢＫＤ命令と組み合わせて、Ｃ８ ＭをＭＡＣするためにＧＥＮＭＡ ＣとＶＥＲＭＡＣが直接使用でき るキーを形成する。
ｅ＊ＫＭ、Ｃ３（ＫＤｍａｃ）制御ベクトルＣ３を用い
てマスク・キーのもとて３重暗号化され た６４ビツトＭＡＣキーＫＤｍａ ｃｏこの出力はＫＥＫが変換され る場合、すなわち、キー・タイプ が１の場合に限りを効である。Ａ ＮＳＩ　　Ａ９．１７では、ＫＤｍ ａｃはＫＴＣとの間でＣ８Ｍを確 認するために使用される。
説明：　ＡＸＬＴＫＥＹ命令は、げ）Ｋで表される、６
４ビツトまたは１２８ビツト・キーを、オフセットされ
たキー暗号化キー”ＫＫＩによる暗号化からオフセット
されたキー暗号化キー”ＫＫ２による暗号化に変換する
。オフセット化以外に、ＡＸＬＴＫＥＹは、認証された
キー型式との間の変換を支援する。（０）Ｋが認証され
た形で入力される場合、”ＫＫ　１は部分認証キーでな
ければならない。同様に、（”）Ｋが認証された形で出
力される場合、＊ＫＫ２は部分認証キーでなければなら
ない。部分認証キーはＡＰＮＯＴＲ命令によってＫＥＫ
から形成される。
ＡＸＬＴＫＥＹは２次出カニＭＡＣキーまたはＭＡＣキ
ー構成要素も作成する。これは、変換要求側とＫＴＣの
間で暗号サービス・メツセージを確認するのに使用でき
る。ＭＡＣキーの形成はキー形式パラメータによって制
御される。
キー・タイプが１の場合、すなわち、ＫＥＫ変換の場合
、ＭＡＣキーは、ＫＥＫ自体（０でオフセットされる）
のもとて暗号化された任意選択のパラメータＫＤｍａｃ
として命令に供給される。
ＡＸＬＴＫＥＹは内部でＫＤｍａｃを回復し、パラメー
タＣ３で指定された制御ベクトルを用いてＫＭのもとて
それを再暗号化して出力する。通常、Ｃ３はＧ　Ｅ　Ｎ
ＭＡ　Ｃ及びＶ　Ｅ　ＲＭＡ　Ｃ使用属性で指定される
。ハードウェアは搬出制御を実施しない。
キー・タイプが０の場合、すなわち、ＫＤ変換の場合、
ＭＡＣキーは変換されるＫＤに基づく。
ＡＸＬＴＫＥＹは内部でＫＤを回復し、それを０３で制
御された属性を用いてＫＭのもとて再暗号化して出力す
る。ちょうど１つのＫＤが変換される場合、ＭＡＣキー
はＫＤ自体であり、Ｃ３は通常Ｇ　Ｅ　ＮＭＡ　Ｃ及び
Ｖ　Ｅ　ＲＭＡ　Ｃ使用で指定される。この場合も、ハ
ードウェアが搬出制御を実施する。２つのＫＤ、ＫＤＩ
とＫＤ２が変換される場合、ＡＸＬＴＫＥＹは２回呼び
出さなければなラス、ＭＡＣ−１−−はＫＤＩ　　ＸＯ
ＲＫＤ２であリ、Ｃ３はＡＣＯＭＢＫＤ属性で指定され
なければならない。その結果得られるＭＡＣキー構成要
素、ｅ”ＫＭ、Ｃ３（ＫＤＩ）とｅ”（ＫＤ、Ｃ３（Ｋ
Ｄ２））がＡＣＯＭＢＫＤ命令に渡される。ＡＣＯＭＢ
ＫＤ命令は、内部でそれらを回復して、必要なＭＡＣキ
ーであるｅ”ＫＭ、ｃｘＫＤＩ　　ＸＯＲＫＤ２）を作
成する。
第３１図及び第３２図はＡＸＬＴＫＥＹ機能の構成図を
示す。
ＡＸＬＴＫＥＹ命令はＡＮＳＩ　　Ｘ９．１７ＫＴＣ環
境で使用される。この命令は、サービス（ＲＦＳ）Ｃ８
Ｍ要求の処理及び（ＲＴＲ）Ｃ８Ｍの要求に対する対応
する応答の生成を支援する。
ＲＦＳは以下の変換要求の１つを含むことができる。
１つのデータ・キー”Ｄｉを変換する。ＫＤＩを使って
ＣＭＳをＭＡＣする。
２つのデータ・キーＫＤ１、ＫＤ２を変換する。（ＫＤ
Ｉ　ＸＯＲＫＤ２）を使ってＣ８ＭをＭＡＣする。
１つのＫＫまたはｔ′ＫＫを変換する。供給されたデー
タ・キーＫＤｍａｃを使ってＣ８ＭをＭＡＣする。
１つのデータ・キーＫＤＩを変換しなければならないと
き、ＡＸＬＴＫＥＹ機能はキーを変換し、またｅ”ＫＭ
、　Ｃ３（ＫＤＩ　）も出力する。出力されたキーは、
ＲＦＳ中のＭＡＣを検査し対応するＲＴＲ用のＭＡＣを
生成するために使用できる。
２つのデータ・キーＫＤＩとＫＤ２を変換しなければな
らないときは、ＡＸＬＴＫＥＹ機能が２回呼び出される
。この機能は、ｅ”ＫＭ、Ｃ３（ＫＤＩ）とｅ”ＫＭ、
Ｃ３（ＫＤ２）を２つの各セルで中間出力として生成す
る。ＣＦＡＰは次にＡＣＯＭＢＫＤを呼び出して、２つ
の出力を組み合わせて１つのＭＡＣキーｅ”ＫＭ、ｃＸ
（ＫＤＩ　　ＸＯＲＫＤ２）にする。そのキーは、ＲＦ
ＳとＲＴＲＣ８ＭをＭＡＣするのに使用できる。ＡＸＬ
ＴＫＥＹによって生成された中間出力は、搬出権限なし
でローカルでしか使用できない。これは制御ベクトル検
査によって実施される。
１つの（”）ＫＫを変換しなければならないときは、Ａ
ＸＬＴＫＥＹ機能はそのキーを変換し、やはりＣ８Ｍを
ＭＡＣｉ　ｎ　ｔするのに使用できるｅ″ＫＭ、Ｃ３（
ＫＤｍａｃ）も出力する。ＫＤｍａｃはＲＦＳ内で変換
される（”）ＫＫに付随する。それは、定数ゼロでオフ
セットされた（”）ＫＫのもとて暗号化される。ｅ”Ｋ
Ｍ、Ｃ３（ＫＤｍａｃ）はローカルでしか使用できない
ことに留意されたい。搬出制御は命令中の制御ベクトル
検査によって実施される。
ＣＣ： １、動作成功 ２、ＣＩＬまたはＣＩＲ無効 ３、Ｃ２ＬまたはＣ２Ｒ無効 ４．０３無効 ５、動作失敗（エラー） 制御ベクトル検査： １、ＣＩＬの検査 Ｃｖタイプ＝　”　ＫＥＫ／ＡＨＳＩ”ＡＸＬＴＫＥＹ
使用ビット＝１ 予約（４８：　６３）＝Ｘ“０“ ２、ＣＩＲの検査 Ｃｖタイプ＝　”ＫＥＫ／ＡＨＳＩ” ＡＸＬＴＫＥＹ使用ビット＝１ 予約（４８：６３）＝Ｘ’　Ｏ“ ３、Ｃ２Ｌの検査 ＣＶタイプ＝　”ＫＥＫ／ＡＨＳＩ” ＡＸＬＴＫＥＹ使用ヒツト＝１ 予約（４８：Ｃ３３）＝Ｘ’　Ｏ’ ４．０２４の検査 ＣＶ　タイプ＝　”ＫＥＫ／ＡＮＳＩ”ＡＸＬＴＫＥＹ
使用ビット＝１ 予約（４８：８３）＝Ｘ’Ｏ’ ５、ＣＩＬとＣ２Ｌの検査 キー形式（ＣＩＬ）＝キー形式（Ｃ２Ｌ）６、ＣＩＲと
Ｃ２Ｒの検査 キー形式（ＣＩＲ）＝キー形式（Ｃ２Ｌ）７．０３の検
査 キー・タイプ＝“ｋａｔａキー 搬出制御ビット１＝１（搬出なし） 第２８表は、検査しなければならないＣ３属性の有効な
組合せを示す。表の組合せ以外のどの組合せも暗号上無
効なので許されてはならない。Ｅ１Ｄ、ＭＧｌＭＶ、Ａ
ＣＭＢはデータ・キー制御ベクトル用の使用ビットであ
る。
ＫＤのＡＮＳ　Ｉ組合せＫＤＳ　（ＡＣＯＭＢＫＤ）式
： ％式％ ： 制御ベクトルＣ１を用いてマスク・ キーＫＭのもとて３重暗号化され た６４ビツトＡＮＳＩデータ・ キー 制御ベクトルＣ２を用いてマスク・ キーＫＭのもとて３重暗号化され た６４ビツトＡＮＳＩデータ・ キー データ・キーＫＤＩ用の６４ビツ ト制御ベクトル。
データ・キーＫＤ２用の６４ビツ ト制御ベクトル。
出力ＭＡＣキー、ＫＤ用の６４ビツ ト制御ベクトル。
出カニ ｅｏにＭ、Ｃ３（ＫＤ）　　　制御ベクトルＣ３を用い
てマスク・キーのもとて３重暗号化された６ ４ビツトＡＮＳＩデータ・キー このキーは、ＧＭＡＣ及びＶＭＡ Ｃ命令を使ってＡＮＳＩ　　Ｘ９゜ １７暗号サービス・メツセージを 確認するために使用できる。
説明：ＡＮＳＩ　　Ｘ９．１７では、キーは、暗号サー
ビス・メツセージ（Ｃ８Ｍ）のシーケンスを介してパリ
テブーを通信することによって交換される。すべての交
換は１つまたは２つのデータ・キーを含む。ある種のＣ
８Ｍの保全性は、ｃｓＭを、１つのＫＤが交換される場
合は、データ自体と、また２つのＫＤが交換される場合
は２つのデータ・キーの排他的論理和とＭＡＣすること
によって保護される。ＡＣＯＭＢＫＤ命令は、後者の場
合、すなわち、２つのデータ・キーからのＣ８ＭＭＡＣ
キーの計算を処理する。
ＡＣＯＭＢＫＤは２つのｒ部分ＪＭＡＣキーすなわち、
ＡＣＯＭＢＫＤ中でのその使用を可能にする制御ベクト
ルを用いてマスク・キーのもとて暗号化されたデータ・
キーを受け入れる。部分ＭＡＣキーは、ＡＮＳＩデータ
・キーをそれぞれＡＲＴＭＫまたはＡＲＦＭＫで搬入ま
たは搬出する任意選択の副産物として作成される。
ＡＣＯＭＢＫＤは、内部でデータ・キーＫＤＩとＫＤ２
を回復し、（ＫＤＩ　　ＸＯＲＫＤ２）を、ＧＭＡＣ及
びＶＭＡＣと共に操作で使用できる制御ベクトルを用い
てマスク・キーのもとて暗号化して出力する。これらの
命令は、ＡＮＳＩ　　Ｘ９．１０００Ｍプロトコルによ
って必要とされる入力及び出力Ｃ８Ｍを確認するのに使
用できる。
注：ＡＣＯＭＢＫＤは、入力ＫＤが等しくなく、等価で
もなく、（ＫＤ　Ｉ　　ＸＯＲＫＤ２）がゼロに等しく
ないことを検査しなければならない。
これは、既知の値（ゼロ）を用いたＭＡＣキーの作成を
防止するためである。
第３３図は、ＡＣＯＭＢＫＤ命令の構成図を示す。
ＣＣ： １、動作成功 ２．０１無効 ３．０２無効 ４．０３無効 ５、動作失敗（エラー） 制御ベクトル検査： １．０１の検査： ＣＶタイプ＝”データ／ＡＨＳＩ″ ＡＣＭＢ使用ビット＝１ 予約（４８：６３）＝Ｘ’Ｏ” 第２９表は、検査しなければならないＣ１属性の有効な
組合せを示す。表の組合せ以外のどの組合せも暗号上無
効なので許されてはならない。ＥｌＤｌＧｌＭＶ、ＡＣ
ＭＢはデー９　・−］−一制御ヘクトル用の使用ビット
である。
２．０２の検査 キー・タイプ＝”データ／ＡＨＳＩ　”ＡＣＭＢ使用ビ
ット＝１ 予約（４８：　６３）＝Ｘ’　Ｏ’ 第３０表は、検査しなければならないＣ２属性の有効な
組合せを示す。表の組合せ以外のどの組合せも暗号上無
効なので許されてはならない。ＥｌＤｌＭＧｌＭＶ、Ａ
ＣＭＢはデータ・キー制御ベクトル用の使用ビットであ
る。
３．０３の検査 ＣＶタイプ＝“データ／ＡＮＳＩ“ 搬出制御ビットに１（搬出なし） 予約（４８：６３）＝Ｘ’０’ 第３１表は、検査しなければならないＣ３属性の有効な
組合せを示す。表の組合せ以外のどの組合せも暗号上無
効なので許されてはならない。ＥｌＤ、ＭＧｌＭＶｌＡ
ＣＭＢは、５’−タ制御ヘクトル用の使用ビットである
。
ＩＣＶｌｏＣＶの管理 初期連鎖値（ＩＣＶ）とは、ＤＥＡの暗号ブロック連鎖
（ＣＢＣ）暗号化モード及びメツセージ確認コード（Ｍ
ＡＣ）を計算する一部のアルゴリズムと共に使用される
、６４ビツトの乱数、疑似乱数、または、場合によって
は、非反復値である。
ＩＣＶ管理には、平文及び暗号化されたＩＣＶの電子伝
送及びローカル記憶のためのオプションが含まれる。し
かし、暗号化されたＩＣＶは、いずれかの暗号機構への
入力パラメータとして使用する前に、まず非暗号化（復
号化）しなければならない。
出力連鎖値（ＯＣｖ）とは、Ｇ　Ｅ　ＮＭＡ　Ｃ及びＶ
ＥＲＭＡＣ暗号命令によって、ある種の条件のもとで戻
される６４ビツト値である。同じ暗号命令が再び呼び出
され、ＯＣｖがＩＣＶとして渡される。ＯＣＶは常にｅ
ＫＭ、ｃＶ　（ＯＣＶ）の形で暗号化される。ただし、
ＣＶは中間ＩＣＶ用の制御ベクトルである。Ｖ　Ｅ　Ｒ
ＭＡ　Ｃ命令にとって、暗号化さるたＯＣｖが安全保護
のために不可欠である。平文ＯＣｖは、この場合は、Ｍ
ＡＣを露出させるために使用できる。これは、ＶＥＲＭ
ＡＣ命令ではできないと思われる。暗号化ＯＣｖもＧ　
Ｅ　ＮＭＡＣ命令に対して定義される。これは、ＧＥＮ
ＭＡＣ及びＶＥＲＭＡＣ命令をできるだけ同じにして、
ハードウェア面で可能な機能上のオーバーラツプを許す
ためである。
暗号機構外部でのＩＣＶ管理 この通信アーキテクチャでは、ＩＣｖの次の３つの電子
伝送モードが可能である。
１、平文ｒｃｖ：平文で送られる。
２、暗号化ＩＣＶ：送信側と受信側の間で共用されるデ
ータ・キー（ＫＤ）を用いて暗号化される。
３、私用プロトコルＩＣＶ：送信側と受信側の間の私用
プロトコルによって確立されるＩＣＶ。
ＣＡのもとで、ＣＦＡＰは平文及び暗号化されたＩＣＶ
の両方を処理しなければならない。しかし、アプリケー
ションはそれ自体の暗号化ＩＣＶを管理することを選ぶ
ことができ、平文ＩＣＶをＣＦＡＰに渡して、伝送のた
めＩＣＶを暗号化し、他のノードから受信したすべての
暗号化ＩＤＶを非暗号化（復号化）する。任意選択とし
て、暗号支援プログラムも私用プロトコルを使ってＩＣ
Ｖを確立することができる。
暗号機構内部でのｒｅｖ管理 制御ベクトルは、ＩＤｖの電子的配布には使用されず、
またＩＣＶの配布を制御するために暗号機構（ハードウ
ェア）が使用できるビットも制御ベクトル中にない。Ｉ
ＣＶ配布モードの暗号機構による検査や実施はない。す
なわち、ＩＣＶ管理は、厳密に暗号支援プログラム（す
なわち、暗号機構の外部のソフトウェア）の役割である
。
暗号機構に暗号機構入力パラメータとして渡されるすべ
てのＩＣＶは、平文ＩＣＶでなければならない。ＧＥＮ
ＭＡＣ及びｖＥＲＭＡＣ命令で必要とされるＩＣＶ＝Ｏ
は、平文ＩＣＶのサブケースである。影響を受ける暗号
命令には次のものがある。
１、暗号化 ２、非暗号化（復号化） ３、ＭＡＣ生成 ４、ＭＡＣ検査 ５、暗号テキスト変換 キーの管理 暗号アーキテクチャのキー管理は、暗号機構の命令セッ
ト及び他の機能（たとえば、キー・ロード機能、レジス
タなど）の効果的な利用を通じてキーを管理するための
１組の技術、規則、及び手順である。
特定の暗号機構を使って上記の方法でキー管理を実行す
ることが、この暗号アーキテクチャの意図である。こう
すると、共通暗号アーキテクチャを実施するシステムが
、１つの共通の方法で互いに通信できるようになる。Ｃ
Ａキー管理のいくつかの特徴を以下に示す。
キー管理は、制御ベクトルの概念に基づいている。これ
は、いくつかの利点の１つとして、キーの使用を強力に
実施して、キーが所期の通り分離され使用されるよう保
証する。
システムの内部では、キー管理は、暗号機構によって実
施される２段階層概念である。マスク・キーだけが、安
全保護された暗号機構内に平文で記憶される。他のキー
は、各キーに関連する制御ベクトルとマスク・キーの排
他的論理和のもとて暗号化され、暗号機構の外部に記憶
できる。暗号機構の外部では平文キーは許されない。
キー管理はまた、ＣＦＡＰ　（暗号機構アクセス・プロ
グラム）によって実施される通信態様では３段階層であ
る。マスク・キーを使って、キー暗号化キーが暗号化さ
れる。キー暗号化キーはノード間で共用され、それを使
ってノード間で交換される他のキーが暗号化される。
キー管理は、システム及びネットワーク上でキーを初期
設定するための手順をもたらす。
キー管理は、キーの生成、配布、交換及び記憶を行なう
ための手順をもたらす。
キー管理は、ノード間でのキー及び制御ベクトルの伝送
のための通信プロトコルをもたらす。
制御ベクトル・システムは、ＣＡを実施する暗号システ
ムである。
キーと暗号　数の記憶 すべてのキーはｅＫＭ、ｃ（Ｋ）の形で記憶される。す
なわち、マスク・キーと制御ベクトルの排他的論理和を
取ることによって形成されるキーのもとて暗号化される
。中間ＭＡＣＩＣ：Ｖ及びトークンも同様に暗号化され
る。
キーと暗号変数のタイプ 制御ベクトル中のＣｖタイプ／サブタイプ・フィールド
は、暗号化されたキーまたは暗号変数を指定する。１３
のＣｖタイプ／サブタイプがＣＡに対して定義される。
ＣＶタイプ／サブタイプ データ／プライバフ データ／ＭＡＣ データ／変換 データ／互換性 データ／ＡＮＳＩ Ｋｅｋ／送信側 ＫｅＫ／受信側 Ｋｅｋ／ＡＮＳＩ ＰＩＮ／暗号化 Ｐ　Ｉ　Ｎ／生成 ＩＣＶ／中間Ｍ　Ａ　Ｃ キ一部分／ トークン／ Ｃｖタイプ／サブタイプは、３つの範喘に分けられる。
１、ＣＡ：他のＣＡシステムとだけ共用されるキーを定
義する。
２、互換性：他のＣＡ及び非ＣＡシステムと共用される
キーを定義する。
３、ＡＮＳＩ：ＡＮＳＩ　　Ｘ９．１７キー配布を介し
て送受信されるキーを定義する。
範嘔 ＣＡ ＣＶタイプ／サブタイプ データ／プライバフ データ／ＭＡＣ データ／変換 ＫｅＫ／送信側 Ｋｅｋ／受信側 Ｋｅｋ／ＡＮＳＩ ＰＩＮ／暗号化 ＰＩＮ／生成 ＩＣＶ／中間ＭＡＣ キ一部分／ トークン／ 互換性　　　　データ／互換性 ＡＮＳＩ　　　　データ／ＡＮＳＩ Ｋ　ｅ　ｋ／ＡＮＳ　Ｉ キー階層 １、マスク・キー・：暗号機構の外部にローカルに記憶
されるすべてのキーを暗号化する。
２、キー暗号化キー：暗号機構間で通信される（マスク
・キー以外の）すべてのキーを暗号化する。
３、データ・キー：データ及びＩＣＶを暗号化する。
４、ＰＩＮ暗号化キー：ＰＩＮブロックを暗号化する。
キー配布プロトコル： ＣＡは３つのキー配布プロトコルを支援する。
１、制御ベクトル・モード（ＣＶと指定）リンク上で通
信されるすべてのキーがｅＫＥＫ、Ｃ（Ｋ）の形である
。
２、互換性モード（ＣＶ＝０と指定） リンク上で通信されるすべてのキーがｅＫＥＫ　（Ｋ）
の形である。
３、ＡＮＳＩ　　Ｘ９．１７　（ＡＮＳＩと指定）リン
ク上で通信されるすべてのキーがＡＮＳＩ標準Ｘ９．１
７に合致する。
キー配布規則 キー及び暗号変数は、キー配布プロトコルにキー範喘を
関連付ける次のような１組の規則に応じて配布（搬出／
搬入）される。
１、ＣＡ主キー暗号変数は、制御ベクトル・モードを使
って搬出または搬入しなければならない。
２、互換性キーは、（リンク上の制御ベクトルを用いる
）制御ベクトル・モードまたは（リンク上のＣＶ＝Ｏを
用いる）互換性モードを使って搬入または搬出できる。
３、ＡＮＳＩキーは、ＡＮＳＩ　　Ｘ９．１７モードを
使って搬出または搬入されなければならない。
これらの規則を次の表に要約する。
Ｃｖタイプ／　　　キー配布プロトコルサフタイプ　　
　　　ＣＶ　　ＣＶ＝ＯＡＮＳＩデータデーライバシ データ／ＭＡＣｙ データ／変換　　　　ｙ Ｋｅｋ／送信側　　　ｙ Ｋｅｋ／受信側　　　ｙ Ｋｅｋ／ＡＮＳＩ　　　ｙ ＰＩＮ／暗号化　　　ｙ ＰＩＮ／生成　　　　ｙ ＩＣＶ／中間ＭＡＣｙ キ一部分／　　　　　ｙ トークン／　　　　　ｙ 互換性　データ／互換性　　　ｙ　　　　ｙＣＡ 範嗜 ＡＮＳＩ　　　データ／ＡＮＳ　Ｉ 凡例：「ｙ」は、示されているキー配布プロトコルを使
って変数が配布できることを示す。
キー状態（非ＡＮＳｉ） ＣＡは次の３つのキー状態を定義する。
１、動作：キーはＫＭのもとで、すなわちローカル使用
に適した形で暗号化される。
２、搬出：キーは、ＫＥＫ／送信側のもとで、すなわち
他の装置への搬出に適した形で暗号化される。
３、搬入：キーは、ＫＥＫ／受信側のもとで、すなわち
この装置への搬入に適した形で暗号化される。
キーの生成 １、制御ベクトル・システムによって生成されるすべて
のキーは、それに関連した制御ベクトルをもつ。
２、キーは、生成されたキーを暗号化するのに使用され
るキーのＣｖタイプ／サブタイプ（このリストの項Ｇ）
に応じて、ａ）動作状態、ｂ）搬出状態、ｃ）搬入状態
で生成される。
３、キーは、ＧＫＳ及びＫＧＥＮ命令を使って生成され
る。
ＧＫＳは、２つの制御ベクトルを用いて２つの形でキー
を生成する。Ｃｖタイプ／サブタイプは、共にＣＡ範喘
でなければならない。
（キー管理では、キーがＣＡ及び互換性の範喀のキーに
なることは許されない。） ＫＧＥＮは、ＣＡまたは互換性のどちらかの範叶の制御
ベクトルを用いて１つの形でキーを生成する。
キー状態の　換（非ＡＮＳＩ） 以下の（示された命令を使った）キー状態の変換がＣＡ
によって支援される。
入力状態　　　　　　　　出力状態 動作　　搬入　　搬出 動作　　　　　　　−−ＲＦＭＫ 搬入　　　　　　　ＲＴＭＫ　　　−変換キー搬出 凡例二″−”は支援されないことを示す。
キー管理を実行する命令列 第３２表、第３３表、第３４表及び第３５表の表は、キ
ー管理のために使用されるＣＡ機能を指定する。詳細な
説明は以下の項に示す。
キー状態及び命令 第３４図は、動作、搬出及び搬入キーの関係、及びこれ
らのキーが暗号機構の様々な命令によってどのように作
成または変換されるかを示す。
動作キーは、キー記憶機構に保持され、暗号命令に対す
る入力パラメータとして使用できる。これはｅＫＭ、ｃ
（Ｋ）の形をとる。ＫＭは暗号機構に保持されたマスク
・キーであり、ＣはキーＫに関連するＣＶである。搬出
キーは、他のシステムにキーを送るために使用されるチ
ャネルを定義する動作キーである。搬入キーは、他のシ
ステムまたはそれ自体からキーを受け取るために使用さ
れるチャネルを定義する動作キーである。搬出キーは、
ｅＫＥＫ、Ｃ（に）の形のキーである。ただし、ＫＥＫ
はＫＥＫ／送信側であり、ＣはキーＫに関連するＣＶで
ある。搬入キーは、ｅＫＥＫ、Ｃ（に）の形のキーであ
る。ただし、ＫＥＫはＫＥＫ／受信側であり、Ｃはキー
Ｋに関連するＣｖである。
ＲＦＭＫは動作キーを搬出キーに変換する。ＲＴＭＫは
搬入キーを動作キーに変換する。ＫＧＥＮは動作キーの
１つの形を生成する。ＸＬＡＴＥＫＥＹは搬入キーを搬
出キーに変換する。ＧＫＳは、一般に、２つの形でキー
を生成する。１つの形は、他の形と異なる使用属性をも
っことがある。
ＧＫＳ　　０Ｐ−ＯＰは、動作形と搬出形の２つの形で
キーを生成する。ＧＫＳ　　ＯＰ−ＩＭは、動作形と搬
入形の２つの形でキーを生成する。ＧＫＳ　　ＩＭ−Ｅ
Ｘは、搬入形と搬出形の２つの形でキーを生成する。Ｇ
ＫＳ　　ＥＸ−ＥＸは、搬出形と搬出形の２つの形でキ
ーを生成する。
キー・タイプの概要 ＣＡ命令は、以下に示すキー・タイプに対して作用する
。
１、キー暗号化キー これは他のキーを暗号化するために使用されるキーであ
