JPH1124558A

JPH1124558A - 暗号装置

Info

Publication number: JPH1124558A
Application number: JP9173671A
Authority: JP
Inventors: Masasuki Kanda; 雅透神田; Yoichi Takashima; 洋一高嶋; Katsuhiko Aoki; 克彦青木; Tsutomu Matsumoto; 勉松本
Original assignee: N T T ELECTRON KK; Nippon Telegraph and Telephone Corp
Current assignee: N T T ELECTRON KK; NTT Inc
Priority date: 1997-06-30
Filing date: 1997-06-30
Publication date: 1999-01-29

Abstract

(57)【要約】【課題】安全性を高める。【解決手段】従来のＤＥＳと同様に、入力データを２
つの部分データＲ，Ｌに分割し、その一方Ｒを非線形関
数手段３０４で鍵データで非線形変換し、その出力と、
他方Ｌの部分データとの排他的論理和をとり、その出力
と、部分データＲとの配列を変換して、Ｒ，Ｌとして同
様のことを繰返し、この発明では手段３０４として入力
データを鍵データで線形変換し（３４１）、その出力を
ｉｎ₀，ｉｎ₁にビット分割し、Ｓ−ｂｏｘの１つの素
子と同様の非線形手段の３つと３つの排他的論理和演算
とにより相互に非線形変換する複数の機能構造３４
３₀，３４３₁，…，３４３₇の１つを鍵データ５で選
択してこの選択したものにｉｎ₀，ｉｎ₁を入力し、そ
の出力ｏｕｔ₀，ｏｕｔ₁をビット結合して手段３０４
の出力とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、データの通信ま
たは蓄積において、データを秘匿するための暗号化装
置、特に、秘密鍵の制御のもとでデータをブロック単位
で暗号化または復号を行う共通鍵暗号方式による暗号化
装置に関するものである。

【０００２】

【従来の技術】データを秘匿するための暗号化装置に含
まれる代表的な共通鍵暗号方式には、米国連邦標準暗号
であるＤＥＳ（Data Encryption Standard）暗号があ
る。図６は、ＤＥＳ暗号の機能構成を示す。ＤＥＳ暗号
では、５６ビットの秘密鍵を用い、６４ビットのデータ
ブロック単位に暗号化または復号を行う。図６におい
て、暗号化処理は、平文Ｐの６４ビットを初期変転部１
１において初期転値で変換した後、３２ビットごとのブ
ロックデータＬ₀，Ｒ₀に分割される。次に、Ｒ₀は図
７に示す関数演算部１２への入力として用いられ、関数
演算部１２において４８ビットの拡大鍵ｋ₀の制御のも
とにｆ（Ｒ₀，ｋ₀）に変換される。この変換データｆ
（Ｒ₀，ｋ₀）とＬ₀との排他的論理和を回路１３でと
り、さらにその値とＲ₀とを入れ替えて、次のブロック
データＬ₁，Ｒ₁を生成する。すなわち、Ｒ₁＝Ｌ
₀（＋）ｆ（Ｒ₀，ｋ₀），Ｌ₁＝Ｒ₀である。このよ
うに二つのブロックデータＬ₀，Ｒ₀を入力として演算
部１２と排他的論理和回路１３とデータの入れ替えとに
よりＬ₁，Ｒ₁を出力する処理段１４₀が構成され、同
じような処理段１４₁〜１４₁₅が縦続的に設けられる。
つまり各処理段１４_i（０＜ｉ＜１６）では、Ｒ_i+1＝
Ｌ_i（＋）ｆ（Ｒ_i，ｋ_i），Ｌ_i+1＝Ｒ_iの処理が行
われ、最後にＲ₁₆，Ｌ₁₆を統合して６４ビットにした
後、最終転値部１５において最終転値で変換して暗号文
６４ビットを出力する。復号処理においては、関数ｆに
入力する拡大鍵ｋ₀，ｋ₁，…，ｋ₁₄，ｋ₁₅の順序だけ
を逆転させて、ｋ₁₅，ｋ₁₄，…，ｋ₁，ｋ₀の順に入力
するようにする点を除けば、暗号化処理と同じ手順で実
行できる。なお、拡大鍵ｋ₀，ｋ₁，…，ｋ₁₄，ｋ
₁₅は、暗号化処理とは別の拡大鍵生成ルーチン１６で５
６ビットの秘密鍵が４８ビットの拡大鍵１６個の計７６
８ビットに拡大されることによって生成される。