る。マスク・キー、定義域間キー及び端末マスク・キー
がキー暗号化キーである。マスク・キーを除いて、すべ
てのキー暗号化キーは以下のサブタイプに分類できる。
キー暗号化キー／送信側（ＫＥＫ／送信側）：他のノー
ドにキーを送るのに使用されるキー キー暗号化キー／受信側（ＫＥＫ／受信側）：他のノー
ドから送られたキーを受は取るのに使用されるキー ＡＮＳＩキー暗号化キー（ＡＮＳＩ　　ＫＥＫ）：ＡＮ
ＳＩ　　Ｘ９．１７キー管理環境で使用されるキー。Ａ
ＮＳＩ　　ＫＥＫは正規のＣＡ　　ＫＥＫ（すなわち、
ＫＥＫ／送信側及びＫＥＫ／受信側）の−方向特性をも
たない。
マスター・キー マスク・キーは、システム内の他のすべてのキーを保護
するために使用されるキーである。マスク・キーだけは
安全保護された暗号機構内で平文で記憶する必要がある
。他のキーは、各キーに関連する制御ベクトルがマスク
・キーと排他的論理和を取った形で保護される。
それらは暗号化されているので、暗号機構の外部の記憶
域に記憶することができる。
ＣＡでは、マスク・キーが倍長キーであることが必要で
ある。すなわち、マスク・キーは、１２８ビツト長でな
ければならない。そのうちの１１２ビツトは実際の値を
表し、１６ビツトはパリティ・ビットである。
定義域間キー キー管理には、通信しようとする各Ｃｖタイプ（制御ベ
クトル・タイプ）ノードと共用される固有の倍長キー・
パリティ（それぞれ１２８ビツト）が必要である。
このことは、非ＣＶタイプのシステム・ノードにも当て
はまる。ただし、単長キーのみを利用するシステムでは
、倍長キ一対が、左半分と右半分が等しくなるように記
憶される。
定義域間キーは、定義域間キーを共用するノード間で交
換されたキーを暗号化（または発送）し検索するのに使
用される。
端末マスク・キー キー管理には、通信しようとする各端末と共用される固
をの端末マスク・キーが必要である。キーを端末に送る
だけでよくキーを受け取る必要のない端末では、端末は
、通常単長端末マスク・キー（６４ビツト）だけを記憶
する。こうした場合、倍長キーは、左半分と右半分が等
しくなるようにキー記憶機構に記憶される。
端末が倍長キーを記憶する場合は、このキーはそのまま
キー記憶機構に記憶される。
２、データ・キー データ・キーは、データを暗号化するのに使用される。
確認キー、ファイル・キー及びセツション・キーがこの
範噛に含まれる。
３゜ ４゜ ５゜ ＰＩＮキー ＰＩＮキーは次の２つのサブタイプに分類される。
ＰＩＮ暗号化キー：ＰＩＮを暗号化するのに使用される
キーである。
ＰＩＮ生成キー：ＰＩＮを生成するためにＰＩＮ生成ア
ルゴリズム中で使用されるキーである。
キ一部分 キ一部分は、キーの一部分または構成要素であり、キー
と同じ長さをもつ。たとえば、キーには、Ｋａ　　ＸＯ
ＲＫｂ＝にとなる２つのキ一部分ＫａとＫｂをもつ。
中間ＩＣＶ 中間ＩＣＶは、データまたはメツセージのセグメントの
中間出力連鎖ベクトルを暗号化するために使用される。
このＯＣ■はデータの次のセグメントに送られて、ＩＣ
Ｖとして使用される。これが行なわれるのは、それに対
してＭＡＣが生成／検査されるメツセージまたはデータ
が長く、より短いセグメントに分割しなければならない
ときである。
６、トークン トークンはデータ・キー・データ・セット（データ・キ
ー用のキー記憶機構）に記憶されたデータ・キーの保全
性を保護するために使用される変数である。これらは、
無許可ユーザによるデータ・キーへのアクセスを禁止す
るのに役立つ。
キーの初期設定 以下に、キー初期設定のための機構に関して考察する。
システムが最初にセット・アップされるとき、マスク・
キーが最初に導入される。次に、定義域間キーや移送キ
ーなどある種のキー暗号化キーが、手動で導入される。
定義域間キーが利用可能になると、システムは、他のシ
ステムとキー及び暗号化されたデータを交換することが
できる。
マスク・キー及び他のキー暗号化キーは適切なアクセス
制御下で手動で導入される。
キーを暗号機構に入力するためのキー人力装置は、（キ
ー人力装置の一部ではない場合）パネル表示装置と同様
に暗号機構に対する安全なインターフェースをもたなけ
ればならない。これについては、「物理機能及びインタ
ーフェース」のところで考察する。
マスク・キーまたは他のいずれかのキー暗号化キーが手
動で導入されるとき、個人がキーについて完全に知るこ
とを妨げることを目指した２重キー人力が極めて望まし
い。２重キー人力手順では、キーが２つの部分に分けて
入力される。各キ一部分は長さがキーと等しく、別々の
人によって入力される。実際のキーは２つのキ一部分の
排他的論理和である。
ＣＡは複数キー人力も支援する（すなわち、キーＫが３
つ以上のキ一部分をもつとき。たとえば、キーが、Ｋ＝
ＫＰＩ　　ＸＯＲＫＰ２．、、ＸＯＲＫｐｎとなるｎ個
のキ一部分ＫＰ１．ＫＰ２゜００．をもつことができる
）。
２重キー人力がシステムに必要なときは、キー・ロード
機能及び暗号機構の他の機能を、２重キー人力を容易に
支援できるように設計すべきである。
たとえば、各キ一部分の入力を個別に可能にする２つの
物理キー・ロック（または２つの位置用の２つの個別キ
ーをもつ１つのキー・ロック）を設けるべきである。物
理キーがないシステムでは、各キ一部分ごとに１つのパ
スワードを入力する方式が利用できる。キーまたはキー
の任意の部分が入力されるとき、それを入力する人だけ
がそれを視覚的に確認すべきである。その人は、その表
示が自分がタイプしたものと一致していると確かめた後
、（たとえば、キー・レジスタをもつキー人力装置とイ
ンターフェースを取るボタンを用いて）キーまたはキ一
部分の暗号機構内のレジスタへのロードを活動化する。
入力すべきすべてのキーまたはキ一部分は、１６ビツト
の奇数パリティを含む倍長でなければならない。パリテ
ィはエラー検査のために含まれている。
マスク・キーの手動入力 ＣＡでは、マスク・キーの手動導入の方法は具体的に規
定されていない。本節に概要を示す方法は、指針として
示したものである。入力されたマスク・キー・ベツドを
新マスク・キー・レジスタに一時的に記憶させ、マスク
・キー設定命令が発行されるまで活動状態にならないよ
うにすることを推奨する。
この方法を用いると、入力されたマスク・キーを検査し
、必要なら再入力することが可能になる。
入力されたマスク・キーは、入力されたキーが正しいと
の判定が下されて、現マスク・キーから新マスク・キー
への他のキーの再暗号化などすべての処理要件が行なわ
れた後まで、活動化する必要はない。
マスク・キーの手動入力の一環として、３２ないし６４
ビツトの秘密でない検査パターン（入力マスク・キーの
関数）を物理インターフェースまたはプログラミング・
インターフェースあるいはその両方で戻すべきである。
別法として、キー導入ユーティリティが命令を呼び出す
のに応答して、検査パターンを生成することもできる。
この検査パターンは、入力されたキーをユーザが検査す
るためにパネルまたは操作卓上に表示するのが安全でな
い環境で有益である。どの検査技術を使用するかは、本
発明の範囲に含まれない。
（マスク・キーまたはキー暗号化キーの）手動キー人力
は、物理的に安全な不ンターフェースを介してＣＦに接
続されたキーバッドで実施できる。
物理キー・スイッチまたはパスワードあるいはその両方
を使って、キーバッドからのキーのロードを可能にした
り不可能にしたりすることができる。
マスク・キーの活動化 入力されたマスク・キーは、マスク・キー設定命令を発
行することによって活動化される。これは、新マスク・
キー・レジスタの内容をマスク・キー・レジスタ（すな
わち、現マスク・キー・レジスタ）に転送させる。
任意選択として、ＣＡは、旧マスク・キー・レジスタを
備えることができる。その場合、マスク・キー設定命令
は、まずマスク・キー・レジスタの内容を旧マスク・キ
ー・レジスタに記憶させ、新マスク・キー・レジスタの
内容をマスク・キー・レジスタに記憶させる。
各マスク・キー・レジスタ（新、現及び任意選択として
旧マスク・キー・レジスタ）は関連するフラグをもつ。
そのフラグは、キーがレジスタに現在記憶されていると
きセット（＝１）され、キーが非活動化されるか、また
は暗号機構が電源遮断状態の後で電源投入されるときは
リセット（二〇）される。
プログラム・インターフェースを介するキーのｌ入 キーはプログラム・インターフェースを介して導入する
こともできる。しかし、この方法では、物理キーまたは
アクセス・パスワードをもつ安全保護担当者による手動
介入が必要になる。この方法では、ユーザは、物理キー
（またはパスワード）を使って暗号機構の動作状態を超
安全モードと呼ばれる状態に変更し、次に、平文キー及
び関連する制御ベクトルを、このモードでのみ動作する
ＥＭＫ命令に送る。ＥＭＫ機能は制御ベクトルと排他的
論理和を取られたマスク・キーのもとて平文キーを暗号
化する。暗号化キーと制御ベクトルはシステム上で使用
するため記憶される。
奇数キー・パリティの設定、検査及び実施のための規則
案 すべての短キーは６４ビツトからなり、規約に従って０
ないし６３の番号を付けられる。ただし、ビット０が最
上位ビットである。パリティ・ビットは、ビット７．１
５．２３．３１．３９．４７．５５及び６３である。た
だし、ビット７はキー・ビットＯないし６のパリティ・
ビット、ビット１５はキー・ビット８ないし１４のパリ
ティ・ビットであり、以下同様である。
奇数キー・パリティの設定 システムに搬入されたすべての非データ・キーは、キー
に対して奇数パリティで調整される必要がある。こうし
たキーには、マスク・キーとすべてのキー暗号化キー、
暗号化されてキー記憶機構に記憶されるＰＩＮ暗号化キ
ー及びＰＩＮ生成キーが含まれる。
すべての生成キーは奇数パリティで調整されている。た
だし、キーが乱数として生成され、他のキーのもとてす
でに暗号化された望ましいキーとして定義されている場
合を除く。
キー・パリティの検査 暗号機構はキーを使用する前に、奇数キー・パリティか
どうかキーを検査する必要がある。キーが奇数パリティ
をもつかどうかを示す条件コードが設定されている必要
がある。ＣＦＡＰは、奇数キー・パリティの欠乏がエラ
ーかどうか、及びキーを使用する要求された機能の出力
が信用できるか否かの判定を下す。
奇数キー・パリティのハードウェアによる実施ハードウ
ェアは、マスク・キーに対する奇数パリティを実施する
必要がある。パリティ・エラーが検出された場合、要求
された暗号命令は打ち切られなければならない。ハード
ウェアは（たとえば、マスク・キーのバックアップ・コ
ピーヲ使って）回復を試み、回復不能なマスク・キー・
パリティ・エラーが発生したことを示す条件コードを３
０９＝ 設定しなければならない。
特定のある種のケースでは、キー暗号化キーまたは他の
非データ・キーのパリティ・エラーによって、要求され
た暗号機構が打ち切られることがある。
キーの生成 キーはランダムに生成される必要がある。すなわち、キ
ーの電子的生成のために、ハードウェアの乱数生成機能
または受入れ可能なアルゴリズムのソフトウェアによる
実施が必要である。キーは、コインを投げるなど手動で
ランダムに生成することもできる。生成キーはパリティ
調整されたものでも、非パリテイのものでもよい。パリ
ティが望ましい場合、キーは奇数パリティをもたなけれ
ばならない。
キーの手動生成 ＣＡでは、マスク・キーとキー暗号化キーを手動で導入
し生成することが推奨される。キーの手動生成のよい方
法は、コインまたはサイコロを投げる方法である。サイ
コロ投げを行なう１つの方３１〇− 法は以下の通りである。
関係するキー運搬者または安全保護担当者が、８つの偏
りのない１６面サイコロを選び、サイコロの各面に１６
進数の０ないし１５の値を割り当てる。たとえば、面１
に０の値を割り当て、面１６にＦの値を割り当て、以下
同様にする。以後のステップは次のように実行する。
１、（固く水平な表面上で）サイコロを投げて、８つの
１６進数でその結果を記録する。
２．１６進僅による結果をそれぞれ８つの２進数ビツト
からなる８バイトに書き直す。
３、各バイトの最初の７ビツトの奇数パリティを計算す
る。８バイトに対して合計８つのパリティ・ビットが形
成される。
４、各バイトの８番目のビット（最後のビット）を前記
のステップで計算した対応する各パリティ・ビットで置
き換える。２進値を８つの１６進数に書き直す。その結
果が、手動で生成された１６進数によるキーである。
キーの電子的生成 キーは、「命令セット」の節で定義したキー生成及びと
キー・セット生成命令によって生成することができる。
キー生成命令によるキー生成 キー生成命令は、システム上で直接使用するためのキー
を生成する。
キー生成命令を使って平文キーが生成できる。
このモードはキー運搬者が関係する場合に使用される。
キー生成命令を使って、特定の制御ベクトルと排他的論
理和を取られたマスク・キーのもとて暗号化されたキー
が生成できる。この制御ベクトルは、ＣＦＡＰによって
この命令に供給され、この命令によって有効な組合せか
どうか検査される。
キー・セット生成命令によるキー生成 キー・セット生成命令は暗号化された形でキーを生成し
て出力する。この命令は常に対を（すなわち、以下のよ
うにしてキーの２つのコピーを）生成する。
−モードＯ：　０Ｐ−ＯＰ　（動作−動作）モードこの
モードは、システム上でローカルで使用するためのデー
タ・キーだけを生成する。データ・キーの２つのコピー
が生成される。キーの各コピーは異なる属性をもつ関連
する制御ベクトルを有する。たとえば、キーの１つのコ
ピーはＭＧ　（ＧＥＮＭＡＣ）属性をもち、もう１つの
コピーはＭＶ　（ＶＭＡＣ）属性をもつ。各コピーは対
応する制御ベクトルと排他的論理和を取られたマスク・
キーのもとて暗号化される。
−モード１　：　０Ｐ−ＥＸ　（動作−搬出）モードこ
のモードは、ローカルで使用され（かつ記憶され）るキ
ーのコピー１つと、別の制御ベクトル・ノードにすぐ搬
出できる形のキーのコピーを１つ生成する。最初のコピ
ーは、本明細書ではローカル（または動作）コピーと呼
ぶが、（関連制御ベクトルと排他的論理和を取られた）
マスク・キーのもとて暗号化され、搬出制御フィールド
での指定により搬出が許されるかどうかに応じて、後で
（ＲＦＭＫによって）他のノードに搬出することができ
る。（生成時に、キーの所有者は、生成キーが搬出でき
るかどうかを知っているものと仮定する。）もう一方の
コピーは、本明細書では搬出コピーと呼ぶが、（そのコ
ピーの制御ベクトルと排他的論理和を取られた）生成ノ
ードのＫＥＫ／送信側のもとて暗号化される。
一モード２　：　ＥＸ−ＥＸ　（搬出−搬出）モードこ
のモードで生成されたキーは、システム上でローカルで
使用できない。このモードは、２つの制御ベクトル・ノ
ードにすぐ搬出できる形のキーのコピーを２つ生成する
。生成されるキーの各コピーは、搬出コピーと呼ぶが、
（対応する制御ベクトルと排他的論理和を取られた）異
なるＫＥＫ／送信側のもとて暗号化される。キーの１つ
のコピーに関連する制御ベクトルは、もう１つのコピー
の制御ベクトルとは異なる使用属性をもつ。
このモードは、キー配布センタとして働くノードによっ
てキーを配布するのに有用である。
−モード３：ＯＰ−ＩＭ（動作−搬入）モードこのモー
ドは、ローカルで使用されるキーのコピー１つと生成ノ
ードにすぐ搬入できる形のキーのコピー１つを生成する
。最初のコピー（動作コピーまたはローカル・コピーと
呼ぶ）は、（関連する制御ベクトルと排他的論理和を取
られた）マスク・キーのもとて暗号化され、搬出制御フ
ィールドでの指定により搬出が許されるかどうかに応じ
て、後で（ＲＦＭＫによって）他のノードに搬出するこ
とができる。もう一方のコピー（搬入コピーと呼ぶ）は
、（そのコピーの制御ベクトルと排他的論理和を取られ
た）ＫＥＫ／受信側のもとて暗号化される。
このモードは、ファイル・アプリケーションに有用であ
る。たとえば、検知データを保存する際、暗号化された
データと（暗号化された）データ・キーがテープに記憶
される。しかし、データ・キーをどのキーのもとて暗号
化してテープに記憶しなければならないか。マスク・キ
ーのもとて暗号化されたデータ・キーを記憶するのは、
マスク・キーは後で変更されることがあるので望ましく
ない。ＫＥＫは寿命がより長いので、（この場合のファ
イル・マスク・キーである）ＫＥＫ／送信側のもとてデ
ータ・キーを暗号化する方がより実用的である。あるア
プリケーションでは、キー・セット生成命令、モードＯ
Ｐ−ＩＭが、１対のデータ・キーを生成する。動作コピ
ーは、ＣＶタイプ：データ／プライバラ及び暗号化使用
属性をもつ。搬入コピーはＣＶタイプ＝デデー／変換及
びｘＤｉｎ＝１属性をもつ。データは次に（暗号化命令
を使って）ローカル・コピーによって暗号化される。次
いで暗号化されたデータと搬入コピーが保存される。
後で、データを検索し新しいキーのもとてデータを再暗
号化するのが望ましいときに、搬入コピーはテープから
引き出されて（ＲＴＭＫ命令を使って）回復される。搬
入コピーはｘＤｉｎ＝１属性をもつので、それを暗号テ
キスト変換命令中で使ってデータを新しいキーによる暗
号化に変換することができる。識別された他のアプリケ
ーションは、動作コピーを必要とするものであり、搬入
コピーは第２０表で指定するような使用属性をもつ。
このモードは、データ・キーを作成することしかできな
いことに留意されたい。
−モード４　：　ＩＭ−ＥＸ　（搬入−搬出）モードこ
のモードは、生成ノードによって後で搬入されるキーの
コピー１つと、他のノードにすぐ搬入できる形のキーの
コピー１つを生成する。
最初のコピー（搬入コピーと呼ぶ）は、（関連する制御
ベクトルと排他的論理和を取られた）ＫＥＫ／受信側の
もとて暗号化される。これは後で、ＲＴＭＫ命令を使っ
て生成ノードにより検索することができる。もう一方の
コピー（搬出コピーと呼ぶ）は、（コピーの制御ベクト
ルと排他的論理和を取られた’）ＫＥＫ／送信側のもと
で暗号化される。
このモードは、たとえばセツション・キーが生成され配
布される、ＩＢＭＳＮＡ複数定義域アプリケーションに
有用である。
生成キーのすべてのコピーについて、ＣＦＡＰは関連す
る制御ベクトルをキー・セット生成命令に供給しなけれ
ばならないことに留意されたい。キー・セット生成命令
は、その命令のモードに応じて、生成キーのコピーの制
御ベクトルを、他の属性の使用と組合せが有効かどうか
検査する。
キーの配布 キーは手動（たとえば、キー運搬者による）でも電子的
に配布できる。キー運搬者による配布は、多数のノード
をもつネットワークでは配布コストが高くなりうるので
望ましくない。多くの場合、キーの電子的配布が好まし
い方法である。
キー配布プロトコル ネットワーク内の暗号ノードは通常、制御ベクトル機能
をもつノードと制御ベクトル機能をもたない他のノード
が混り合っている。第１のタイプのノードは本明細書で
は、制御ベクトル・ノードと呼び、第２のタイプは非制
御ベクトル・ノードと呼ぶ。非制御ベクトル・ノードの
例は、４７００．３８４８／ＣＵＳＰなどの既存のＩＢ
Ｍ暗号プロダクトである。同じタイプまたは異なるタイ
プのノード間のキー配布用のプロトコルには次のものが
ある。
ａ、制御ベクトル・モード（Ｃｖで表す）ｂ、互換性モ
ード（ＣＶ＝Ｏで表す） ｃ、ＡＮＳＩ　　Ｘ９．１７モード（ＡＮＳＩで表す） 各配布プロトコルは、以下のようなものである。
ａ）　制御ベクトル・モードは、（リンク上の）暗号機
構間で通信されるすべてのキーが、キー・タイプと指定
されたキー使用に応じて別々に暗号的に分離される方法
である。リンク上で通信されるすべてのキーは、ｅＫＥ
Ｋ、Ｃ（Ｋ）の形をとる。ただし、Ｋは通信中のキーで
あり、ＫＥＫは、キーＫを暗号化するのに使われるキー
暗号化キーであり、ＣはキーＫに関連する制御ベクトル
である。制御ベクトルＣは送信の際に暗号キーｅＫＥに
、Ｃ（Ｋ）を伴う場合も伴わない場合もある。このモー
ドは、制御ベクトルがリンク上で維持されるのでＣｖで
ある。
ｂ）　互換性モードは、（リンク上の）暗号機構間で通
信されるすべてのキーがｅＫＥＫ　（Ｋ）の形をとる方
法である。互換性モードでは暗号分離は行なわれない。
互換性モードは、このキー配布法を使用する既存のＩＢ
Ｍ暗号システム（ＰＣＦｌＣＵＳ　Ｐ／３８４８．４７
’００　）にキーが配布できるように設けられている。
現在、ＳＮＡ暗号支援は、このモードを使ったキー配布
に限られている。このモードでのキーの配布は、（暗号
化及び非暗号化使用属性をもつ）データ・キーと（ＭＡ
ＣＧＥＨ及びＭＡＣＶＥＲ使用属性をもつ）ＭＡＣキー
に限られている。このモードは、リンク上ですべてゼロ
の制御ベクトルを使うのと等価なので、ＣＶ＝０で表さ
れる。キー配布は、ＣＶ＝Ｏオブシロンで実施されるリ
ンクを使って実行される。キー配布は、ＣＡ暗号命令及
びＣＡ　　ＣＦＡＰマクロによって実施されるＣＶ＝Ｏ
オプションによって実行される。
ｃ）　　ＡＮＳＩ　　Ｘ９．１７モードは、ＡＮＳＩ特
有のＣＡで提供される暗号命令及びＡＮＳ　Ｉ特をのＤ
ＤＡで提供されるＣＦＡＰマクロに適合するキー配布の
方法である。
各キー配布モードは、そのキー配布法を集合的に定義す
る１組の関連する規則及びプロシージャをもつ。当該の
暗号機構間でキーを伝送するために暗号機構間で共用さ
れる各キー暗号化キーは、暗号通信ＣＩ（ＡＮＮＥＬま
たはキー配布チャネルを定義する。こうしたチャネルは
、そのチャネルによって支援される２つの暗号機構間で
使用されるキー配布プロトコルに応じて、Ｃｖチャネル
、Ｃｖ＝０チャネルまたはＡＮＳＩチャネルである。し
たがって、ＣＶチャネルは、そのチャネルを介して通信
されるキーが、制御ベクトル・キー配布モードに適合す
ることを意味する。ＣＶ＝Ｏチャネルは、そのチャネル
を介して通信されるキーが、互換性キー配布モードに適
合することを意味する。
ＡＮＳ　Ｉチャネルは、そのチャネルを介して通信され
るキーが、ＡＮＳＩ　　Ｘ９．１７キー配布モードに適
合することを意味する。同じキー暗号化キーを代わりに
使って２つのチャネルを定義するのも好都合である（た
とえば、ＫＥＫは、アプリケーションによって選択され
るモードに応じて、ＣｖチャネルまたはＣＶ＝Ｏチャネ
ルとして使用でき、最終的に暗号命令レベルでパラメー
タとして下方に反映される）。
キー配布チャネルは好都合な概念である。キー配布方法
は、必ずしも各暗号装置の暗号機構で実施されるキー管
理方法を反映しあるいはそれに依存しないので、とりわ
けそうである。たとえば、キー管理は、制御ベクトル、
バリアント、または他の何かに基づいて行なうことがで
きるが、キー伝送のために選択されるキー配布法は、そ
の時に誰と話しているか、通信相手がどのキー配布法を
支援しまたは必要としているか、標準及び慣行の遵守、
従来のネットワーク協定など操作上の考慮事項に基づく
ものとすることができる。
ＣＡに適合する暗号機構（ＣＡノードと呼ばれる）は、
他のＣＡノードと通信するためにＣＶチャネルを確立す
ることができる。ＣＡノードは、ＩＢＭ　　ＰＣＦｌ　
ＩＢＭ　　ＣＵＳＰ／３８４８またはＩＢＭ４７００シ
ステム・ノードと通信するためにＣＶ＝Ｏチャネルを確
立することができる。
ＣＡノードはまた、ＡＮＳＩキー配布を支援する他のノ
ードと通信するためにＡＮＳＩチャネルを確立すること
もできる。ＣＡは、１対のＫＥＫが共用できるが、互換
性モードで走行する現アプリケーションと、ＣＡノード
で並列に走行する新しく書かれたアプリケーションが、
１対のＫＥＫ対を使って他のＣＡノードと通信できるよ
うに、混合チャネル（ＣＶまたはＣＶ＝０）を可能にす
る。
キー・タイプとチャネル・タイプ ＣＡのもとでは、すべてのＣＶは指定されたタイプとサ
ブタイプをもつ。それらは制御ベクトル中のコード化フ
ィールドである。キーを合法的に伝送するためのキー配
布モードも、そのタイプ／サブタイプによって暗黙に定
義される。（この暗黙の定義は、許されるチャネル・タ
イプを制御ベクトル中の別個のフィールドでコード化す
る代わりに使用されることに留意されたい。こうすると
、制御ベクトル中に冗長フィールドが生じる状況が回避
される。）第３６表は、どのチャネル・タイプ（すなわ
ち、キー配布モード）を使ってどのＣＶタイプ／サブタ
イプと通信できるかの記述である。
（暗号命令を使って宣言されるキー配布モードキーの搬
出及び搬入に関係するすべての命令（すなわち、ＧＫＳ
ｌＲＦＭＫ及びＲＴＭＫ）では、チャネル・タイプ（ま
たはキー配布モード）は、命令の（キー配布モード、省
略してＭＯＤＥと呼ばれる）パラメータを介して宣言し
なければならない。ＡＮＳＩ暗号命令は他のＣＡ命令か
ら分離されているので、モード・パラメータでＣＶとＣ
Ｖ＝Ｏを分離することだけが必要である。すなわち、モ
ード・パラメータは、モード＝Ｃｖまたはモード＝　（
ＣＶ＝Ｏ）の形をとる。
リンク制御フィールド Ｃｖタイプ＝″ｋｅｋ”の場合、リンク制御と呼ばれる
ＣＶフィールドが定義される。リンク制御フィールドは
、ＫＥＫがそのもとで動作するのに許されるチャネルの
タイプを定義する。リンク制御フィールドは以下のよう
に定義される。
リンク制御コード化　　　　解釈 ００　　　　　　　適用されない ｏｉ　　　　　　　　ｃｖのみ ｉｏ　　　　　　　　ｃｖ＝ｏのみ １１　　　　　　　　ＣＶまたはＣＶ＝Ｏ「適用されな
い」フィールドは、リンク制御が意味を持たない（すな
わち、適用されない）ＫＥＫサブタイプの現在及び将来
の定義が可能となるように定義される。たとえば、Ｃｖ
タイプ／サブタイプ＝”ＫＥＫ／ＡＮＳ　Ｉ　”の場合
、リンク制御は意味をもたず、したがって、このフィー
ルドは、常に１００ｇに設定される。リンク制御＝°１
１°は、暗号命令中でどの配布モードが指定されるかに
応じて、ＣｖチャネルまたはＣＶ＝Ｏチャネルを用いて
キーを配布するのにＫＥＫが使用できることを意味する
。
キー　布モードとリンク制御 暗号命令によって指定されるキー配布モードは、常に許
可されたモードでなければならない。すなわち、送信さ
れたキーを暗号化するのに使用されるＫＥＫの制御ベク
トル中のリンク制御フィールドで、指定されたキー配布
モードが許可されなければならない。それらの規則を第
３７表に記述する。
一般検査規則 上述の考察から、１組の規則がもたらされる。
次にそれらの規則について要約し、例を挙げて考察する
。
結果としてキーの搬入または搬出をもたらすあらゆる暗
号命令では、次の３つの重要なパラメータがある。
ａ、暗号命令中で指定される配布モード（Ｍと呼ぶ） ｂ、キーの伝送に使用されるＫＥＫの制御ベクトル中の
リンク制御フィールド（Ｌと呼ぶ）Ｃ０伝送されるキー
の制御ベクトル中のＣｖタイプ／サブタイプ・フィール
ド（Ｔと呼ぶ）その命令が実行できるかどうか判定する
ために、２つの検査が実行される（他の検査も実行され
るが、この考察では無関係である）。その２つの検査は
次の通りである。
ａ、ＴはＭによって許可されなければならない。
ｂ、ＭはＬによって許可されなければならない。
すなわち、Ｃｖタイプ／サブタイプは、Ｍで指定される
キー配布モードを用いて伝送可能でなければならず、Ｍ
で指定されるモードは、Ｌによって支援または許可され
るモードでなければならない。
ＣＶタイプ／ サブタイプ データ／ブライバラ データ／ＭＡＣ データ／変換 データ／互換性 データ／ＡＮＳＩ ＫＥＫ／送信側 チャネル・タイプ ＣＶ　　　ＣＶ＝ＯＡＮＳＩ ｙ　　　　　　　ｎ　　　　　　　　ｎｙ　　　　　　
　ｎ　　　　　　　　ｎｙ　　　　　　　ｎ　　　　　
　　　ｎｙ”　　　ｙ　　　　ｎ ｎ　　　　　　　ｎ　　　　　　　　　ｙｙ　　　　　
　　ｎ ＫＥＫ／受信側 ＫＥＫ／ＡＮＳＩ Ｐ　Ｉ　Ｎ／暗号化 ＰＩＮ／生成 ＩＣＶ／中間 ＭＡＣＩＣＶ ＊　タイプ／サブタイプ＝データ／互換性のキー（すな
わち、互換性モード・データ・キー）は、制御ベクトル
を除去することによって制御ベクトルを使用するＣｖチ
ャネルまたはＣｖ＝０チャネルで通信できることに留意
されたい。
キー配布センタの概念 キー配布センタ（ＫＤＣ）は、キーが生成されてネット
ワークの他のノードに配布されるセンタである。ただし
、ＫＤＣは、自分で使用するためにこれらのキーのロー
カル・コピーを保持することはできない。
−２つの制御ベクトル・ノードに対するキーの配布 ２つのノードＡとＢに対してキーを配布するＫＤＣセン
タをＣとする。さらに、ＣからＡにキーを送るのに使用
される定義域間キーをＫＫＣａとし、ＣからＢにキーを
送るのに使用される定義域間キーをＫＫｃｂとする。キ
ー・セット生成命令、搬出−搬出モードをＫＤＣで使っ
て、キーにの２つのコピーを生成し、それをノードＡと
Ｂに発送することができる。生成されたキーにの２つの
コピーは、ｅ’ＫＫｃａ、Ｃ３（Ｋ）及びｅ’ＫＫｃｂ
、Ｃ４（Ｋ）の形で暗号化され発送される。ただし、Ｃ
３と０４は、それぞれノードＡとＢでのキーにの使用を
指定する２つの制御ベクトルである。制御ベクトルＣ３
と０４は、生成時にユーザの指定に基づいてＣＦＡＰに
よって生成される。Ｃ３と０４の属性は、次の規則に従
わなければならない。
■、配布されるキーＫがデータ・キーである場合、 一両方のＣｖタイプ属性は主タイプ＝「データ・キー」
で、サブタイプが同じでなければならない。
−Ｃ３と０４は同じまたは逆の使用属性をもつことがで
きる。たとえば、ノードＡとＢは共に、暗号化及び非暗
号化（復号化）のためにキーＫを使用でき（Ｃ３と０４
の使用属性が同じ）、あるいはノードＡは、ＭＡＣを生
成するためだけにキーＫを使用でき、ノードＢはＭＡＣ
を検査するためだけにキーＫを使用できる（Ｃ３と０４
の使用属性が異なる）。第１７表に、Ｃ３と０４の使用
属性の許されるすべての組合せを記述する。
２、Ｋがキー暗号化キーの場合、 −Ｃ３のＣＶタイプ属性がｒＫ　Ｅ　Ｋ／送信側」であ
る場合、Ｃ４のＣＶタイフ属性はｒＫＥＫ／受信側」で
なければならず、その逆も成り立つ。すなわち、キーＫ
をノードＡで使ってキーを送る場合、キーにはノードＢ
でキーを受け取るために使用されなければならず、その
逆も成り立つ。
−Ｃ３と０４の両方のリンク制御属性が同じでなければ
ならない。
３、ＫがＰＩＮ暗号化キーである場合、Ｃ３と０４のＣ
Ｖタイプ属性はどちらもｒＰＩＮ暗号化キー」でなけれ
ばならない。
上記の属性以外に、ＣＦＡＰは、受信ノードＡとＢがこ
のキーにの今後の搬出をどのように制御することをＫＤ
Ｃが望むかに応じて、Ｃ３及びＣ４中で搬出制御属性フ
ィールドも設定する。「制御ベクトル」の節に、搬出制
御フィールドの意味を説明する。
受信ノードＡとＢで、ＲＴＭＫ命令を使ってキーＫが検
索できる。たとえば、Ａは、ＲＴＭＫを使って、そのシ
ステム上で使用するためにｅ’ＫＫｃａ、Ｃ３（Ｋ）を
（制御ベクトルと排他的論理和を取られた）マスク・キ
ーのもとての暗号化に変換する。
注：キー・セット生成命令によってＣｖノードからＣｖ
ノードに発送されるキーは、Ｃ■チャネルを使用しなけ
ればならない。すなわち、定義域間キーＫＫｃａ及びＫ
Ｋｃｂに関連する制御ベクトルのリンク制御フィールド
は、「ＣＶのみ」属性または［ＣＶまたはＣＶ＝ＯＪ属
性をもたなければならない。
−３つ以上の制御ベクトル・ノードに対するキーの配布 キー配布センタの主目的は、２つのノードが通信するた
めのキーをセットアツプすることである。キーを３つ以
上のノードに配布する必要が生じることはほとんどない
。しかし、発送されるキーのコピーに関連する制御ベク
トルが同じであるという条件の下では、ＫＤＣがキーを
３つ以上のノードに配布することは可能である。
ＫＤＣとして動作するノードＣからノード１（ｉ＝１，
２１１０．ｎ）にキーを送るために使用される定義域間
キーをＫＫｃｉとする。ＫＤＣは、以下の方法により、
キーＫをｎ個のノード（ｎコ２）に配布することができ
る。
１、キー生成命令を使ってキーＫを生成する。
Ｋは、ＫＤＣのマスタ・キーＫＭのもとて暗号化される
。すなわち、Ｋはｅ”ＫＭ、ｃｌ　（Ｋ）の形をとる、
ただし、Ｃ１はＫの属性を指定する制御ベクトルである
。Ｃ１の搬出制御フィールドは、ＫがＲＦＭＫによって
搬出できるように最後のビット（１）が「１」に等しく
なければならない。
２、ＲＦＭＫ機能をｎ回使って、ｅ’ＫＭ、ｃｌ　（Ｋ
）をｅ”ＫＫｃｉ、Ｃ２（Ｋ）　（ｉ＝　Ｌ　２＋　−
、＋　ｎ）に変換する。ただし、Ｃ２は、受信ノードで
使用するためのキーにの属性を指定する新しい制御ベク
トルである。次いでこの形が、各ノードｉに送られる。
各受信ノードで、ＲＴＭＫ命令を使ってキーＫが検索で
きる。
このアプリケーションでは、生成されたキーにのローカ
ル・コピーが、ＫＤＣで利用できることに留意されたい
。これは、露出が起こらないないある種のアプリケーシ
ョン以外では認められるべきではない。すなわち、この
アプリケーションは非常に限られている。
将来は、ＫＤＣが生成キーのローカル・コピーをもつ必
要のない代替方法が、次のようにして実施できる。
１、ＫＤＣが、キー・セット生成命令を搬出−搬出モー
ドで使って、キーを１つまたは２つのノードに発送する
。
２、ＫＤＣが、（ＣＣＡがこれを許可すると仮定して）
　ＸＬＴＫＥＹｉｎ及びＸＬＴＫＥＹｏｕｔ属性をもつ
ＫＥＫのもとてキーの１つのコピーを再搬入し、次いで
そのコピーを、残りのノードに発送するのに適した形に
変換する。
−非Ｃ■ノードに対するキーの配布 ＫＤＣは、データ・キーだけを２つまたはそれ以上の非
Ｃｖノードに配布することができる。
非Ｃ■ノードへの他のタイプのキーの配布は許されない
。まずキー生成命令によってデータ・キーが生成され、
次いでＲＦＭＫ命令により互換性チャネルを介して非Ｃ
Ｖノードに配布される。すなわち、キーを発送するのに
使われるＫＥＫに関連する制御ベクトルは、リンク制御
フィールドの属性がｒｃＶ＝ＯＪでなければならない。
生成されたデータ・キーに関連する制御ベクトルの搬出
制御フィールドは、もちろんキーを配布するために（Ｒ
ＦＭＫ命令を使って）データ・キーを搬出できなければ
ならない。
上記のケースと同様に、生成されたキーにのローカル・
コピーはＫＤＣで利用できることに留意されたい。これ
は、露出が起こらない限られたアプリケーション以外で
は認められるべきでない。すなわち、このアプリケーシ
ョンは非常に限られている。前記のケースで提案したキ
ー・セット生成命令とキー変換命令の組合せを使用する
代替方法がこの場合にも適用できる。
−制御ベクトル・ノード及び非制御ベクトル・ノードへ
のキーの配布 ＫＤＣは、データ・キーのコピーをＣｖノードと非Ｃ■
ノードの両方に配布することができるたけである。これ
は、非Ｃｖノードにはデータ・キーしか配布できないか
らである。配布は、キー生成命令とＲＦＭＫの組合せま
たはキー・セット生成命令とＲＦＭＫの組合せを使って
行なうことができる。すなわち、まずキー生成命令また
はキー・セット生成命令を用いてデータ・キーが生成さ
れる。次にＲＦＭＫ命令またはキー・セット生成命令（
モード０Ｐ−ＥＸ）自体によって１つのコピーがＣｖノ
ードに送られる（ＣＶチャネルを必ず使用しなければな
らない）。もう１つのコピーは、ＲＦＭＫ命令によりＣ
Ｖ＝Ｏチャネルで非Ｃｖノードに送られる。
この場合も、生成されたキーのローカル・コピーは、Ｋ
ＤＣが利用できる。この問題を回避するために、キー・
セット生成／キー変換命令による代替方法を実施するこ
ともできる。
キーの変換 キーは、キー変換機能を使っであるキー暗号化キーによ
る暗号化から別のキー暗号化キーによる暗号化に変換す
ることができる。この機能は、キー変換センタ（ＫＴＣ
）環境、すなわち、１つまたは複数のノードが他のノー
ド用のキーを変換するメートとして働く環境で有用であ
る。たとえば、第３５図に示す３つの暗号ノードＡ１Ｂ
１Ｃを考える。暗号ノードとしての通常の機能の他に、
ＣはＡ及びＢのＫＴＣとしても働く。Ａは、定義域間キ
ーＫＥＫａｃとＫＥＫｃａを用いてＣと通信することが
できる。同様に、Ｂは、ＫＥＫｂｃとＫＥＫｃｂを用い
てＣと通信することができる。
Ａは、データ・キーＫＤのもとて暗号化されたＢデータ
を送り、かつＡとＢは最初通信するための共通の定義域
間キーをもたないものと仮定する。
データを非暗号化（復号化）するには、ＢはＫＤを知る
必要がある。ＡとＢは共通の定義域間キーをもたないの
で、Ａは、Ｂで回復できる暗号化されたキーを送ること
ができない。Ｃは、ＫＴＣとして動作することによりＢ
がＫＤを受け取るのを助ける。まず、ＡはＮ　Ｋ　Ｅ　
Ｋ　ａ　ｃのもとて暗号化されたＫＤ（すなわち、ｅ”
ＫＥＫａｃ、ｃｌ　（ＫＤ）　）のコピーをＣに送る。
Ｃはキー変換機能を呼び出して、ｅ”ＫＥＫａｃ、ｃｌ
　（ＫＤ）をｅ”ＫＥＫｃｂ、ｃｌ　（ＫＤ）に変換し
、次いでｅｆ″ＫＥＫｃｂ　、　ＣＩ　（ＫＤ）をＢに
送る。ノードＢでは、ＴＲＭＫ機能を用いてＫＤが回復
され、受信したＫＤと共に非暗号命令を用いて暗号化デ
ータが非暗号化（復号化）できる。
キー変換命令は、ＫＴＣがＫＤのコピーを保持できない
ように設計されていることに留意されたい。さらに、安
全保護上の理由から、ＣＡは、変換されるキーが出たり
（入力チャネル）入ったり（出力チャネル）するチャネ
ルの混合及び一致を許さない。すなわち、変換されるキ
ーがＣＶチャネルに入る場合、変換されたキーはＣｖチ
ャネルで出なければならない。入力チャネルがＣＶ＝Ｏ
チャネルである場合、出力チャネルはＣＶ＝Ｏチャネル
である。すなわち、入力チャネル及び出力チャネル（上
記の例のＫＥＫａｃとＫＥＫｃｂ）に関連するＫＥＫの
制御ベクトルは、キー変換命令に記載されている有効な
組合せの１つに一致するリンク制御属性をもたなければ
ならない。
キーの搬出 キーの搬出とは、他のノードに送るのに適した形でキー
を暗号化することである。すなわち、そのキーは、通信
ノード間で共用されるキー暗号化キーのもとて暗号化さ
れる。
制御ベクトル・システムは、他方のシステムが制御ベク
トル構造をもっていてもいなくても、他のシステムとキ
ーを交換することができる。ＣＡによって定義されるキ
ーの搬出に関する規則は以下の通りである。
Ｃｖシステムに対するキーの搬出 制御ベクトル・システムは、データ・キー、キー暗号化
キー、ＰＩＮキー、中間Ｃ■、キ一部分及びトークンを
他のノードに搬出することができる。
以下に説明するように、キーは、ＲＦＭＫ命令またはＧ
ＫＳ命令を使ってＣ■ノードに搬出される。
ＲＦＭＫ命令によるキーの搬出 システム上でローカルで使用されるキーは、それらのキ
ーの制御ベクトルの搬出制御フィールドがそれを許す場
合、ＲＦＭＫ機能を用いて他のＣＶノードに搬出するこ
とができる。通常、これらのキーは、キー生成命令また
はＧＫＳ命令によって生成され、あるいは他のノードか
ら受信される。
システム上でローカルで使用される、ｅ”ＫＭ、ｃ　（
Ｋ）の形で暗号化されたキーをＫとする。ただし、Ｃは
、ＣＦＡＰによって作成され供給される、Ａの使用を指
定する制御ベクトルである。Ｋがシステム上で生成され
たか、他のノードから受信されたか、あるいは（たとえ
ば、ＬＣＶＡ命令を使った）既存のキーに対するローカ
ル変換によって形成されたか、Ｋの搬出に関する判定は
、制御ベクトルＣの搬出制御で示されなければならない
。Ｃの搬出制御フィールドが、Ｋを他のＣｖノードに発
送することを許す場合、ＲＦＭＫを使ってＫを搬出する
ことができる。Ａからそのノードにキーを発送するのに
使用される定義域間キーをＫＫとする。
発送されるキーにの形は、それが発送されるチャネル・
タイプに依存する。チャネル・タイプは、それが呼び出
されるときＲＦＭＫ命令の配布モードで指定される。Ｒ
ＦＭＫ命令を実行するには、ＲＦＭＫ命令の配布モード
・パラメータと（ＫＫに関連する）制御ベクトルＣｋｋ
のリンク制御フィールドが、第３７表で指定された有効
な組合せの１つでなければならない。
一配布モードがＣ■チャネルを指定し、Ｃｋｋのリンク
制御フィールドがｒｃＶＪまたは［ＣＶまたはＣＶ＝Ｏ
Ｊである場合、その組合せは有効である。Ｋは、ｅ”Ｋ
に、Ｃ１（Ｋ）の形で搬出される。
ただし、Ｃ１はＣに基づいてＣＦＡＰによって作成され
ＲＦＭＫ命令に供給される制御ベクトルである。
一配布モードがＣＶ＝Ｏチャネルを指定し、ｃｋｋのリ
ンク制御フィールドがｒｃＶ＝ＯＪまたは「ＣＶまたは
ＣＶ＝ＯＪである場合、その組合せは有効である。Ｋは
、ｅ”ＫＫ（Ｋ）の形で搬出される。この場合、制御ベ
クトルは除去される。
ＣＶタイプがデータ／互換性のキーだけがＣｖ＝０チャ
ネルで発送できることに留意されたい。
他のキーは安全保護上の理由から禁止される（「攻撃」
の節を参照のこと）。制御ベクトル構造をもたない既存
のアプリケーション（たとえば、ＩＢＭ　　ＣＵＳＰ／
３８４Ｂで走行するアプリケーション）は、ＯＣＡノー
ドに対して保護されているとき、ＣＶ＝Ｏチャネルを使
用してキーを搬出する。
ＧＫＳ命令によるキーの搬出 キーは、０Ｐ−ＥＸモード、ＯＰ−ＩＭモード及びＩＭ
−ＥＸモードでＧＫＳ命令により生成時に他のＣ■ノー
ドに搬出することができる。この命令のモードは、「キ
ーの電子的生成」で説明されている。これらのモードで
は、搬出コピーだけが他のノードに発送される。搬入コ
ピーは他のノードに発送されず、後で生成ノード自体が
受け取る。
動作コピーは生成ノードでのローカル使用のためのもの
である。
ＲＦＭＫ命令とは異なり、ＧＫＳ命令は、ＣＶチャネル
だけで搬出コピーを他のＣｖノードに搬出する。すなわ
ち、搬出コピーを暗号化するのに使用したキー暗号化キ
ーに関連する制御ベクトルのリンク制御フィールドはｒ
ｃＶＪまたは「ＣｖまたはＣＶ＝ＯＪ属性をもたなけれ
ばならない。
上記と同じ表記法を用いると、搬出コピーは、ｅ”ＫＫ