【０００３】さて、関数演算内部１２の処理は、図７に
示すように行われる。まず、３２ビットのブロックデー
タＲ_iは拡大転値部１７で４８ビットデータＥ（Ｒ_i）
に変換される。これに拡大鍵ｋ_iとで排他的論理和を回
路１８で取り、４８ビットデータＥ（Ｒ_i）（＋）ｋ_i
に変換した後、８個の６ビットごとのサブブロックデー
タに分割する。この８個のサブブロックデータはそれぞ
れ異なるＳ−ｂｏｘＳ ₀〜Ｓ₇に入力され、各々が４ビ
ットの出力を得る。なお、このＳ−ｂｏｘＳ_j（ｊ＝
０，１，…，７）は６ビットの入力データから４ビット
の出力データに変換する非線形変換テーブルであり、Ｄ
ＥＳ暗号の本質的な安全性を担っている部分である。Ｓ
−ｂｏｘＳ₀〜Ｓ₇の８つの出力データは、再び連結さ
れて３２ビットデータになった後、転置変換部１９を経
て、図６に示されるように、Ｌ_iと排他的論理和される
関数ｆの出力ｆ（Ｒ_i，ｋ_i）となる。

【０００４】次に、暗号解読法について述べる。ＤＥＳ
暗号を始めとする従来の共通鍵暗号方式についてはさま
ざまな方面から暗号解読が試みられており、そのなかで
も、極めて効果的な解読法であるのがＥ．Biham および
Ａ．Shamirによって提案された差分解読法（“Differen
tial Cryptanalysis of DES-like Cryptosystems. ”Pr
oceedings of CRYPTO'90）と松井によって提案された線
形解読法（“ＤＥＳ暗号の線形解読法（Ｉ），”１９９
３年暗号と情報セキュリティシンポジウムＳＣＩＳ９３
−３Ｃ）である。

【０００５】差分解読法は、２つのデータＸ，Ｘ^*の差
分をΔＸ＝Ｘ（＋）Ｘ^*としたとき、解読者が入手して
いる平文・暗号文の２組を以下の式に適用して、最終ラ
ウンドにおける拡大鍵ｋ₁₅を求めることを目的としてい
る。ｆ（Ｌ₁₆，ｋ₁₅)(+)ｆ((Ｌ₁₆(+) ΔＬ₁₆),ｋ₁₅）＝ΔＲ
₁₆(+) ΔＲ₁₄ このとき、Ｌ₁₆，ΔＬ₁₆，ΔＲ₁₆は暗号文から得られる
データであるので既知の情報である。このため、解読者
がΔＲ₁₄を正しく求めることができるならば、上式はｋ
₁₅のみが未知定数となり、既知の平文・暗号文の組を用
いてｋ₁₅に関する全数探索を行うことで、解読者は必ず
正しいｋ₁₅を見つけだすことができる。一方、ΔＲ₁₄に
ついてみてみると、この値は中間差分値であるため、一
般には求めることが困難である。そこで、１ラウンド目
から最終ラウンドの一つ前までのラウンド目までにおい
て、各ラウンドが確率ｐ_iでΔＲ_i+1＝ΔＬ_i（+)Δ
｛ｆ（ΔＲ_i）｝，ΔＬ_i+1＝ΔＲ_i+1のように近似さ
れるとおく。ここでのポイントは、あるΔＲ_iが入力さ
れたとき、拡大鍵ｋ_iの値に関わらず、確率ｐ_iでΔ
｛ｆ（ΔＲ_i）｝を予測できるということにある。この
ように近似できるのは、Δ｛ｆ（ΔＲ_i）｝に影響を与
えるのが非線形な変換であるＳ−ｂｏｘの部分だけであ
り、しかもＳ−ｂｏｘにおいて、入力差分によっては差
分出力の分布に極めて大きな偏りが生じるためである。
例えば、Ｓ１−ｂｏｘでは、入力差分「１１０１００」
のとき、１／４の確率で出力差分「００１０」に変換さ
れるためである。そこで、各々のＳ−ｂｏｘが確率ｐ_si
で入力差分と出力差分との関係が予測できるとおき、こ
れらを組み合わせることで各ラウンドの近似を求める。
さらに、各ラウンドでの近似を連結していくことで、Δ
Ｒ₁₄は確率Ｐ＝Πｐ_iでΔＬ ₀，ΔＲ₀（ΔＬ₀，ΔＲ
₀は平文から得られるデータであるので既知の情報であ
る）から求められることになる。なお、この確率Ｐが大
きいほど、暗号解読が容易である。このようにして、拡
大鍵ｋ₁₅が求められると、今度は１段少ない１５段ＤＥ
Ｓ暗号とみなして、同様の手法で、拡大鍵ｋ₁₄を求めて
いくということを繰り返して、最終的に拡大鍵ｋ₀まで
求めていく。