、ｃｌ　（Ｋ）の形で搬出される。
キー・セット生成組合せ機能は、ＣＶシステムにキーを
搬出する安全な方法をもたらす。これは、キーを非ＣＶ
システムに送るために直接使用できない。
注： １、ＲＦＭＫまたはＧＫＳがＣｖチャネルでキーを搬出
するとき、キーに関連する制御ベクトルがリンク上で送
られない場合がある。受信ノードは、正しいキーを回復
するために、制御ベクトルを正しく再構成することがで
きなければならない。「リンク上の制御ベクトル」に、
送信ノードで制御ベクトルをセットアツプし、それがリ
ンク上で送られないときに受信ノードでそれを再構成す
る手順が説明しである。
２、キーを送るとき、送信ノードは、受信ノードがキー
をさらに他のノードに送ることを許可または禁止すると
いうオプションをもつ。
−受信ノードがキーをさらに他のノードに送ることを送
信ノードが望まない場合、ＣＦＡＰは、搬出されるキー
に関連する制御ベクトルの搬出制御フィールドをＢ′１
０“に設定する。
一受信ノードがこのキーをさらに搬出することに対する
制御を行なうことを送信ノードが許す場合、ＣＦＡＰは
、搬出制御フィールドのビット０を０に設定し、残りの
ビットは「どうでもよい」。受信ノードはキーを受け取
ったとき、搬出制御フィールドの２つのビットを任意の
所望の値に設定することができる。
３、ＣＡはＬＣＶＡ命令を用いた搬出制御の権限低下を
可能にする。たとえば、ノードＡがキーＫを他のノード
に搬出した後で、そのキーを再び搬出しないように決定
することができる。
ノードＡは、キーにとその制御ベクトルにＬＯＶＡ命令
を適用することによってこのキーの搬出を禁止し、搬出
制御権限をＢ“００′またはＢ’１０’（搬出なし）に
低下させることができる。
Ｃｖシステムに対するキーの搬出 ＲＦＭＫ命令だけが、関連する制御ベクトルの搬出制御
フィールドがそれを許可することを条件として、キーを
非Ｃｖシステムに直接搬出するのに使用できる。また安
全保護上の理由から、Ｃｖタイプがデータ／互換性のキ
ーしか非Ｃｖノードに搬出できない。ＲＦＭＫ命令がキ
ーを非Ｃｖノードに搬出するとき、Ｃｖ＝０チャネルだ
けがキーを発送するのに使用できる。すなわち、ＲＦＭ
Ｋ命令の配布モード・パラメータはＣＶ＝Ｏチャネルを
指定しなければならず、キーを発送するのに使用される
キー暗号化キーに関連する制御ベクトルのリンク制御フ
ィールドはｒｃＶ＝ＯＪまたは［ＣＶまたはＣＶ＝ＯＪ
属性をもたなければならない。上記と同じ注記法を用い
ると、キーはｅ”ＫＫ　（Ｋ）の形で非ＣＶノードに発
送される。
キーの搬入 キーの搬入とは、キー暗号化キーによる暗号化から受信
ノードのマスク・キーによる暗号化にキーを再暗号化す
ることである。搬入不能（すなわち、キー暗号化キーの
もとて暗号化された）な形のキーは、他のノードから送
られ、あるいはＧＫＳ命令によって（ＯＰ−ＩＭモード
またはＩＭ−ＥＸモードで）生成される。ＲＴＭＫ命令
は、キーを搬入するのに使用できる唯一の命令である。
ＣＶシステムからのキーの搬入 Ｃｖシステムは、ＣＶノードから送られた任意のＣＡ平
キータイプのキーを受け取ることができる。別のＣｖノ
ードから送られたキーは、ＣｖチャネルまたはＣＶ＝Ｏ
チャネルで到着でき、対応するチャネルが受け取られな
ければならない。チャネル・タイプは、ＲＴＭＫ命令が
呼び出されるとき、その配布モード・パラメータで指定
される。
−配布モードがＣＶチャネルを指定する場合、キーはＣ
Ｖチャネルで送受信される。キーはｅ’にに。
Ｃ３（Ｋ）の形で送信ノードから到着する。ただし、Ｋ
Ｋは通信ノード間で共用される定義域間キーであり、Ｃ
３は送信中のキーＫに関連する制御ベクトルである。制
御ベクトルＣ３は、キーと一緒に送られる場合も送られ
ない場合もある。
−Ｃ３がキーと共に送られるとき、（受信ノードの）Ｃ
ＦＡＰは、送られた制御ベクトルＣ３に基づいて、Ｃ２
と呼ばれる新しい制御ベクトルを作成する。ＣＦＡＰは
Ｃ２、Ｃ３及び他のパラメータをＲＴＭＫ命令に供給す
る。ＲＴＭＫはＣ３を使ってキーＫを回復し、次いでＣ
２の妥当性検査を行なって、それを使って回復されたキ
ーＫをマスク・キーによる暗号化に再暗号化する。検索
されたキーは、このときすぐにローカル使用できる形ｅ
”ＫＭ、Ｃ２（Ｋ）の形にある。
−制御ベクトルＣ３が送られないときは、（受信ノード
の）ＣＦＡＰはまずＣ３を再構成し、Ｃ３に基づいて新
しい制御ベクトルＣ２を作成し、それら及び他のパラメ
ータをＲＴＭＫ命令に供給する。上記と同様に、キーは
ｅ”ＫＭ、Ｃ２３（Ｋ）として検索される。
ＣＦＡＰは、Ｃ３の搬出制御に応じて、異なるＣ２の搬
出制御フィールドを０３のそれとは異なるように設定す
る。
−Ｃ３の搬出制御がＢ”ｌＹ“であり、Ｙが０または１
である場合、ＣＦＡＰは、Ｃ２の搬出制御を０３のそれ
に等しく設定しなければならない。Ｙが０の場合、送信
ノードは、受信ノードがキーをさらに搬出することを許
可しない。Ｙが１の場合、キーはさらに他のノードに搬
出できる。
−Ｃ３の搬出制御がＢ’ＯＹ“であり、Ｙが０または１
である場合、ＣＦＡＰは、Ｃ２の搬出制御を任意の所望
の値に設定できる。すなわち、この場合にはＣ２と０３
の搬出制御は異なってもよい。Ｃ３の搬出制御フィール
ドの第２ビツトは受信されたキーの搬出を制御しないこ
とに留意されたい。たとえば、Ｃ３の搬出制御がＢ“Ｏ
Ｙ’＝Ｂ“００゛（すなわち、Ｙ二〇）の場合、受信ノ
ードは、Ｃ２の搬出制御をＢ±０１°またはＢ’１１’
に設定することにより、受信されたキーの搬出を許可す
ることができる。
ＲＴＭＫ命令を実行するには、ＫＫに関連する制御ベク
トルのリンク制御フィールドが「ＣＶ」または「Ｃｖま
たはＣＶ＝ＯＪ属性をもたなければならないことに留意
されたい。
−配布モードがＣＶ＝Ｏチャネルを指定する場合、キー
はＣＶ＝Ｏチャネルで送受信される。キーはｅ”ＫＫ　
（Ｋ）の形で送信モードから到着する。受信ノードでは
、キーは、ｅ”ＫＭ、Ｃ２（Ｋ）の形で検索される。た
だし、Ｃ２は、ＣＦＡＰによって作成されＲＴＭＫに供
給されたＫに関連する制御ベクトルである。Ｃ２の搬出
制御フィールドはＣＦＡＰによって任意の所望の値に設
定できる。
データ／互換性キー・タイプだけがＣＶ＝Ｏチャネルで
送受信されることに留意されたい。
したがって、Ｃ２はＣＶタイプがデータ／互換性であり
、その使用属性は暗号化、非暗号化（復号化）、ＭＡＣ
生成及びＭＡＣ検査命令の組合せに限られている。また
、ＴＲＭＫ命令を実行するには、ＫＫに関連する制御ベ
クトルのリンク制御フィールドがｒｃＶ＝ＯＪまたは「
ＣｖまたはＣＶ＝ＯＪ属性を持っていなければならない
。
非Ｃｖシステムからのキーの受信 Ｃｖシステムは非Ｃｖシステムからデータ／互換性キー
・タイプだけを受信することができる。
送られたキーは、Ｃｖ＝０チャネルでのみ送信ノードか
ら到着する（すなわち、ｅ”ＫＫ（Ｋ）の形で到着する
）。このキーが受信される方式は、上記のように、キー
がＣＶ＝ＯチャネルでＣＶノードから送られる場合と同
じである。
暗号アーキテクチャには、暗号機構間で暗号キーを電子
的に伝送するための通信プロトコルが含まれる。このＣ
Ａ通信プロトコルには、リンク上の制御ベクトル定義と
、暗号キーの電子伝送にこの制御ベクトルの定義を使用
するための許容されるプロトコルの指定が含まれる。
基本的に、ＣＡ通信プロトコルは、キー・タイプまたは
所期のキー用途に応じて電子的に伝送されるキーを暗号
分離する手段をもたらす。この通信プロトコルは、伝送
中にあるタイプのキーの代わりに異なるタイプのキーを
使用した場合、置換されたキーが受信側で正しく回復さ
れなくなるようになっている。その場合、送信側と受信
側の暗号機構は、一致するキーをもたないので、こうし
たキ一対での通信は不可能である。不正使用者は、せい
ぜい暗号システムを破壊することはできるが、不正使用
者が受信側暗号機構に送信側暗号機構が意図しない形で
キーを使用させようと試みる類いの暗号攻撃は防止され
る。
通信ＣＦに対するキー管理要件 ＣＡ通信プロトコルは、通信する暗号機構対ｉとｊに対
して以下のキー管理要件をもつ。
１、ｉとｊは、ＫＥＫｉｊとＫＥＫｊ　ｉのキー暗号対
を共用しなければならない。ただし、ＫＥＫｉｊはｉか
らｊにキーを送るのに使用され、ＫＥＫｊｉはｊからｉ
にキーを送るのに使用され、ＫＥＫｉｊとＫＥＫｊ　ｉ
は共に倍長キー（１２８ビツト）である。任意選択とし
て、ｉとｊは、ｉからｊにキーを送るためのＫＥＫｉｊ
またはｊからｉにキーを送るためのＫＥＫｊ　ｉだけを
共用することもできる。また任意選択として、ｉとｊは
、キー電子的に配布するために追加のキー暗号化キーま
たはキ一対を共用することができる。これらのキー暗号
化キーは一般に定義域間キーと呼ばれる。
２．１及びｊで、キーＫＥＫｉｊとＫＥＫｊ　ｉは、（
キー・セット生成、ＲＦＭＫ及びＲＴＭＫ命令を用いて
）キーを電子的に搬出及び搬入するためにキーを使用す
る際に、このアーキテクチャでの定義に従って、必ず制
御ベクトルの使用が必要となるように「マーク」しなけ
ればならない。追加の任意選択の共用されるキー暗号化
キーまたはキ一対もこの規則に適合しなければならない
。
ｉとｊは、キーを電子的に配布するために１つまたは複
数のキー暗号化キー（またはキ一対）を共用することも
できる。ただし、共用されるキーは制御ベクトルを必要
としない方法を使用する。
そうする必要があるのは、ｉまたはｊあるいはその両方
で既存のハードウェアまたはソフトウェア機能との互換
性を維持するためである。しかし、そのキーは、（キー
・セット生成、ＲＦＭＫ及びＲＴＭＫ命令を用いて）キ
ーを電子的に搬出及び搬入するためにキーを使用する際
に特に、このアーキテクチャでの定義に従って、制御ベ
クトルの除外が必要となるようにマークしなければなら
ない。
制御ベクトルが暗号機構の内部で使用される場合、共通
の１組の暗号機構での定義に従って、（「５１項で必要
とされる）ＫＥＫを「マーク」する方法はすでに指定さ
れている。そうでない場合、「マーキング」を他の手段
で行なわなければならない。
御ベクトルを　いたキーの電子的伝送用の形ム 暗号機構、キー生成機能、キー配布機能またはキー変換
機能から受信側暗号機構に送られるすべての電子伝送キ
ーは、以下に記載する形式を使って暗号化しなければな
らない。
”ＫＥＫ　＝送信側から受信側機能にキーを伝送するた
めに送信側及び受信側機能が共用する１２８ビツト・キ
ー Ｃ＝６４ビット制御ベクトル Ｋ　　＝送信される６４ビツト・キー Ｋｌ、に２＝送信される１２８ビツト・キーと置くと、
単長及び倍長キーに対して以下の形式が指定される。
Ｋ　　　　　　　　　ｅ”ＫＥＫ、ｃ（Ｋ）ＫＣＡ通信
フロトコルハ、３８４８／ＣＵＳＰ。
ＰＣＦ、４７００など既存のＩＢＭ暗号プロダクトとの
互換性を維持する目的で６４ゼロ・ビットの省略時制御
ベクトルも定義する。この通信モードでは、ゼロの制御
ベクトルを用いて（すなわち、制御ベクトルを使用せず
に有効に）キーが送受信できる。この場合、キーには、
ｅＫＥＫ、Ｃ（Ｋ）の代わりにｅＫＥＫ　（Ｋ）の形で
送られる。
メツセージの形式 ＣＡ通信プロトコルは、暗号化されたキーを２つの形式
を用いて送信することができる。送られる情報は、メツ
セージ内に含まれるものと仮定する。通信プロトコルは
、現在メツセージ形式の指定を含んでいない。本明細書
で期待または定義すべき範囲に含まれない設計要件に応
じて、受入れ可能なまたは望ましいメツセージ形式が多
数あり得る。通信プロトコルは、どの形式が選択される
かに応じて、こうしたメツセージ中で送られなければな
らない情報を定義するだけである。
第１の形式 ％式％（） ｂ、１２８ビットＫｌ、に２： Ｃ、ｅ’ＫＥＫ、ｃ（Ｋｌ）、ｅ’ＫＥＫ、Ｃ（Ｋ２）
第２の形式 ％式％（） ｂ、１２８ビットＫｌ、に２： ｅ”ＫＥＫ、ｃ（Ｋｌ）、ｅ”ＫＥＫ、ｃ（Ｋ２）ＣＶ
＝Ｏという縮退したケースも上記の２つの形式でカバー
されることに留意されたい。
第１の形式−ＣＶ低伝 送１の形式は、制御ベクトルが暗号化されたキーで伝送
される場合をカバーする。受信側暗号アプリケーション
または暗号支援プログラムは、受信されるキーの目的は
何かを必ず知っていなければならないので、制御ベクト
ルは、送信端末から受信端末に搬送されるすべての必要
なキー使用情報のための便利で簡略な方法であることが
わかる。
さらに、受信された制御ベクトルは、受信側アプリケー
ション・プログラムから暗号支援プログラム（たとえば
、ＩＢＭ　　ＣＵＳＰ）に渡され、そこからＲＴＭＫ機
能がどのように実施されるかに応じて、ＲＴＭＫ機能の
パラメータとして暗号支援プログラムから暗号機構（す
なわち、ハードウェア）に直接波される。したがって、
ソフトウェア（すなわち、ＣＦＡＰ）による制御ベクト
ルの管理はそれほど複雑でなくなる。
第２の形式−非伝送Ｃｖ 第２の形式では２つのケースが可能である。第１のケー
スは、送信端末と受信端末が制御ベクトルの再構成のた
めの協定を以前に結んでいないケースをカバーする。こ
の場合、受信端末は、制御ベクトルを再構成するための
所定の１組のステップに従う。それらのステップでは、
いくつかの省略時制御ベクトル値の使用が必要である。
第２のケースは、送信端末と受信端末が制御ベクトルを
再構成するための協定を以前に結んでいる場合である。
このケースでは、受信端末は、以前に確立された１組の
私的規則に応じて、制御ベクトルを再構成する。
第２の形式の第１のケースと第２のケースの基本的な相
違点は、第１のケースでは、受信端末がベンダーから供
給されたいくつかの省略時仮定を用いて制御ベクトルを
再構成するが、第２のケースでは、受信端末が協定した
１組の私的規則に応じて制御ベクトルを再構成すること
である。
制御ベクトルの指定 リンク上で使用するための制御ベクトルの指定は、「キ
ー管理」の節に示した内部制御ベクトルの指定と同じで
ある。すなわち、ＣＦＡＰマクロ定義とＣＦ命令によっ
て指定される、制御ベクトルの作成及び修正を支配する
規則も、リンク上で適用される規則と同じである。これ
らの規則は、キーの円滑な回復を容易にするために採用
されたものである。非暗号化（復号化）によるキー回復
では、制御ベクトルのすべてのビットが、キーの暗号化
のために最初に指定されたものと全く同じに指定されな
ければならないことを想起されたい。
基本的に、その規則は次のようなものである。
−一般に、ＣＦＡＰはすべての制御ベクトルを作成し、
場合によっては、制御ベクトルのいくつかのビットを検
査／実施する責任を負う。一般に、暗号機構は制御ベク
トルの検査／実施ピットに対する責任を負う。
一制御ベクトルが作成されるとき、制御ベクトルのすべ
てのビットを指定しなければならない。
制御ベクトル・ビットは次のようにして確立される。
ａ、すべての予約ビットがゼロに設定される。
（これは最初にＣＶ＝Ｏと設定することにより容易に実
施できる。） ５０反バリアント・ビットまたは固定ビットが設定され
る。
ｃ、８パリテイ・ビット（すなわち、アーキテクチャの
もとで定義されるビット）を除く残りのビットは、呼び
出されたＣＦＡＰマクロのアプリケーションによって指
定されたパラメータ値から、またはマクロで指定される
省略時の値に応じて設定される。
−キーがｅＫＥＫ、Ｃ（Ｋ）の形で送信側から受信側に
伝送される場合、（ただし、Ｃは０の縮退制御ベクトル
ではなく、Ｃはリンク上で送られない）以下の制御ベク
トルの省略時の値が受信側で定義される。
１、省略時Ｃｖバージョン＝０ ２、省略時キー・タイプ＝「データ・キー」３、省略時
搬出制御＝「００００」、すなわち制限なし。
４、キー・タイプ＝「データ・キー」の場合、省略時の
使用ピッ）＝ｒ１１００Ｊ、すなわちＥとＤｏ ５、キー・タイプ＝　ｒＫＥＫ／送信側」の場合、省略
時の目的システム＝「００」、すなわち、「Ｃｖまたは
Ｃｖ＝０」、省略時の使用ビット＝ｒｌｌｌｌＪ、すな
わち制限なし。
６、キー・タイプ＝　ｒＫＥＫ／受信側」の場合、省略
時の目的システム＝「００」、すなわち、「ＣＶまたは
Ｃｖ＝０」、省略時の使用ビット＝「１１」、すなわち
制限なし。
７、キー・タイプ＝ｒＰＩＮ暗号化キー」の場合、省略
時の使用ビット＝ｒＯ１０１０１」、すなわちＰＩＮブ
ロックｋｅｙ　ｉｎ及びｋｅｙ　ｏｕｔ再書式化及びＰ
ＩＮ検査。
８、キー・タイプ＝ｒＰＩＮ生成キー」の場合、省略時
の使用ビット＝「０１」、すなわち、ＰＩＮ検査。これ
らは、キー・セット生成、ＲＦＭＫ１キー変換、キー生
成、ＥＭＫｌ及びＲＴＭＫ命令で使用される省略時の値
である。
ＣＡ　　ＣＶの省略時の値 送信側がＣｖシステム 送信ａ動（ＣＶシステム ＣｖタイプがＤＡＴＡ ＣＶ９イブがＰＩＮＥ ＣｖタイプがＰＩＮＧ ＣｖタイプがＫＥＫＳ ＣＶ９イブがＫＥＫＳ ＣＶり（ブがＫＥＫＲ ＣＶ’１４ブがＫＥＫＲ ＣＶ９イブがＫＥＹＰ ＣＶ９イブがＩＩＣＶ 予約ビット　　　　　　全ての２進佃を使用Ｃｖタイプ
　　　　　　　　　　　　　　ＤＡＴＡタイプを使用属
性　　　　　　　ＥＤ 属性　　　　　　　ＲＰＢ−Ｉ　ＲＰＢ−ＯＶＰ属性　
　　　　　　ｖＰ 属性　　　　　　　ＧＫＳ−ＬＲＧＫＳ−ＲＲＲＦＭＫ
　ＸＬＴ−０ 目的システム　　　　　　ＣｖまたはＣＶ＝Ｏ属性　　
　　　　　ＲＴＭＫ　ＸＬＴ−Ｉ目的システム　　　　
　　ＣｖまたはＣＶ＝Ｏ属性　　　　　　　（省略時の
値なし）（属性が存在しない） キーの記憶 暗号機構の外部のすべてのキーは、制御ベクトルとマス
ク・キーの論理和を取ることによって形成されたキーの
もとてそれらを暗号化することにより、暗号化された形
で維持される。
暗号機構の外部に記憶された暗号化キーは、任意選択と
して記憶されたキーを暗号化するのに使用される制御ベ
クトルと一緒に記憶される。しかし、キーと共に記憶さ
れた他の情報に基づいて、あるいは暗号化されたキーが
使用される状況から制御ベクトルが動的に再構成できる
限り、平文制御ベクトルを記憶する必要はない。
生成されたキー及び搬入されたキーはすべて、暗号機構
の外部で暗号化され大容量キー記憶機構に記憶される。
キー記憶機構は、さらに別々の２つの記憶域に区分され
る。ＫＫＤＳ　（ＫＥＫデータ・セット）とＤＫＤＳ　
（データ・キー・データ・セット）である。これらの２
つの記憶域が区別されるのは、データ・キー及びキー暗
号化キー（及びＰＩＮ関連キー）を管理するためにＣＡ
中で異なる機構が使用されるためである。
暗号化されたキー暗号化キー、ＰＩＮ暗号化キー及びＰ
ＩＮ生成キーは、ＫＫＤＳに記憶し、秘密でないキー・
ラベルを使ってアドレスすることができる。
暗号化されたデータ・キーはＤＫＤＳに記憶することが
でき、平文データ・キーは暗号機構に記憶することがで
きる。ただし、これらのキーにアクセスするアプリケー
ションが、約５６個の秘密の独立ビットをもつ秘密のト
ークン値を使って、それにアクセスすることが条件であ
る。暗号化されたデータ・キーにアクセスするために使
用される秘密のトークンの１方向機能に等しいマスクと
各暗号化キーの排他的論理和を取ることにより、ＤＫＤ
Ｓに記憶された暗号化されたキーに追加の安全保護を与
えることができる。
第３８表は、複数のＫＥＫ項目をもつＫＫＤＳを示す。
すべてのキー暗号化キー（ＫＥＫｉで表す）は２つの６
４ビツト・キ一部分から構成され、２つの６４ビツト・
キ一部分の形で暗号化され記憶される。最初の部分は、
ＫＭ　　ＸＯＲＣＬによって形成されたキーによるキー
の左半分の暗号化（ＫＥＫｉ　Ｌ）である。ただし、Ｃ
ＬはＫＥＫ　ｉＬに関連する制御ベクトルである。同様
に、第２の部分は、ＫＭ　　ＸＯＲＣＲによって形成さ
れたキーによるキーの右半分の暗号化（ＫＥＫｉＲ）で
ある。ただし、ＣＲはＫＥＫｉＲに関連する制御ベクト
ルである。制御ベクトルＣＬとＣＲは、キーの半分が左
半分かそれとも右半分かを示すＫＥＹ　　ＦＯＲＭＯＲ
−ルドの値以外は同じである。
キーＫＥＫ　ｉが短い（すなわち、単長）場合、それは
依然として２つの６４ビット半分の形で記憶される。た
だし、ＫＥＫ　ｉ　Ｉ、−ＫＥＫ　ｉ　Ｒ及びＣＬ＝Ｃ
Ｒ＝Ｃなので、左半分と右半分は等しい。
キーの左半分及び右半分を、キーのその半分の位置が左
か右かを示す対応する制御ベクトルに結合することが、
「キー半分複製」攻撃と呼ばれているタイプの攻撃に対
して防御するのに不可欠である。この種の攻撃では、こ
うした結合がないと仮定すると、不正使用者は、暗号化
された一方の半分の代わりに他方の半分を使用する（す
なわち、１つのキー半分を複製する）ので、暗号化され
たキーの２つの半分は等しくなる。不正使用者は、キー
の半分を徹底的に探索するためにキー半分に対して暗号
演算を実行することができる。不正使用者は、その後、
他のキー半分について処理を繰り返す。要するに、長い
キーの作業ファクタが、短いキーの作業ファクタの大き
さにまで減少する。
どの暗号化動作でも、ＣＦＡＰはキー記憶機構から暗号
化キーを取り出して、それを実行中の命令に供給する。