【０００６】Biham らによると、この解読法では、２⁴⁷
組の選択された既知平文・暗号文の組があればＤＥＳ暗
号を解読できるとしている。また、線形解読法は、以下
の線形近似式を構成し、解読者が入手している平文・暗
号文の組による最尤法を用いて拡大鍵を求めることを目
的としている。（Ｌ₀，Ｒ₀)・Γ（Ｌ₀，Ｒ₀)(+)(Ｌ₁₆, Ｒ₁₆）・Γ(
Ｌ₁₆, Ｒ₁₆）＝（ｋ₀，ｋ₁，…，ｋ₁₅）・Γ（ｋ₀，
ｋ₁，…，ｋ₁₅）ただし、Γ（Ｘ）はＸの特定のビット位置を選択するベ
クトルを表し、マスク値という線形近似式の役割は、暗号アルゴリズム内部を線形表現
で近似的に置き換え、平文・暗号文の組に関する部分と
拡大鍵に関する部分とに分離することにある。つまり、
平文・暗号文の組に関して、平文の特定のビット位置の
値と暗号文の特定のビット位置の値との全ての排他的論
理和が一定値となり、その値は拡大鍵の特定のビット位
置の値の排他的論理和に等しくなることを表している。
したがって、解読者は（Ｌ₀，Ｒ₀)・Γ（Ｌ₀，Ｒ₀)
(+)(Ｌ₁₆, Ｒ₁₆）・Γ( Ｌ₁₆, Ｒ₁₆）の情報から
（ｋ₀，ｋ₁，…，ｋ₁₅）・Γ（ｋ₀，ｋ₁，…，
ｋ₁₅）（１ビット）の情報が得られるということにな
る。このとき、（Ｌ₀，Ｒ₀)，（Ｌ₁₆，Ｒ ₁₆）はそれぞ
れ平文・暗号文のデータであるので既知の情報である。
このため、解読者がΓ（Ｌ₀，Ｒ₀)，Γ（Ｌ₁₆，
Ｒ₁₆），Γ（ｋ₀，ｋ₁，…，ｋ₁₅）を正しく求めるこ
とができるならば、（ｋ₀，ｋ₁，…，ｋ₁₅）・Γ（ｋ
₀，ｋ₁，…，ｋ₁₅）（１ビット）を求めることができ
る。

【０００７】ＤＥＳ暗号では、非線形な変換が起きる部
分はＳ−ｂｏｘしかないため、Ｓ−ｂｏｘについてのみ
線形表現ができれば、容易に線形近似式が構成できる。
そこで、各々のＳ−ｂｏｘが確率ｐ_siで線形表現できる
とおく。ここでのポイントは、Ｓ−ｂｏｘに対する入力
マスク値が与えられたとき、確率ｐ_siでその出力マスク
値を予測できるということにある。これは、非線形変換
テーブルであるＳ−ｂｏｘにおいて、入力マスク値によ
っては差分マスク値の分布に極めて大きな偏りが生じる
ためにおこる。例えば、Ｓ５−ｂｏｘでは、入力マスク
値「０１００００」のとき、３／１６の確率で出力マス
ク値「１１１１」が予測されるためである。これらＳ−
ｂｏｘにおけるマスク値を組み合わせることによって、
各ラウンドが確率ｐ_iで入力マスク値と出力マスク値の
あいだに線形近似することができ、各ラウンドでの線形
近似を連結していくことで、Γ（Ｌ₀，Ｒ₀)，Γ
（Ｌ₁₆，Ｒ₁₆），Γ（ｋ₀，ｋ₁，…，ｋ₁₅）は確率Ｐ
＝２^n-1・Π｜ｐ_i−1/2 ｜で求められることになる。
なお、この確率Ｐが大きいほど、暗号解読が容易であ
る。