これらのキーは、ＣＦ内部でだけ非暗号化（復号化）さ
れ命令によって使用される。
キーが平文の形でＣＦの外部に現れることない。
キー暗号化キーに対して通常作用する大部分のキー管理
命令では、各命令が呼び出されるとき、倍長のキー暗号
化キーの２つのキー半分を操作または作成するために、
その命令を２度呼び出さなければならない。各呼出しが
、キー暗号化キーの各キー半分に作用しまたはそれを作
成する。したがって、ＣＦＡＰまたはアプリケーション
は、正しい結果を保証するため、（暗号化されたキー半
分とキー形式フィールドの適切な値に関連する制御ベク
トルなどの）パラメータの適切な値を提供しなければな
らない。
キーが頻繁にアクセスされる大容量システムでは、キー
のアクセス速度を上げるため、キャッシュ機構を実施す
ることができる。
外部者の攻撃と内部者の攻撃 外部者の攻撃及びある種の内部者の攻撃に対する安全保
護を提供することがキー管理の意図である。
ＡＮＳＩ　　Ｘ９．１７キー管理 どちらのキー管理に対する安全保護も失わずに、ＡＮＳ
Ｉ　　Ｘ９．１７キー管理と共存できるようにすること
がキー管理の意図である。
現在のプロダクトとの互換性 現在のプロダクト、たとえばＩＢＭ　　３８４８／ＣＵ
ＳＰとの互換性は、２つのレベルで処理される。キー生
成、ＲＴＭＫ及びＲＦＭＫ命令を組み合わせると、デー
タ・キーが異なる４つの形で作成できる。これら４つの
形は、ＩＢＭ３８４８／ＣＵＳＰで現在利用可能なキー
生成マクロによって作成できる異なる４つの形と直接対
応するものである。たとえば、セラシロン・キーの生成
時にＩＢＭ　　３８４８／ＣＵＳＰと互換性を保つため
、キー生成機能を使って、乱数を作成することができ、
それらの乱数はマスク・キーのもとて暗号化されたセラ
シロン・キーとみなされる。次いで、ＲＦＭＫ機能を使
ってそれを他のノードに発送することができる。同様に
、まずキー生成命令を使って乱数を獲得することによっ
て、ファイル・キーを互換性を保って生成することがで
きる。それらの乱数は、ファイル・マスク・キーのもと
て暗号化されたファイル・キーとみなされる。次いでＲ
ＴＭＫ機能を使って、システムで使用するためそれをマ
スク・キーのもとて暗号化されたファイル・キーに変換
することができる。ＲＴＭＫ及びＲＦＭＫ機能は、制御
ベクトルが６４ゼロ・ビット（すなわち、制御ベクトル
なし）であるデータ・キーの搬入及び搬出という特殊な
ケースを宵効に許容する。
ソフトウェア・インターフェース ＣＦＡＰは暗号機構へのアプリケーション・インターフ
ェースをもたらす。このインターフェースはマクロまた
はサブルーチン呼出しの形で実施でき、キー記憶機構デ
ータ・セットに記憶されたキーの記憶と検索を扱うキー
記憶マネージャ構成要素を含むことができる。
ＡＮＳＩ　　Ｘ９．１７管理 概要： ＡＮＳＩノードのアーキテクチャ 第３６図は、ＡＮＳＩ　　Ｘ９．１７ノードの基本構成
要素を示す。このアーキテクチャは、第１図、第２図及
び第３図に示す基本的システム図に基づくものである。
ＡＮＳＩキー・マネージャは、キーを生成し、搬入し、
搬出し、暗号サービス・メツセージ（Ｃ８Ｍ）を確認す
るために暗号機構アクセス・プログラム（ＣＦＡＰ）の
暗号サービスを利用するアプリケーション・プログラム
である。Ｃ８Ｍは、通信中のＡＮＳＩノード間でキー作
成用資料または関連情報を交換するのに使用されるＡＮ
ＳＩＸ９．１７定義メツセージである。
ＣＦＡＰは、キー記憶マネージャのサービスを使って、
暗号機構（ＣＦ）の外部に記憶されたＡＮＳＩキーにア
クセスする。この記憶域はキー記憶機構と呼ばれる。こ
うしたキーは、適切な制御ベクトルを用いてシステム・
マスク・キー（ＫＭ）のもとて暗号化された状態で常に
記憶される。ＣＦは、ＣＦＡＰに原始暗号機能（暗号化
、非暗号化、ＭＡＣ作成機能など）を供給する。ＣＦは
また、平文ＫＭ及び少数の作業用キーのための限られた
内部記憶域も提供する。
ＡＮＳＩキー・マネージャは、システムで提供される通
信サービス（たとえば、ＶＴＡＭまたは装置ドライバ）
を使って、他のＡＮＳＩノードとの間でＣ８Ｍを送受す
る。
ＡＮＳＩノード　能インターフェース 第３７図は、ＡＮＳＩノードの構成要素間の一部の機能
インターフェースを示す。ＡＮＳ　Ｉキー・マネージャ
はマクロ呼出しによってＣＦＡＰサービスにアクセスす
る。ＣＦＡＰは、キー記憶機構マネージャに対する機能
呼出しによって、ＡＮＳエキ−を検索し記憶する。キー
記憶機構マネージャは、システム入出カサ−ビス（また
はメモリ・アクセス命令）を使って、キー記憶機構と呼
ばれる２次（または１次）記憶機構から要求されたキー
を検索／記憶する。キー記憶機構マネージャはまた、Ｃ
ＦＡＰのためにキー保全性を検査する。キー記憶機構中
の各キー項目のレコードは、識別用ラベル、暗号化され
たキー、それが記憶される明示の制御ベクトル（ＣＶ）
　、送受信カウンタ（ＫＥＫ用のみ）、及び他のキー関
連パラメータから構成される。ＣＦＡＰは、原始暗号機
能を実行するためＣＦ命令を参照する。
土二旦布星鷹 ＡＮＳＩ　　Ｘ９．１７は、キー配布の３つの基本環境
＝２地点間、キー配布センタ及びキー変換センタを支援
する。
２地点ｒ　　（Ｐ−Ｐ）環 この環境では、１つのノード（たとえば、ノードＢ）が
、他のノード（ノードＡ）と通信しようとするが、デー
タ・キーを作成したり、あるいはそれにアクセスするこ
とができない。ただし、ノードＡとＢは手動で導入した
キー暗号化キー（０）ＫＫａｂをすでに共用しているも
のと仮定する。
（表記“（０）′は、単長キー暗号化キーＫＫまたは倍
長キー暗号化キー”ＫＫのどちらがを意味する。）ノー
ドＡは、ノードＢが要求する１つまたは複数のキーを生
成し、ローカル・コピーを記憶し、（”）ＫＫａｂのも
とて暗号化された複製をノードＢに戻す。
第３８図は、２地点間環境にある２つのＡＮＳＩノード
を示す。これらのノードは、キー暗号化キー”ＫＫａｂ
を共用する。そのキーは、各ノードのキー記憶機構に関
連する送受信カウンタと一緒に記憶される。ｅ”ＫＭ、
　Ｃ１（”ＫＫ　ａ　ｂ）は、実際にはそれぞれ”ＫＫ
ａｂの左側及び右側の６４ビツトであるｅ”ＫＭ、　Ｃ
１（ＫＫ　ａ　ｂ　ｌ　）及びｅ”ＫＭ、Ｃ１（ＫＫａ
ｂｒ）として記憶されることに留意されたい。他のキー
関連パラメータも、このキー用のキー記憶機構レコード
に存在することがある。
２地点間キー配布を表すＣ８Ｍ伝送のシーケンスを示す
。ノードＢはＲ８Ｉ（サービス初期設定要求）によって
ノードＡから１つまたは複数のキーを要求し、ノードＡ
はＫＳＭ　（キー・サービス・メツセージ）によって要
求されたキーを戻し、ノードＢはＫＳＭ　（サービス・
メツセージ応答）で受信を肯定応答する。エラー処理及
びキー中断要求を支援する他のＣ８Ｍ）ランザクジョン
も同様に２地点間環境で定義されている。
たとえば、ノードＢが、ノードＡから単一データ暗号化
キーＫＤを要求する。次に、この要求に対する可能なＲ
８Ｉのメツセージ形式は以下の通りである。
ＣＳＭ　（ＭＣＬ／ＲＳ　Ｉ　） ＲＣＶ／ノードＡ ＯＲＧ／ノードＢ ＳＶＲ／ ＥＤＣ／ａＫＤＸ（ＭＣＬ／ＲＳ１．、、ＳＶＲ／））
ａ　Ｋ　Ｄ　Ｊ　（Ｘ）はキーＫＤｊを使用するＸのメ
ツセージ確認コード（ＭＡＣ）を表すことに留意された
い。ＫＤＸはＫＤｊの特殊なケース、すなわち固定され
た秘密でない１６進キー’０１２３４５６７８９ＡＢＣ
ＤＥＦ“を表す。ノードＡは、単一ＫＤを生成し、”Ｋ
Ｋａｂに関連する送信カウンタでオフセットされた、ノ
ードＢと共用される”ＫＫａｂのもとてそれを暗号化し
て、ノードＢに送るべきＫＳＭを形成する。
ＣＳＭ　（ＭＣＬ／ＫＳＭ ＲＣＶ／ノードＢ ＯＲＧ／ノードＡ ＫＤ／ｅ＊ＫＫＡＢ＋５ｅｎｄ　Ｃｔｒ　＊ＫＫａｂ（
ＫＤ）ＣＴＰ／５ｅｎｄ　Ｃｔｒ　：ＫＫａｂＭＡＣ／
ａＫＤ（ＭＣＬ／ＫＳＭ、、、ＣＴＰ／５ｅｎｄ　Ｃｔ
ｒ　：ＫＫａｂ））ここで、ｅ’ＫＫａｂ＋５ｅｎｄ　
　Ｃｔｒ　　”ＫＫａｂ　（ＫＤ）は、”ＫＫａｂを、
５ｅｎｄ　　Ｃｔｒ　　”ＫＫａｂと名付けるその送信
カウンタの現在位でオフセットさせることによって形成
されたキーによる、ＫＤの３重暗号化によって得られる
暗号テキストである。オフセット化はＡＮＳＩＸ９．１
７−１９８５の第７．４節に記載されている。
ノードＢはＫＳＭを受信して、ＫＤ／フィールドを取り
出し、新しいＫＤを回復し、キー記憶機構中のノードＢ
のマスク・キーのもとてそれを記憶し、次いでノードＡ
に対する肯定応答としてＫＳＭを定式化する。
ＣＳＭ　（ＭＣＬ／ＲＳＭ ＲＣＶ／ノードＡ ＯＲＧ／ノードＢ ＭＡＣ／ａに直ＭＣＬ／ＲＳＭ、、、ＯＲＧ／ノードＢ
））キー配布センタ（ＫＤＣ） 第３９図は、ＫＤＣ環境における３つのＡＮＳＩノード
を示す。
この環境で、ノードＢが、それとキーを共用していない
ノードＡと通信しようとしている。ただし、ノードＢは
手動で導入されたキー暗号化キー（”）ＫＫｂｃを、キ
ー配布センタとして機能するノードＣと共用しているも
のと仮定する。さらに、ノードＣは、キー配布センタと
して機能するノードＣと、手動で導入されたキー暗号化
キーＣ→ＫＫｂｃを共用している。さらに、ノードＣは
、手動で導入されたキー暗号化キー（０）ＫＫａＣをノ
ードＡと共用している。ノードＡはノードＢのキー要求
をノードＣに渡し、ノードＣは２つの複製キー・セット
を生成する。最初のセットは、（”）　ＫＫ　ａ　ｃの
もとて暗号化され、第２のセットはＣ→ＫＫｂｃのもと
て暗号化される。
次いで両方のセットがノードＡに戻される。ノードＡは
、最初のキー・セットを回復して記憶し、第２のキー・
セットをノードＢに渡す。ノードＢも同様にそのキー・
セットを回復し記憶する。
キー　換センタ（ＫＴＣ） 第４０図は、ＫＴＣ環境における３つのＡＮＳＩノード
を示す。
この環境で、ノードＢが、それをキーを共用してないノ
ードＡと通信しようとしている。ノードＡはキーを生成
またはそれにアクセスすることができ、キー変換センタ
として機能するノードＣと、手動で導入されたキー暗号
化キー（”）ＫＫａｃを共用しているものと仮定する。
さらに、ノードＣは、手動で導入されたキー暗号化キー
（”）　ＫＫｂｃをノードＢと共用している。ノードＡ
は、要求されたキー・セットを生成し、ローカル・コピ
ーを記憶し、（”）　ＫＫ　ａ　ｃのもとて暗号化され
た複製セットをノードＣに送る。ノードＣはキー・セッ
トを回復しＮ　　（”）　ＫＫ　ｂ　ｃのもとてキーを
再暗号化して、変換されたキー・セットをノードＡに戻
す。ノードＡは、回復し記憶するためにキー・セットを
ノードＢに渡す。
キー配布のシナリオ 本節ではＡＮＳＩ　　Ｘ９．１７で定義されたキー配布
のシナリオを要約する。これらのシナリオは、キー暗号
化キー用のもの１つとデータ暗号化キー用のもの１つを
表形式で示す。
さらに、各表は、２地点間、キー変換センタ及びキー配
布センタの３つの環境に分かれている。
各暗号交換に１つの環境だけが適用される。一般に、所
与の環境に対する配布のシナリオは、左から右、上から
下に提示される。オプションが存在する場合は、所与の
欄を、選択されたオプションに対する選択及び結果を反
映するよう水平に分ける。ＣＡはすべてのＡＮＳＩ　　
Ｘ９．１７オブシロンを支援しない。支援されないオプ
ションは「ＳＵＰ？Ｊ欄に「ノー」とマークする。
欄は以下のように定義される。
ＥＮＶ：　　　　ＡＮＳＩ　　Ｘ９．１７配布環境、す
なわち２地点間、キー配布セン タまたはキー変換センタ。
ＮＯＤ　：　　　　配布シナリオにおける関係ノード。
規約により、ノードＢは通常初期 キー要求側、ノー１’Ａは被要求側、 ＫＴＣまたはＫＤＣは支援キー・ センタである。
ＲＣＶＳ：　　　ＮＯＤが受ケ取ル＋−ノーｔ−−−タ
イプ（ＫＫ、”ＫＫｌＫＤまた はＫＤｍａｃｌ−時ＭＡＣキー） を指定する。
受信キーを生成または変換したノー ド。Ｘ　ｖｉａ　　Ｙは、ＸがノードＹを介してＮＯＤ
にキーを渡すこと を示す。
キーを受信するのに使われる単長 または倍長ＫＥＫ、添え字はＫＥ Ｋを共用するノードを示す（ａは ノードＡ１ｂはノードＢ１　Ｃは キー・センタ）。オフセット化は 暗示され、認証は（”）ＫＮｘＹ の形のキーで表される。「新」は 受信キーに付随する新しいＫＥＫ を表す。
ＮＯＤによって生成されたキーの キー・タイプ（ＫＫ、”ＫＫ、Ｋ ＤｌまたはＫＤｍａｃ）を指定す る。
５ＴＯＲＥＳ　：ＮＯＤで記憶される受信または生成さ
れたキーの形式；ＫＫ／／に ＦＲＯＭ： ＧＥＮＳ　　： ＵＮＤＩ？−’： ＵＮＤＲ２： ５ＮＤＳ： Ｔｏ　＝ には、単長ＫＫを複製して疑似倍 長ＫＥＫを形成することを示す。
（ｔｅｍｐ）は−時的記憶機構だ けを表す。このキーは、Ｃ８Ｍを 処理するためだけに保持される。
受信または生成されたキーをＮＯ Ｄで記憶するのに使われるキー 通常、ＫＭｘの形で、ノードＸの マスク・キーを表す（ａはノード Ａ、ｂはノードＢ％Ｃはキー・セ ンタ）；制御ベクトルの変更は暗 示による。
ＴＯで指定されたノードに送られ る生成または変換されたキーの形 式。
生成または変換されたキーが送ら れる先のノード。Ｘ　ｖｉａ　Ｙは、 ＮＯＤがノードＹを介してＸにキー を送ることを示す。Ｘ　ａｎｄ　Ｙは ＮＯＤがキーを（異なるＫＥＫの ＵＮＤＲ３： ＳＵＰ？： もとで）ＸとＹに送ることを表す。
生成または変換されたキーを送る のに使われる単長または倍長ＫＥ Ｋ０オフセット化は暗示による。
認証は（”）ＫＮｘＹの形のＫＥ Ｋで表される。ＫＫ　１　ａｎｄ　ＫＫ２は、キーが欄
ｒＴＯＪの指定に 対応する異なる２つのＫＥＫのも とで送られることを表す。「新」 は生成または変換されたキーに付 随する新しいＫＥＫを表す。
ＮＯＤでＡＮＳＩのＣＡ実施態様 がシナリオのこのオプションを支 援するかどうかを示す。
”ＫＫの配布 キー暗号化キーの暗号交換を要約した表を第３９表に示
す。
ＫＤの配布 データ・キーの暗号交換を要約した表を第４０表と第４
１表に示す。
ＡＮＳＩ　　Ｘ９．１７を支援する命令セット１、ＡＮ
ＳＩ　　Ｘ９．１７を支援するため、以下の新しい命令
がＣＡに追加されている。
ａ、ＡＮｓＩキ一部分認証（ＡＰＮＯＴＲ）ｂ、ＡＮｓ
Ｉマスタ・キーからの再暗号化（ＡＲＦＭＫ） ｃ、ＡＮｓＩマスク・キーへの再暗号化（ＡＲＴＭＫ） ｄ、ＡＮＳＩキー変換（ＡＸＬＴＫＥＹ）ｅ、ＡＮＳＩ
データ・キー組合せ（ＡＣＯＭＢＫＤ） ２、ＡＮＳＩ　　Ｘ９．１７を支援するために、以下の
既存のＣＡ命令が必要である。
ａ、キー生成 タイプＡＮＳＩ　　ＫＥＫの制御ベクトルを許容するた
めに、キー生成命令の拡張が追加される。
ｂ、暗号化 変更不要 Ｃ０非暗号化（復号化） 変更不要 ｄ、ＭＡＣ生成 変更不要 ｅ、ＭＡＣ検査 変更不要 キーのオフセット化とは、キーと記憶されたカウンタの
排他的論理和を取ることによってキー暗号化キー（Ｋ　
Ｅ　Ｋ）を変換する処理である。オフセット化は、必ず
そのＫＥＫによるキーの暗号化の前に、ＫＥＫを変換す
るために使用される。
認証とは、送信側と所期の受信側の識別でＫＥＫをシー
ルする方法である。通常、認証キーＫＮは、ＫＥＫ１送
信側と受信側の識別、及びこのＫＥＫに対するオフセッ
ト・カウンタの関数として認証シールＮＳを計算し、次
いでＮＳとＫＥＫの排他的論理和を取ることによって形
成される。所与のＫＥＫに対するカウンタ値が時間の経
過につれて増分されるので、通常ＫＥＫ認証が必要にな
るたびにＮＳを改めて計算する。
しかし、所与のＡＮＳＩ　　ＫＥＫは常にちょうど１つ
の送信側と受信側に関連しているので、ＮＳしたがって
ＫＮは、１つの動的な量：　ＫＥＫに対するオフセット
・カウンタのみの関数となる。
したがって、ＫＥＫの静的な量（キー自体及び送信側と
受信側の識別）を使って部分認証キーＫＮ“を計算する
ために、関数ＡＰＮＯＴＲを定義することができる。Ｋ
Ｎ”は、それに対応するＫＥＫと共に記憶され、認証が
必要なとき検索され、現カウンタ値でオフセットされる
だけでＫＮを形成する。ＡＰＮＯＴＲの説明は、ｒＡＮ
ｓ　Ｉ部分認証キー作成（ＡＰＮＯＴＲ）Ｊにある。
この手法の利点は、必要になるたびにＫＮを再計算しな
くてすむことであるが、より重要なことに、ＣＡ種機能
複雑さも低下する。キーを搬入、変換または搬出するた
めに使用されるＣＡ機能中のＫＥＫの認証及びオフセッ
ト化を支援する代わりに、オフセット化だけを提供すれ
ばよい。認証を行なわなければならない場合は、ＫＥＫ
の部分認証形が当該のＣＡ種機能供給される。そうでな
い場合は、ＫＥＫ自体が供給される。にも関わらず、Ｃ
Ａ種機能、キーを暗号化または非暗号化（復号化）する
ことを求める前に、特定のキーのオフセット化を実行す
る。
ＡＮＳＩ　　Ｘ９．１７サブセツト 第３９表、第４０表及び第４１表に示したＫＫ及びＫＤ
の配布シナリオには、ＡＮＳＩ　　Ｘ９゜１７で定義さ
れるすべてのオプションが含まれる。
ｒｓＵＰ？Ｊとラベルが付けられた各表の最後の欄は、
このオプションに対するＣＡ支援が提供されるかどうか
を示す。
この時点で、ＣＡによって支援されないＡＮＳＩ配布オ
プションだけは、単長キー暗号化キーの生成に関係する
ものである。たとえば、第３９表では、２地点間環境に
あるＡＮＳＩノードＡは新しい単長ＫＫを生成し、４つ
の（’）ＫＫオプション、すなわちＫＫａｂｌ”ＫＫａ
ｂｌＫＮａｂまたは”ＫＮａｂのもとでＡＮＳ　Ｉノー
ドＢにそれを送ることができる。しかし、ＣＡは単長Ｋ
Ｋの生成を支援しない。すなわち、４つのＡＮＳＩ配布
オプシｅンのｒｓＵＰ？Ｊ欄が「ノー」とマークされて
いる。
非ＣＡノードとのＡＮＳＩＮＳ性をもたらすため、ＣＡ
は新しい単長ＫＫの搬入を支援する。たとえば、上記と
同じ表を使うと、ＡＮＳＩノードＢは、他の（”）ＫＫ
の４つの形、すなわちＫＫａｂｌ”ＫＫａｂｌＫＮａｂ
または宰ＫＮａｂのうちの１つのもとでＡＮＳＩノード
Ａから単長ＫＫを受け取ることができる。各オプション
の「ＳＵＰ？ｊ欄は「イエス」とマークされており、各
オプションが支援されることを示す。搬入された単長Ｋ
Ｋは必ず複製された形（すなわち、ＫＫ／／ＫＫとして
１２８ビツト）で記憶されることに留意されたい。
この単長ＫＫに関する制限は、ＫＤ配布オプションにも
影響を及ぼす。ＡＮＳＩ　　Ｘ９．１７では、新しい（
”）ＫＫが１つまたは２つの新しいＫＤと共に配布され
る場合、ＫＤが新しい（”）ＫＫのもとて暗号化される
ことが必要である。しかし、ＣＡは単長ＫＫの生成を支
援しないので、新しい単長ＫＫのもとで新しいＫＤを配
布するオプションは支援されない。この例は、第４０表
のノードＡに対する２地点間環境に示されている。この
表は、新しい単長ＫＫａｂによるＫＤの配布が支援され
ないことを示す。
ＩＣＶ管理 ＡＮＳＩ　　Ｘ９．１７は、暗号化されたまたは平文の
テキストの６４ビット初期連鎖値（ＩＣＶまたはＩＶ）
の配布を支援する。ＩＣＶの生成及び記憶を支援するＣ
ＡマクロＧＥＮＩＶが定義される。ＩＣＶは、それと−
緒に使用されるＫＤと共にキー記憶機構に記憶される。
ＧＥＮＩＶは、ＣＦのキー生成命令を使って、６４ビツ
トの平文非パリテイ調整乱数ＲＮを生成する。ＧＥＮ　
Ｉ　Ｖは、ＫＤに対するキー記憶機構の項目にＲＮとＩ
Ｃｖ　モード・フラグを記憶する。ＩＣＶ−モード・フ
ラグは、ＲＮが暗号化されたＩＣＶとして処理されるか
、それとも平文テキストのＩＣＶとして処理されるかを
示す。暗号化モードの場合、ＲＮは、暗号化または非暗
号化（復号化）機能中でそれをＩＣＶとして使用する前
に、キーＫＤを使って非暗号化（復号化）されなければ
ならない。
ＡＮＳＩ　　Ｘ９．１７のＲＴＲ及びＫＳＭメツセージ
を使って、生成されたＩＣＶ、及びＩＣＶが暗号化され
ているかそれとも平文テキストかを示す同様のフラグが
配布される。ＧＥＮＩＶはまた、受信側で受信したＩＣ
Ｖをキー記憶機構に記憶するために使用される。もちろ
ん受信側は、ＲＴＲまたはＫＳＭメツセージのフラグに
基づいてＩＣＶ　モードを指定しなければならない。
頭字語と略語 ＯＣ 条件コード 暗号アーキテクチャ 制御ベクトル（ＩＣＶまたはＯＣ Ｖとは無関係） 暗号ブロック連鎖。データ暗号化 標準の暗号化モード 非暗号化（復号化）、暗号化及び 非暗号化（復号化） Ａ ＣＶ ＣＢＣ ＥＤ ＤＥＡ ＤＢＳ ＥＣＢ ＤＥ ＩＣＶ Ｄｘ ＥＫｘ Ｍ ＭＮ ＭＯ ＰＥｘ ＰＧｘ ＰＶｘ Ｋ　　Ｋ　　Ｎ　　Ｉ ＫＮＩＬ ＫＮＩＲ Ｄｍａｃ データ暗号化アルゴリズム データ暗号化標準 電子コード・ブック、ＤＥＳの暗 帰化モード 暗号化、非暗号化（復号化）及び 暗号化 入力連鎖値（ＣＶとは無関係） データ・キー（ｘ＝整数） キー暗号化キー（ｘ＝整数） マスク・キー 新マスク・キー 旧マスク・キー ＰＩＮ暗号化キー（ｘ＝整数） ＰＩＮ生成キー（Ｘ　”整数） ＰＩＮ妥当性検査キー（ｘ＝整数） 中間認証キー　１２８ビツト ＫＫＮＩの左６４ビツト Ｋ　Ｋ　Ｎ　Ｉの右６４ビツト ＡＮＳＩＮＳ上−ジ用の一時ＭＡ Ｃキー ＭＡＣメツセージ確認コード ＭＤＣ修正検出コード ＯＣＶ　　　　出力連鎖値 ＰＩＮ　　　　　個人識別番号（ＡＴＭと共に使用）ア
ルゴリズム コード化及び復号アルゴリズム コード化及び復号命令は、ＤＥＳのＥＣＢ　（電子コー
ド・ブック）を使用する。このモードでは連鎖やフィー
ドバックはない。第４１図は、ＥＣＢの暗号化及び非暗
号化（復号化）モードの動作を示す。
暗号アルゴリズム 暗号化／非暗号化（復号化）アルゴリズムは、米国標準
局データ暗号化標準（ＤＢＳ）局または、それと等価な
米国規格協会データ暗号化アルゴリズム（ＡＮＳＩ　　
ＤＥＡ）Ｘ９．９２−１９８１である。暗号化ブロック
の連鎖（ＣＢＣ）は、ＡＮＳＩ暗号動作モー）’Ｘ９．
１０６−１９８３で指定されているように行なわれる。
第４２図及び第４３図は、それぞれＣＢＣの暗号化及び
非暗号化（復号化）モードの動作を示す。
メツセージ確認（ＭＡ　Ｃ） 参考文献（６）で参照されている金融機関メツセージ確
認標準（卸売り）（ＡＮＳＩ　　Ｘ９．９）は、発送者
から受信者へのメツセージを確認するための処理を定義
する。この処理は、通信媒体及び支払いシステムから独
立している。
この確認処理には、メツセージ確認コード（ＭＡＣ）の
計算、伝送及び検査が含まれる。ＭＡＳ＝Ｃは、完全な
メツセージ・テキストまたはテキストの選択されたメツ
セージ要素に基づく。ＭＡＣは、発送者の手でメツセー
ジに追加されて、受領者に送信される。メツセージまた
はメツセージ要素は、同じアルゴリズム及びプライバシ
・キーで、受け取ったＭＡＣと同じＭＡＣが生成される
場合、受領者によって本物として受け入れられる。
確認処理の安全保護は、ブライバシ・キーに対して与え
られる安全保護に直接依存する。
ＭＡＣは、第４４図に示すように生成される。
この標準に記載されている確認アルゴリズムは、ＡＮＳ
Ｉ　　Ｘ３．１０６−１９８３に記載されているように
、６４ビツトＣＢＣまたはＣＦＢ動作モードを使って実
施できる。両方のモードが、等価なＭＡＣを生成するよ
うに初期設定される。ＫＥＹは６４ビツト・キーであり
、ＡＩないしＡｎは６４ビツトのデータ・ブロックであ
る。初期連鎖値はこの標準では°Ｏ“であり、ＣＢＣ動
作モードは第４４図に示すように実施すべきである。Ａ
ｎが６４ビツト未満の場合、残りのビットの右側に１０
１が付加される（埋め込まれる）。（ＯＨ）の一番左側
の３２ビツトがＭＡＣとみなされる。
注：４８ビツト及び６４ビツトのＭＡＣを生成及び処理
するための互換性が、存在しなければならない。これら
の場合、一番左側の４８ビツトまたは最終出力全体（Ｏ
ｎ）がＭＡＣとみなされる。
このアルゴリズムは２進データのＭＡＣ生成を記述する
。「コード化文字セット」のメツセージ確認は、ＡＮＳ
Ｉ　　Ｘ９．９−１９８６に記載されているように実施
すべきであり、文字が２進データで表された後にＭＡＣ
アルゴリズムが呼び出される。
ＭＤＣアルゴリズム ２つのＭＤＣアルゴリズムが存在する。
１、ＭＤＣ２−８バイトの入力データ・ブロックごとに
２回の暗号化 ２、ＭＤＣ４−８バイトの入力データ・ブロックごとに
４回の暗号化 異なる２つのアルゴリズムを用いると、呼出し側は、そ
のアプリケーションに依存する安全保護のわずかな低下
と引き換えに５０％の性能改善を得ることができる。
−ＭＤＣ２（テキスト） １、入力テキストにＸ″ＦＦ’を埋め込んで８バイトの
倍数にする。
２、入力テキストを［ｎ１個の８バイト・ブロックＴ８
［１コないしＴ８　［ｎコに区分する。
３、ｎ＝１の場合、ｎ＝２及びＴ８　［２］　＝８バイ
トのＸ′００“と設定する。
４、ＫＤｌとＩＤ２の初期値を設定する（下記参照）。
５、［ｉ］＝Ｌ　２．、、、＋　ｎについて、ａ、ＭＤ
ＣＯＰ　（ＫＤ　１、ＩＤ２、Ｔ８［ｉ］、Ｔ８　　［
ｉ］） ｂ、ＫＤ　１　：　＝ＯＵＴ　１ ｃ、ＩＤ２：＝ＯＵＴ２ ｄ、ＦＯＲループの終わり ８、ＭＤＣ２（７）出方は、１６バイトＭＤｃ：＝　（
ＫＤ１／／ＫＤ２）である。
−ＭＤＣ４（テキスト） １、′入力テキストにＸ’ＦＦ’を埋め込んで８バイト
の倍数にする。
２、入力テキストを［ｎ１個の８バイト・ブロックＴ８
［エコないしＴ８　［ｎコに区分する。
３、ｎ＝１の場合、ｎ＝２及びＴ８　［２］　＝８バイ
トのｘ’ＯＯ”に設定する。
４、ＫＤｌとＩＤ２の初期値を設定する（下記参照）。
５、［エコ”１１２１　、、、Ｈについて、ａ、ＭＤＣ
ＯＰ　（ＫＤＩ、ＩＤ２、Ｔ８［ｉ　コ　、　Ｔ８　　
［ｉ］） ｂ、　　　ＫＤＩ　　　ｉｎｔ　　　：＝ＯＵＴ１ｃ、
　　ＩＤ２ｉｎｔ　　：＝ＯＵＴ２ｄ、ＭＤＣＯＰ　　
（ＫＤ　１　　ｉ　　ｎ　ｔｌ　ＩＤ２　　ｉｎ　ｔｌ
　ＩＤ２、ＫＤｌ） ｅ、　　ＫＤｌ　　：＝ＯＵＴ１ ｆ、　　ＩＤ２：＝ＯＵＴ２ ｇ、ＦＯＲループの終わり ８、ＭＤＣ４の出力は、１６バイトＭＤＣ：＝　（ＫＤ
　１／／ＫＤ２）である。
ＫＤｌとＩＤ２の初期値は以下の通りである。
１　、　ＫＤＣ＝Ｘ’５２５２５２５２５２５２５２５
２’２　、　ＩＤ２：＝Ｘ’２５２５２５２５２５２５
５２５２゜ＭＤＣテスト・パターン　−　実行予定認証
アルゴリズム ＫＫ使用 認証キーを計算するために使用されるキーをＫＫとする
。そうすると、 ＫＫＲ＝ＫＫ＋ＦＭ１　（＋は排他的論理和演算、ＦＭ
ＩはＩＤからの最初の８バイト） ＫＫＬ＝ＫＫ＋ＴＯ１（Ｔｏ　１はＩＤへの最初の８バ
イト） ＮＳ　１＝ｅＫＫＲ（Ｔｏ２）　　Ｔｏ２はＩＤへの第
２の８バイト Ｎ５ｒ＝＝ｅＫＫＬ　（ＦＭ２）　　ＦＭ２はＩＤがら
の第２の８バイト ＮＳ＝　　（ＮＳＩの左側３２ビツト）／／ＮＳｒの右
側３２ビツト）　＋ＣＴ （ＣＴはＫＫに関連する６４ビツトのカウンタ） ＫＮ＝　　ＫＫ＋ＮＳ　　ＫＮはＫＤまたはＫＫを暗号
化するのに使用される認証キー ”ＫＫ使用 認証キーを計算するために使用されるキーを０ＫＫとす
る。そうすると、 ”ＫＫ　　＝ＫＫ　ｌ／／ＫＫ　ｒ ＫＫＲ＝ＫＫｒ＋ＦＭ１　（＋は排他的論理和演算、Ｆ
ＭＩはＩＤからの最初の８バイト） ＫＫＬ＝ＫＫｌ＋ＴＯ１（Ｔｏ　１はＩＤへの最初の８
バイト） ＮＳ　Ｉ−ｅＫＫＲ（Ｔｏ２）＋ＣＴ　（Ｔｏ２はＩＤ
への第２の８バイト、ＣＴは”ＫＫに関連する６４バイ
トのカウンタ） ＮＳｒ＝ｅＫＫＬ　（ＦＭ２）＋ＣＴ　（ＦＭ２はより
からの第２の８バイト） ”ＫＮ＝　（ＫＫ１＋ＮＳ　Ｉ）／／　（ＫＫｒ＋Ｎ５
ｒ）　　”ＫＮはＫＤまたは（”）ＫＫを暗号化するの
に使用される認証キー 標準及び定義 崖！ ＡＮＳＩ　　Ｎ２．９２−１９８１　　ｒデータ暗号化
アルゴリズム」 ＡＮＳＩ　　Ｎ９．１（Ｎ３−１９８３　　ｒＤＥＡ動
作モード」 ＡＮＳＩ　　Ｎ９．２−１９８Ｘ　　ｒ金融機関同士の
デビット及びクレジット・カード・メツセージ交換用の
交換メツセージの指定」この標準は、金融トランザクシ
ョンに関係するバンク・カードから発されるメツセージ
を私用システム間で交換するのに使われる共通インター
フェースを指定する。これは、メツセージの構造、形式
、内容、データ要素とデータ要素の値を指定したもので
ある。
ＡＮＳＩ　　Ｎ９．８−１９８２　　ｒ個人識別番号Ｃ
ＰＩＮ）管理及び安全保護に関する米国標準」　この標
準は、個人識別番号 （ＰＩＮ）のライフ・サイクルの管理及び安全保護に関
する標準及び指針を確立したものである。
ＡＮＳＩ　　Ｎ９．９−１９８６　　ｒ金融機関メツセ
ージ確認（卸売り）に関する米国標準」この標準は、振
替（たとえば、電信振 替）、信用状、有価証券書換え、借款協定、外国為替予
約などの金融メツセージ（卸売り）を確認する方法を確
立したものである。
ＡＮＳＩ　　Ｎ９．１７−１９８５　　ｒ金融機関キー
管理（卸売り）」　この標準は、暗号キーの生成、交換
、及び確認及び暗号化のための使用の（プロトコルを含
む）方法を確立したものである。
ＡＮＳＩ　　Ｎ９．１９−１９８Ｘ　　ｒ金融機関小売
メツセージ確認」　この標準は、小売取引の金融メツセ
ージを確認する方法を確立したものである。
ＡＮＳＩ　　Ｎ９．２３−１９８Ｘ　　ｒ卸売り金融メ
ツセージ暗号化」　この標準は、機密（たとえば、電信
振替、信用状など）を保持するために卸売り金融メツセ
ージを暗号化する方法を確立したものである。
ＩＳＯＤ工５８５８３　「バンク・カードから発するメ
ツセージ−メツセージ交換指定−金融トランザクジョン
用の内容」　この国際標準は、金融トランザクションに
関係スるバンク・カードがら発するメツセージを私用シ
ステム間で交換するのに使用する共通インターフェース
を指定したものである。
ＩＳＯＤＩｓ８７２０「メツセージ確認」ＩＳＯＤＰ８
７３０ｒ金融業務−標準メッセージ確認（卸売り）要件
」　この国際標準は、メツセージ確認コード（ＭＡＣ）
を用いて金融機関間でパスするメツセージの真正さを保
護するための技術を指定したものであ。
ＩＳＯＤＰ８７３１ｒ金融業務−ｆｉ　−／　セ−シ確
認用の公認アルゴリズム−パート１：ＤＥＳ−１アルゴ
リズムＪ　　ｌ５Ｏ８７３１のこの部分は、メツセージ
確認コード（ＭＡＣ）の計算に動用するための方法とし
てのデータ暗号化アルゴリズム （ＤＥＡ−１）を扱っている。パート−２はその他の非
ＤＥＡアルゴリズム。
ＩＳＯＤＰ８７３２ｒ金融業務−キー管理卸売り」　こ
の国際標準は、卸売金融トランザクション中に交換され
るメツセージの暗号化及び確認のために使用されるキー
作成資料の管理方法を指定したものである。
ＩＳＯＤＰ９５４８　　ｒ個人識別番号の管理及び安全
保護パー）１−ＰＩＮ保護の原理と技術」この標準は、
効果的なＰＩＮ管理に必要な最小限の安全保護措置を指
定したものである。ＰＩＮデータ交換の標準的手段が規
定されている。
命令及びマクロ要約図 第４２表、第４３表及び第４４表には、ＣＡ命令のそれ
ぞれの式を要約する。
皇五又戴 １、ＧＣ３１−２０７０−Ｏｒ４７００金融通信システ
ム、コントローラ・プログラミング・ライブラリー第５
巻、暗号プログラミング（４７００Ｆｉｎａｎｃｅ　Ｃ
ｏｍｍｕｎｉｃａｔｉｏｎＳｙｓｔｅｍ、　Ｃｏｎｔｒ
ｏｌｌｅｒ　Ｐｒｏｇｒａ＋＊＋ｉｉｎｇ　Ｌｉｂｒａ
ｒｙ。
Ｖｏｌｕｍｅ　５．　Ｃｒｙｐｔｏｇｒａｐｈｉｃ　Ｐ
ｒｏｇｒａｍｍｉｎｇ）　Ｊ２、情報システム用ＡＮＳ
　Ｉ−ＤＥＡ−動作モード　　（ＡＨＳＩ　　　ｆｏｒ
　　　Ｉｎｆｏｒｍａｔｉｏｎ　　　Ｓｙｓｔｅｍｓ　
　　−ＤＥＡ−Ｍｏｄｅｓ　ｏｆ　０ｐｅｒａｔｉｏｎ
ｓ）　−ＡＮ　Ｓ　Ｉ　　Ｘ３．１０６−１９８３ ３、ＡＮＳＩデータ暗号化アルゴリズム（ＡＨＳＩＤａ
ｔａ　　Ｅｎｃｒｙｐｔｉｏｎ　　Ａｌｇｏｒｉｔｈｍ
）−Ａ　Ｎ　Ｓ　ＩＸ３．　９２−１９８１ ４、金融機関メツセージ確認（卸売り）（Ｆｉｎａｎｃ
ｉａｌ　Ｉｎ５ｔｉｔｕｔｉｏｎ　ＭｅｓｓａｇｅＡｕ
ｔｈｅｎｔｉｃａｔｉｏｎ　（Ｗｈｏｌｅｓａｌｅ）　
）　Ａ　Ｎ　Ｓ　ＩＸ９．９−１９８６ ５、金融機関キー管理（卸売り）　（Ｆｉｎａｎｃｉａ
ｌＩｎｓｔｉｔｕｔｉｏｎ　Ｋｅｙ　Ｍａｎａｇｅｍｅ
ｎｔ　（ＩＪｈｏｌｅｓａｌｅ））ＡＮＳＩ　　Ｘ９．
１７−１９８５ （３，Ｒ，Ｃ，Ｓｕｍｍｅ　ｒ　Ｊシステムズ・ジャー
ナル誌（Ｓｙｓｔｅｍｓ　Ｊｏｕｒｎａｌ）　％　Ｖ　
。
１．２３、Ｎｏ、４　（１９８４年）、ｐｐ。
３０９−３２５、ｒコンピュータ安全保護の概要（Ａｎ
　Ｏｖｅｒｖｉｅｗ　ｏｆ　ＣｏｍｐｕｔｅｒＳｅｃｕ
ｒｉｔｙ）　Ｊ ７、Ｗ、Ｌ、Ｐｒｌｃｅｌ国立物理学研究所技術メモ（
Ｎａｔｉｏｎａｌ　Ｐｈｙｓｉｃａｌ　Ｌａｂｏｒａｔ
ｏｒｙＴｅｃｈｎｉｃａｌ　Ｍｅ＋ｓｏ）　、Ｄ　Ｉ　
ＴＣ４／　８６　（１９８６年１月）、「トランザクシ
ロン装置の物理的安全保護（Ｐｈｙｓｉｃａｌ　５ｅｃ
ｕｒｉｔｙ　ｏｆＴｒａｎｓａｃｔｉｏｎ　　Ｄｅｖｉ
ｃｅｓ）Ｊ８、Ａ、Ｅ、Ｗｉｎｂｌａｄ　（Ｓａｎｄｉ
ａ国立研究所）ＳＡＮＤ８５−０７６６Ｇ　（１９８５
年１２月）、「内部者による脅威に対する物理的保護の
将来の発展（ＦｕｔｕｒｅＤｅｖｅｌｏｐｍｅｎｔｓ　
ｉｎ　Ｐｈｙｓｉｃａｌ　ＰｒｏｔｅｃｔｉｏｎＡｇａ
ｉｎｓｔ　ｔｈｅ　Ｉｎ５ｉｄｅｒ　Ｔｈｒｅａｔ）　
Ｊ９、Ｊｏｈｎ　　Ｈｏｒｇａｎｌ　ＩＥＥＥスペクト
ラム（ＩＥＥＥ　Ｓｐｅｃｔｒｕｍ）　、１９８５年７
月、ｐｌ）、３０−４１、ｒ情報窃盗者の阻止（Ｔｈｗ
ａｒｔｉｎｇ　ｔｈｅ　Ｉｎｆｏｒａ＋ａｔｉｏｎ　Ｔ
ｈ１ｅｖｅｓ）　Ｊｌ　０　、　Ｔ　、　Ｈ、Ｄ　ｉＳ
　ｔ　ｅ　ｆ　ａ　ｎ　ＯＮ　Ｎ　Ｂ　Ｓ特別刊行物（
ＮＢＳ　５ｐｅｃｉａｌ　Ｐｕｂｌｉｃａｔｉｏｎ）　
４００−２３、ＡＲＰＡ／ＮＢＳワークショップ■■、
米国メリーランド州ゲイサースパーク（Ｇａｉｔｈｅｒ
ｓｂｕｒｇ）、１９７６年３月刊、［半導体表面の光電
発光と光起電式撮像（Ｐｈｏｔｏｅｍｉｓｓｉｏｎ　ａ
ｎｄＰｈｏｔｏｖｏｌｔａｎｉｃ　Ｉｍａｇｉｎｇ　ｏ
ｆ　Ｓｅｍ１ｃｏｎｄｕｃｔｏｒＳｕｒｆａｃｅｓ）　
Ｊ １１、Ｄ、Ｃ，５ｈａｖｅｒ等、ＩＥＥＥ電子装置レタ
ーし（ＩＥＥＥ　Ｅｌｅｃｔｒｏｎ　ＤｅｖｉｃｅＬｅ
ｔｔｅｒｓ）　　、Ｖｏ　　ｌ　、　　ＥＤＬ−４、Ｎ
ｏ。
５　（１９８３年５月）、「電子線プロゲラ−ｒ−ｆル
式１２８　Ｋビット・ウェハ・スケールＥ　Ｐ　ＲＯ（
Ｅｌｅｃｔｒｏｎ−Ｂｅａｍ　Ｐｒｏｇｒａｍｍａｂｌ
ｅ１２８に−Ｂｉｔ　１Ｊａｆｅｒ−Ｓｃａｌｅ　ＥＰ
ＲＯＭ）　Ｊ１２、Ａ、Ｇｅｒｃｅｋｃｉ　　（モトロ
ーラ）、米国特許第４３９４７５０号、１９８３年７月
１９日、ｒＰＲＯＭ消去検出装置（ＰＲＯＭＥｒａｓｅ
　Ｄｅｔｅｃｔｏｒ）　Ｊ １３、Ｄ、Ｊ、ＤｉＭａｒｉａ　　国際トピックス会議
議事録（Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅＩｎｔ
ｅｒｎａｔｉｏｎａｌ　Ｔｏｐｉｃａｌ　Ｃｏｎｆｅｒ
ｅｎｃｅ）　）ニューヨーク州ヨークタウン・ハイツ （Ｙｏｒｋｔｏｗｎ　　Ｈｅｉｇｈｔｓ））１９７８年
３月Ｎ　Ｓ、Ｐａｎｔｅｌ　１ｄｅｓ編、Ｐｅｒｇａｍ
ｏｎ　　Ｐｒｅｓｓ社刊、ｒｓｉ０２とそのインターフ
ェースの物理（Ｔｈｅ　Ｐｈｙｓｉｃｓ　ｏｆ　５ｉＯ
２ａｎｄ　１ｔｓＩｎｔｅｒｆａｃｅｓ）Ｊ １４、Ｄ、Ｒ，Ｙｏｕｎｇ等、Ｊ、ＡＩ）１）ｌ。
ＰｈＹｓ、　、５０　（１０）（１９７９年１０月）、
ｐｐ、６１３６−７２、「２９５１（及び７７にの５ｉ
０２の電子捕捉 （Ｅｌｅｃｔｒｏｎ　Ｔｒａｐｐｉｎｇ　ｉｎ　５ｉ０
２　ａｔ　２９５　ａｎｄ７７Ｋ）Ｊ １５、Ｒ，Ｓｉｎｇｈ等、ＩＥＥＥ核物理学紀要（ＩＥ
ＥＥ　Ｔｒａｎｓ、　ｏｎ　Ｎｕｃｌｅａｒ　５ｃｉｅ
ｎｃｅ）　ＮＶｏｌ、Ｎ５−３Ｌ　Ｎｏ、６　（１９８
４年１２月）、ｐｐ、１５１８−２３、ｒＣＭＯ８ＬＳ
Ｉ用ゲート酸化物の総投与量及び電荷捕捉効果（Ｔｏｔ
ａｌ−Ｄｏｓｅ　ａｎｄＣｈａｒｇｅ−Ｔｒａｐｐｉｎ
ｇ　Ｅｆｆｅｃｔｓ　ｉｎ　Ｇａｔｅ　０ｘｉｄｅｓｆ
ｏｒ　ＣＭＯＳ　ＬＳＩ　Ｄｅｖｉｃｅｓ）　Ｊ１６、
Ｒ，Ｒｅ１ｃｈ、ＩＥＥＥ電子デバイス・レターズ（Ｉ
ＥＥＥ　Ｅｌｅｃｔｒｏｎ　Ｄｅｖｉｃｅ　Ｌｅｔｔｅ
ｒｓ）　ＮＶｏ　１．ＥＤＬ−７、Ｎｏ、４　（１９８
６年４月）、ｐｐ、２３５−７、「放射線依存ホット・
キャリア効果（Ｒａｄｉａｔｉｏｎ−Ｄｅｐｅｎｄｅｎ
ｔ　ｔｌｏｔ−Ｃａｒｒｉｅｒ　Ｅｆｆｅｃｔｓ）　Ｊ
１７、Ｄａｖｉｄ　　Ｃｈａｕｍ編、「暗号技術の進歩
（八ｄｖａｎｃｅｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ）　
Ｊ　１Ｃｒｙｐｔｏ８３紀要（Ｐｒｏｃｅｅｄｉｎｇｓ
　ｏｆＣｒｙｐｔｏ８３）ｔ　　Ｐｌｅｎｕｍ　　　Ｐ
ｒｅｓｓ社刊、ニューヨーク、１９８４年、「反射物応
答システムの設計概念（ＤｅｓｉｇｎＣｏｎｃｅｐｔｓ
　ｆｏｒ　Ｔａｍｐｅｒ　ＲｅｓｐｏｎｄｉｎｇＳｙｓ
ｔｅｍｓ）　Ｊ 以上、本発明の特定の実施例を開示したが、本発明の精
神と範囲から逸脱することなく、特定の実施例に変更を
加えることができることは、当業者には明らかである。
第４表 第５表 第２表 第３表 第６表 第７表 第８表 第１１表 第９表 第１０表 第１２表 第１３表 第１４表 第１５表 第１８表 第１６表 第１７表 第１９表 第２２表 第２０表 第２３表 第２５表 第２１表 第２６表 第２８表 第２９表 第３０表 第３１表 すべてのシステムはシステム依存キーロード命令をもっ
ことができる。
第３２表 第３３表 第３５表 データ／ＭＡＣ データ／変換 データ／圧縮 データ／ＡＮＳＩ ｋｅｋ　／送信側 ｋｅｋ　／受信側 ｋｅｋ／ＡＨＳＩ ＰＩＮ／暗号化 ＰＩＮ／生成 ＩＣＶ　／適用されない キ一部分／適用さ れない なわち、互換性モード・データ・ クトルを使ってＣｖチャネルで、 トルを取り除くことによりＣＶ＝Ｏ 信できる）。
キーは制御べ また制御ベク チャネルで通 モード（命令で 指定された） Ｃｖ Ｃｖ Ｃｖ Ｃｖ 第３７表 リンク制御 （ＫＥＫ　のＣｖ　中） Ｃｖ ＣＶ＝Ｏ ＣｖまたはＣＶ＝Ｏ 適用されない 組合せ はを効か？ ｅＳ Ｏ ｅＳ ＣＶ＝Ｏ ＣＶ＝Ｏ ＣＶ＝Ｏ ＣＶ＝Ｏ Ｃｖ ＣＶ＝Ｏ ＣｖまたはＣＶ＝Ｏ 適用されない Ｏ ｅＳ ｅＳ 第３９表 第４２表 Ｅ０発明の詳細 な説明したように、本発明によれば従来に比べて実用的
で融通性の高いキー管理技術を提供することができる。
【図面の簡単な説明】
第１図は、本発明を適用しうる暗号機構（ＣＦ）の主要
構成要素を示すシステム図である。 第２図は、ＣＦ１ソフトウェア・ドライバＣＦＡＰ及び
暗号アプリケーション・プログラムの構成要素を示すシ
ステム図である。 第３図は、制御ベクトルが様々なシステム間通信シナリ
オのどこで適用されるかを示す図である。 第４図は、基本的暗号キーの分離を示す説明図である。 第５図は、データ・キーの分離を示す説明図である。 第６図は、ＰＩＮギーの分離を示す説明図である。 第７図は、キー暗号化キーの分離を示す説明図である。 第８図は、定義された各キー・タイプに対して行なわれ
る分離を要約した図である。 第９図は、拡張制御ベクトルを用いてマスク・キーのも
とてキーＫを暗号化する方法を示す説明図である。 第１０図は、コード化命令の構成図である。 第１１図は、復号命令の構成図である。 第１２図は、暗号化命令の構成図である。 第１３図は、非暗号化命令の構成図である。 第１４図は、メツセージ確認コード生成（Ｇｅｎｍａｃ
）命令の構成図である。 第１５図は、メツセージ確認コード検査（Ｖｅｒｍａｃ
）命令の構成図である。 第１６図は、暗号テキスト変換命令の構成図である。 第１７図は、ＧＫＳ命令の構成図である。 第１８図は、マスク・キーからの再暗号化命令の構成図
である。 第１９図は、マスク・キーへの再暗号化命令の構成図で
ある。 第２０図は、キー生成命令の構成図である。 第２１図は、マスク・キーのもとての暗号化命令の構成
図である。 第２２図は、変換キー命令の構成図である。 第２３図は、新マスク・キーへの再暗号化命令のモード
Ｏ（キー・モード）の構成図である。 第２４図は、新マスク・キーへの再暗号化命令のモード
１（トークン・モード）の構成図である。 第２５図は、現マスク・キーへの再暗号化命令のモード
Ｏ（キー・モード）の構成図である。 第２６図は、現マスク・キーへの再暗号化命令のモード
１（トークン・モード）の構成図である。 第２７図及び第２８図は、ＡＮＳＩ部分認証キー作成命
令の構成図である。 第２９図は、ＡＮＳＩマスク・キーからの再暗号化命令
（ＡＲＦＭＫ）の構成図である。 第３０図は、ＡＮＳＩマスク・キーへの再暗号化命令（
ＡＲＴＭＫ）の構成図である。 第３１図及び第３２図は、ＡＮＳＩキー変換命令（ＡＸ
ＬＴＫＥＹ）の構成図である。 第３３図は、ＡＮＳＩ　　ＫＤ組合せ命令（ＡＣＯＭＢ
ＫＤ）の構成図である。 第３４図は、いくつかの命令によって実行されるキー状
態（ＯＰ、ＩＭ、ＥＸ）の変換を示す図である。搬出及
び搬入チャネルは、暗号機構から搬入及び搬出されるキ
ーの１方向搬送路を表す。 第３５図は、ノードＡとＢのためにノードＣで実行され
るキー変換処理を示す図である。 第３６図は、ＡＮＳＩ　　Ｘ９．１７システム・４６一 ノードの図である。 第３７図は、ＡＮＳＩ　　Ｘ９．１７ノード内の構成要
素間の機能インターフェースを示す図である。 第３８図は、ＡＮＳＩ　　２地点間環境のシステム図で
ある。 第３９図は、ＡＮＳＩキー配布センタ（ＫＤＣ）環境の
システム図である。 第４０図は、ＡＮＳＩキー変換センタ（ＫＴＣ）環境の
システム図である。 第４１図は、ＤＥＳ暗号化の電子コード・ブック（ＥＣ
Ｂ）モードを示す図である。 第４２図は、ＤＥＳ暗号化の暗号ブロック連鎖（ＣＢＣ
）モードを示す図である。 第４３図は、ＤＥＳ非暗号化のＣＢＣモードを示す図で
ある。 第４４図は、メツセージ確認（ＭＡＣ）アルゴリズムを
示す図である。 ８２：ぽＣ：ｌｔ、ｉｌｋ。−陣、ケーラ、−ぐ１−ｚ
ζ８訃、、２）瞭、欠−シさ、傅、−□部傘舘 ＋□州ゼ 一２鄭珈 ＋ｚぽ。１、塁よ 一２皓督 一２澄ゆ舘 −２州努 Ｉ に ＫＭＬ　ＸＯＲＣＬＩ ＫＭＬ　ＸＯＲＣＬ＋ 第４４図 ＭＡＣ

Claims (2)

    【特許請求の範囲】
  1. （１）制御ベクトルに関連する暗号キーの管理のための
    暗号サービス要求を出力するプログラムを実行するデー
    タ処理システムにおいて、上記プログラムによって暗号
    キーについて要求されたキー管理機能が当該暗号キーの
    創作者によって許可されたことを認証する装置であって
    、 （ａ）上記暗号サービス要求、暗号キー及び関連する制
    御ベクトルを受け取るための入力経路と、これらに対す
    る応答を供給する出力経路が通る安全保護境界によって
    特徴付けられ、該安全保護境界内に、上記入力経路に接
    続された暗号命令記憶装置と、該暗号命令記憶装置に接
    続された制御ベクトル検査手段及び暗号処理手段と、該
    暗号処理手段に接続されたマスタキー記憶装置とを含み
    、上記暗号サービス要求の受取りに応答してキー管理機
    能のための安全保護区域を提供する暗号機構を有し、 上記暗号命令記憶装置は上記入力経路を介して上記暗号
    サービス要求を受け取って、暗号キーでキー管理機能を
    遂行し、 上記制御ベクトル検査手段は上記暗号キーに関連する制
    御ベクトルを受け取るため上記入力経路に接続された入
    力と、上記暗号命令記憶装置に接続された入力とを有し
    、上記暗号サービス要求によって要求されたキー管理機
    能を上記制御ベクトルが許可することの検査を開始する
    ための制御信号を受け取り、 上記制御ベクトル検査手段は上記キー管理機能が許可さ
    れたことを知らせるため上記暗号処理手段の入力に接続
    された許可出力を有し、 上記暗号処理手段による上記許可出力からの信号の受取
    りによって、要求されたキー管理機能を上記暗号キーで
    遂行することを開始するようにしたことを特徴とする認
    証装置。
  2. （２）制御ベクトルに関連する暗号キーの管理のための
    暗号サービス要求を出力するプログラムを実行するデー
    タ処理システムにおいて、上記プログラムによって暗号
    キーについて要求されたキー管理機能が当該暗号キーの
    創作者によって許可されたことを認証する方法であって
    、 （ａ）入力経路及び出力経路が通る安全保護境界によっ
    て特徴付けられた暗号機構において暗号キーについてキ
    ー管理機能を遂行するための暗号サービス要求を受け取
    るステップと、 （ｂ）上記暗号キーに関連する制御ベクトルを受け取っ
    て、上記暗号サービス要求によって要求されたキー管理
    機能を上記制御ベクトルが許可することを検査するステ
    ップと、 （ｃ）上記キー管理機能が許可されたことを知らせて、
    要求されたキー管理機能を上記暗号キーで遂行するステ
    ップと、 を有する認証方法。
JP1207112A 1988-08-11 1989-08-11 検証方法及び装置 Expired - Fee Related JPH0820848B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US231114 1988-08-11
US07/231,114 US4941176A (en) 1988-08-11 1988-08-11 Secure management of keys using control vectors

Publications (2)

Publication Number Publication Date
JPH0299984A true JPH0299984A (ja) 1990-04-11
JPH0820848B2 JPH0820848B2 (ja) 1996-03-04

Family

ID=22867787

Family Applications (1)

Application Number Title Priority Date Filing Date
JP1207112A Expired - Fee Related JPH0820848B2 (ja) 1988-08-11 1989-08-11 検証方法及び装置

Country Status (3)

Country Link
US (1) US4941176A (ja)
JP (1) JPH0820848B2 (ja)
CA (1) CA1317677C (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005311490A (ja) * 2004-04-19 2005-11-04 Sony Corp セキュア通信を行う通信システム及び方法

Families Citing this family (113)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4993069A (en) * 1989-11-29 1991-02-12 International Business Machines Corporation Secure key management using control vector translation
US5029206A (en) * 1989-12-27 1991-07-02 Motorola, Inc. Uniform interface for cryptographic services
US5007089A (en) * 1990-04-09 1991-04-09 International Business Machines Corporation Secure key management using programable control vector checking
US5010572A (en) * 1990-04-27 1991-04-23 Hughes Aircraft Company Distributed information system having automatic invocation of key management negotiations protocol and method
JP2689998B2 (ja) * 1990-08-22 1997-12-10 インターナショナル・ビジネス・マシーンズ・コーポレイション 暗号動作を行う装置
US5081677A (en) * 1990-08-31 1992-01-14 International Business Machines Corp. Crypotographic key version control facility
US5073934A (en) * 1990-10-24 1991-12-17 International Business Machines Corporation Method and apparatus for controlling the use of a public key, based on the level of import integrity for the key
DE69227051T2 (de) * 1991-02-27 1999-03-11 Canon K.K., Tokio/Tokyo Verfahren zur Entdeckung inkorrekter Überschreibung gespeicherter Daten
GB9104090D0 (en) * 1991-03-08 1991-04-17 Rolls Royce Plc Improvements in or relating to moulding compositions
US5148482A (en) * 1991-05-30 1992-09-15 Motorola, Inc. Layered session data unit frame
US5142578A (en) * 1991-08-22 1992-08-25 International Business Machines Corporation Hybrid public key algorithm/data encryption algorithm key distribution method based on control vectors
US5200999A (en) * 1991-09-27 1993-04-06 International Business Machines Corporation Public key cryptosystem key management based on control vectors
US5201000A (en) * 1991-09-27 1993-04-06 International Business Machines Corporation Method for generating public and private key pairs without using a passphrase
US5179591A (en) * 1991-10-16 1993-01-12 Motorola, Inc. Method for algorithm independent cryptographic key management
US5164988A (en) * 1991-10-31 1992-11-17 International Business Machines Corporation Method to establish and enforce a network cryptographic security policy in a public key cryptosystem
US5265164A (en) * 1991-10-31 1993-11-23 International Business Machines Corporation Cryptographic facility environment backup/restore and replication in a public key cryptosystem
US5231666A (en) * 1992-04-20 1993-07-27 International Business Machines Corporation Cryptographic method for updating financial records
GB9211648D0 (en) * 1992-06-02 1992-07-15 Racal Datacom Ltd Data communication system
GB9213169D0 (en) * 1992-06-22 1992-08-05 Ncr Int Inc Cryptographic key management apparatus and method
US5317638A (en) * 1992-07-17 1994-05-31 International Business Machines Corporation Performance enhancement for ANSI X3.92 data encryption algorithm standard
US5235642A (en) * 1992-07-21 1993-08-10 Digital Equipment Corporation Access control subsystem and method for distributed computer system using locally cached authentication credentials
US5323464A (en) * 1992-10-16 1994-06-21 International Business Machines Corporation Commercial data masking
US5465300A (en) * 1993-12-27 1995-11-07 Motorola, Inc. Secure communication setup method
US5386471A (en) * 1994-01-25 1995-01-31 Hughes Aircraft Company Method and apparatus for securely conveying network control data across a cryptographic boundary
JPH07271865A (ja) 1994-04-01 1995-10-20 Mitsubishi Corp データベース著作権管理方法
US7302415B1 (en) 1994-09-30 2007-11-27 Intarsia Llc Data copyright management system
DE69532434T2 (de) 1994-10-27 2004-11-11 Mitsubishi Corp. Gerät für Dateiurheberrechte-Verwaltungssystem
US6424715B1 (en) * 1994-10-27 2002-07-23 Mitsubishi Corporation Digital content management system and apparatus
GB9503738D0 (en) * 1995-02-24 1995-04-19 Int Computers Ltd Cryptographic key management
US5696823A (en) * 1995-03-31 1997-12-09 Lucent Technologies Inc. High-bandwidth encryption system with low-bandwidth cryptographic modules
EP0809904A1 (en) * 1995-05-30 1997-12-03 International Business Machines Corporation Apparatus for key management in a secure cryptographic facility
US5615266A (en) * 1995-07-13 1997-03-25 Motorola, Inc Secure communication setup method
US8595502B2 (en) 1995-09-29 2013-11-26 Intarsia Software Llc Data management system
US5720034A (en) * 1995-12-07 1998-02-17 Case; Jeffrey D. Method for secure key production
US5878143A (en) * 1996-08-16 1999-03-02 Net 1, Inc. Secure transmission of sensitive information over a public/insecure communications medium
DE69835924T2 (de) * 1997-01-17 2007-09-20 Ntt Data Corp. Verfahren und system zur schlüsselkontrolle bei elektronischer unterschrift
US7003480B2 (en) * 1997-02-27 2006-02-21 Microsoft Corporation GUMP: grand unified meta-protocol for simple standards-based electronic commerce transactions
US6101255A (en) * 1997-04-30 2000-08-08 Motorola, Inc. Programmable cryptographic processing system and method
US6351536B1 (en) * 1997-10-01 2002-02-26 Minoru Sasaki Encryption network system and method
US6246771B1 (en) * 1997-11-26 2001-06-12 V-One Corporation Session key recovery system and method
US6333983B1 (en) 1997-12-16 2001-12-25 International Business Machines Corporation Method and apparatus for performing strong encryption or decryption data using special encryption functions
US6308266B1 (en) * 1998-03-04 2001-10-23 Microsoft Corporation System and method for enabling different grades of cryptography strength in a product
US6532451B1 (en) * 1998-03-23 2003-03-11 Novell, Inc. Nested strong loader apparatus and method
US6317829B1 (en) * 1998-06-19 2001-11-13 Entrust Technologies Limited Public key cryptography based security system to facilitate secure roaming of users
US6535607B1 (en) * 1998-11-02 2003-03-18 International Business Machines Corporation Method and apparatus for providing interoperability between key recovery and non-key recovery systems
US6307955B1 (en) * 1998-12-18 2001-10-23 Topaz Systems, Inc. Electronic signature management system
US6975728B1 (en) * 1999-06-22 2005-12-13 Digital Video Express, L.P. Hierarchical key management
WO2001025880A2 (de) * 1999-10-07 2001-04-12 Deutsche Post Ag Verfahren zur erstellung und überprüfung fälschungssicherer dokumente
CA2331484C (en) * 1999-10-15 2004-12-07 Ascom Hasler Mailing Systems, Inc. Technique for effectively generating postage indicia using a postal security device
US7131006B1 (en) * 1999-11-15 2006-10-31 Verizon Laboratories Inc. Cryptographic techniques for a communications network
WO2001037477A1 (en) * 1999-11-15 2001-05-25 Verizon Laboratories Inc. Cryptographic techniques for a communications network
US7457414B1 (en) 2000-07-21 2008-11-25 The Directv Group, Inc. Super encrypted storage and retrieval of media programs with smartcard generated keys
US8140859B1 (en) * 2000-07-21 2012-03-20 The Directv Group, Inc. Secure storage and replay of media programs using a hard-paired receiver and storage device
GB2368950B (en) * 2000-11-09 2004-06-16 Ncr Int Inc Encrypting keypad module
US20020141593A1 (en) * 2000-12-11 2002-10-03 Kurn David Michael Multiple cryptographic key linking scheme on a computer system
US6642643B2 (en) * 2000-12-20 2003-11-04 Thomson Licensing S.A. Silicate materials for cathode-ray tube (CRT) applications
US7185205B2 (en) * 2001-03-26 2007-02-27 Galois Connections, Inc. Crypto-pointers for secure data storage
US7159114B1 (en) * 2001-04-23 2007-01-02 Diebold, Incorporated System and method of securely installing a terminal master key on an automated banking machine
US7110986B1 (en) 2001-04-23 2006-09-19 Diebold, Incorporated Automated banking machine system and method
FI112904B (fi) * 2001-06-29 2004-01-30 Nokia Corp Menetelmä suojata elektroninen laite ja elektroninen laite
JP3773431B2 (ja) * 2001-09-20 2006-05-10 松下電器産業株式会社 鍵実装システムおよびこれを実現するためのｌｓｉ、並びに鍵実装方法
US7409562B2 (en) * 2001-09-21 2008-08-05 The Directv Group, Inc. Method and apparatus for encrypting media programs for later purchase and viewing
US7007040B1 (en) 2001-12-04 2006-02-28 General Dynamics C4 Systems, Inc. Method and apparatus for storing and updating information in a multi-cast system
US7752459B2 (en) * 2001-12-06 2010-07-06 Novell, Inc. Pointguard: method and system for protecting programs against pointer corruption attacks
JP2003333024A (ja) * 2002-05-09 2003-11-21 Nec Corp 暗号化／復号化システム及びその暗号解読防止／改竄防止方法
US7392384B2 (en) * 2002-06-28 2008-06-24 Hewlett-Packard Development Company, L.P. Method and system for secure storage, transmission and control of cryptographic keys
US7660421B2 (en) * 2002-06-28 2010-02-09 Hewlett-Packard Development Company, L.P. Method and system for secure storage, transmission and control of cryptographic keys
TW576063B (en) * 2002-07-10 2004-02-11 Benq Corp Device and method for securing information associated with a subscriber in a communication apparatus
US7000829B1 (en) * 2002-07-16 2006-02-21 Diebold, Incorporated Automated banking machine key loading system and method
JP2004054834A (ja) 2002-07-24 2004-02-19 Matsushita Electric Ind Co Ltd プログラム開発方法、プログラム開発支援装置およびプログラム実装方法
US7274792B2 (en) * 2002-08-09 2007-09-25 Broadcom Corporation Methods and apparatus for initialization vector processing
US6931133B2 (en) * 2002-09-03 2005-08-16 Verisign, Inc. Method and system of securely escrowing private keys in a public key infrastructure
JP4099039B2 (ja) * 2002-11-15 2008-06-11 松下電器産業株式会社 プログラム更新方法
US8261063B2 (en) * 2003-02-03 2012-09-04 Hewlett-Packard Development Company, L.P. Method and apparatus for managing a hierarchy of nodes
US6996233B2 (en) * 2003-06-19 2006-02-07 International Business Machines Corporation System and method for encrypting and verifying messages using three-phase encryption
US8117273B1 (en) 2003-07-11 2012-02-14 Mcafee, Inc. System, device and method for dynamically securing instant messages
US7681046B1 (en) 2003-09-26 2010-03-16 Andrew Morgan System with secure cryptographic capabilities using a hardware specific digital secret
US7694151B1 (en) * 2003-11-20 2010-04-06 Johnson Richard C Architecture, system, and method for operating on encrypted and/or hidden information
US8139770B2 (en) * 2003-12-23 2012-03-20 Wells Fargo Bank, N.A. Cryptographic key backup and escrow system
CA2793810C (en) 2004-06-14 2014-01-07 Research In Motion Limited Method and system for securing data utilizing redundant secure key storage
US8024572B2 (en) * 2004-12-22 2011-09-20 Aol Inc. Data storage and removal
US7933840B2 (en) * 2004-12-30 2011-04-26 Topaz Systems, Inc. Electronic signature security system
US7813510B2 (en) * 2005-02-28 2010-10-12 Motorola, Inc Key management for group communications
US8291224B2 (en) 2005-03-30 2012-10-16 Wells Fargo Bank, N.A. Distributed cryptographic management for computer systems
US8295492B2 (en) 2005-06-27 2012-10-23 Wells Fargo Bank, N.A. Automated key management system
US9325944B2 (en) 2005-08-11 2016-04-26 The Directv Group, Inc. Secure delivery of program content via a removable storage medium
US8775319B2 (en) 2006-05-15 2014-07-08 The Directv Group, Inc. Secure content transfer systems and methods to operate the same
US8356178B2 (en) * 2006-11-13 2013-01-15 Seagate Technology Llc Method and apparatus for authenticated data storage
JP4930028B2 (ja) * 2006-12-13 2012-05-09 ソニー株式会社 情報処理装置、情報処理方法、プログラム
US20100027790A1 (en) * 2007-12-20 2010-02-04 Balaji Vembu Methods for authenticating a hardware device and providing a secure channel to deliver data
US9742560B2 (en) * 2009-06-11 2017-08-22 Microsoft Technology Licensing, Llc Key management in secure network enclaves
US8352741B2 (en) 2009-06-11 2013-01-08 Microsoft Corporation Discovery of secure network enclaves
US8447983B1 (en) 2011-02-01 2013-05-21 Target Brands, Inc. Token exchange
US9264230B2 (en) 2011-03-14 2016-02-16 International Business Machines Corporation Secure key management
US8619990B2 (en) 2011-04-27 2013-12-31 International Business Machines Corporation Secure key creation
US8634561B2 (en) * 2011-05-04 2014-01-21 International Business Machines Corporation Secure key management
US8755527B2 (en) 2011-05-04 2014-06-17 International Business Machines Corporation Key management policies for cryptographic keys
US8566913B2 (en) 2011-05-04 2013-10-22 International Business Machines Corporation Secure key management
US8789210B2 (en) 2011-05-04 2014-07-22 International Business Machines Corporation Key usage policies for cryptographic keys
KR20130003616A (ko) * 2011-06-30 2013-01-09 한국전자통신연구원 세션 키 및 클러스터 키 생성 방법 및 그 장치
US8918651B2 (en) * 2012-05-14 2014-12-23 International Business Machines Corporation Cryptographic erasure of selected encrypted data
US9954848B1 (en) 2014-04-04 2018-04-24 Wells Fargo Bank, N.A. Central cryptographic management for computer systems
US10185669B2 (en) 2014-08-04 2019-01-22 Oracle International Corporation Secure key derivation functions
US9830479B2 (en) 2014-09-16 2017-11-28 Nxp Usa, Inc. Key storage and revocation in a secure memory system
US20160321133A1 (en) * 2015-05-01 2016-11-03 Microsoft Technology Licensing, Llc Verifying accurate storage in a data storage system
US10644878B2 (en) * 2016-06-24 2020-05-05 NTT Research Key management system and method
JP7073348B2 (ja) 2016-09-19 2022-05-23 エヌ・ティ・ティ リサーチ インコーポレイテッド 脅威スコアリングシステム及び方法
US11757857B2 (en) 2017-01-23 2023-09-12 Ntt Research, Inc. Digital credential issuing system and method
US10615972B2 (en) * 2018-01-19 2020-04-07 Vmware, Inc. System and methods of managing shared keys in a computer cluster with high availability
KR102885076B1 (ko) * 2019-01-10 2025-11-13 삼성전자주식회사 전자 장치, 전자 장치 제어방법 및 네트워크 시스템
US12406185B1 (en) 2020-07-15 2025-09-02 Ntt Research, Inc. System and method for pruning neural networks at initialization using iteratively conserving synaptic flow
US12008150B2 (en) 2021-06-24 2024-06-11 International Business Machines Corporation Encrypted data processing design including cleartext register files
US11868275B2 (en) 2021-06-24 2024-01-09 International Business Machines Corporation Encrypted data processing design including local buffers

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US4227253A (en) * 1977-12-05 1980-10-07 International Business Machines Corporation Cryptographic communication security for multiple domain networks
US4218738A (en) * 1978-05-05 1980-08-19 International Business Machines Corporation Method for authenticating the identity of a user of an information system
US4223403A (en) * 1978-06-30 1980-09-16 International Business Machines Corporation Cryptographic architecture for use with a high security personal identification system
US4386233A (en) * 1980-09-29 1983-05-31 Smid Miles E Crytographic key notarization methods and apparatus
US4578530A (en) * 1981-06-26 1986-03-25 Visa U.S.A., Inc. End-to-end encryption system and method of operation
US4503287A (en) * 1981-11-23 1985-03-05 Analytics, Inc. Two-tiered communication security employing asymmetric session keys
US4500750A (en) * 1981-12-30 1985-02-19 International Business Machines Corporation Cryptographic application for interbank verification
US4723284A (en) * 1983-02-14 1988-02-02 Prime Computer, Inc. Authentication system
JPH0685517B2 (ja) * 1985-06-28 1994-10-26 ソニー株式会社 情報サ−ビスシステム
US4683968A (en) * 1985-09-03 1987-08-04 Burroughs Corporation System for preventing software piracy employing multi-encrypted keys and single decryption circuit modules
US4850017A (en) * 1987-05-29 1989-07-18 International Business Machines Corp. Controlled use of cryptographic keys via generating station established control values

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2005311490A (ja) * 2004-04-19 2005-11-04 Sony Corp セキュア通信を行う通信システム及び方法

Also Published As

Publication number Publication date
CA1317677C (en) 1993-05-11
JPH0820848B2 (ja) 1996-03-04
US4941176A (en) 1990-07-10

Similar Documents

Publication Publication Date Title
JPH0299984A (ja) 検証方法及び装置
US4918728A (en) Data cryptography operations using control vectors
EP0002390B1 (en) Method for cryptographic file security in multiple domain data processing systems
EP0354774B1 (en) Data cryptography using control vectors
US5265164A (en) Cryptographic facility environment backup/restore and replication in a public key cryptosystem
US4386233A (en) Crytographic key notarization methods and apparatus
EP0002580B1 (en) A process for the verification of cryptographic operational keys used in data communication networks
JP2552061B2 (ja) 公開キー暗号システムにおいてネットワーク安全保証ポリシーが狂わないようにする方法及び装置
US6049612A (en) File encryption method and system
US5745573A (en) System and method for controlling access to a user secret
US4924514A (en) Personal identification number processing using control vectors
US8135132B2 (en) Method and system for secure storage, transmission and control of cryptographic keys
Denning Cryptographic checksums for multilevel database security
EP0534419A2 (en) Public key cryptosystem key management based on control vectors
JPS6016670B2 (ja) 端末ユ−ザの身元を認証するためのシステム
CN106230872A (zh) 对移动中数据进行保护的系统和方法
CN103563325A (zh) 用于保护数据的系统和方法
JPH0669915A (ja) 暗号キー管理装置および管理方法
TWI517653B (zh) 電子裝置及密碼材料供應之方法
WO1998054633A1 (en) Method and apparatus for signing and sealing objects
EP0356065B1 (en) Secure management of keys using control vectors
EP0354771B1 (en) Personal identification number processing using control vectors
CA1322418C (en) Data cryptography operations using control vectors
JP4662799B2 (ja) 暗号化通信システム
JPH0816825B2 (ja) 暗号装置及び方法

Legal Events

Date Code Title Description
LAPS Cancellation because of no payment of annual fees