【０００８】松井によると、この解読法で、２⁴³組の既
知平文・暗号文の組を用いて、ＤＥＳ暗号の解読に成功
している。

【０００９】

【発明が解決しようとする課題】この発明の目的は、差
分解読法および線形解読法に対し、従来よりも安全性が
高い暗号装置を提供することにある。

【００１０】

【課題を解決するための手段】この発明では、特に非線
形関数手段において、非線形関数手段の入力データに鍵
記憶手段に蓄積された鍵データに基づいて線形変換を行
う鍵依存線形変換手段と、その鍵依存線形手段の出力デ
ータを２個のビット列に分割する分割手段と、予め決め
られた複数の構造から、鍵記憶手段に蓄積された鍵デー
タに基づいて決定される１つの構造において２つのビッ
ト列間で非線形変換を行う非線形変換手段と、その非線
形変換手段からの２つの出力ビット列を結合してこの非
線形関数手段の出力データとする結合手段とを備えるこ
とを特徴とする。

【００１１】さらに安全性を向上させるためには、前記
非線形関数手段内の前記非線形変換手段として、前記非
線形関数手段と同様に鍵依存線形変換手段と分割手段と
非線形変換手段と結合手段とを備え、その非線形変換手
段に前記鍵記憶手段に蓄積されている鍵データが入力さ
れ、前記非線形関数手段と同様の動作を再帰的に実行す
る。作用この発明によれば、Ｓ−ｂｏｘにおける入力差分と出力
差分との関係が予期できる確率ｐ_siがｐ _si＜ｐ_b＜１で
あるとき、ｐ_bはｐ_si中の最大値であり、各ラウンドに
おける選択可能構造数をｍとすると、各ラウンドを近似
するときの確率はｐ _i＜ｐ_b ²／ｍ（ただし、差分解読
法の場合は関数ｆへの入力差分が０でないとき、線形解
読法の場合は関数ｆでの出力マスク値が０でないとき）
となることが保証される。また、関数ｆが全単射（入力
が異なれば出力も必ず異ったものとなる）であるとき、
３段以上のラウンド数がある暗号方式としての確率はＰ
＜ｐ_i ²＜ｐ_b ⁴／ｍ²となる。これは、従来の暗号方
式ではＰ＜ｐ_b ⁴であったのに対して、ｍ²倍だけ小さ
い値で上限を押さえられ、差分解読法および線形解読法
に対して少なくともｍ²倍安全な暗号装置を提供でき
る。

【００１２】

【発明の実施の形態】以下、この発明の一実施例を図面
を用いて説明する。図１は、この発明の一実施例を示す
暗号装置における、機能構成を示したものである。平文
に相当する入力データＰを入力手段３０１から暗号装置
内に入力する。入力データＰは、鍵記憶手段３２２に蓄
積されている鍵データｆｋによる鍵依存初期線形変換手
段３０２で変換された後、初期分割手段３０３で二つの
データＬ₀，Ｒ₀に分割される。この分割は例えば６４
ビットデータが３２ビットづつのデータＬ₀，Ｒ₀とビ
ット分割である。データＲ₀は、鍵記憶手段３２２に蓄
積されている鍵データｋ₀，ｓ₀とともに非線形関数手
段３０４に入力され、非線形関数手段３０４で変換処理
を行われてデータＹ₀に変換される。データＹ₀とデー
タＬ₀は線形演算手段３０５で演算され、データＬ₀ ^*
に変換される。データＬ₀ ^*とデータＲ₀は交換手段３
０６でデータ位置の交換が行われ、Ｌ₁＝Ｒ₀，Ｒ₁＝
Ｌ₀ ^*のように交換される。以下、二つのデータＬ₁，
Ｒ₁について上記と同様の処理を繰り返し行う。すなわ
ち、第ｉラウンドでは、二つのデータＬ _i，Ｒ_iについ
て、データＲ_iは、鍵記憶手段３２２に蓄積されている
鍵データｋ_i，ｓ_iとともに非線形関数手段３０４に入
力され、非線形関数手段３０４で変換処理を行われ、デ
ータＹ_iに変換される。データＹ_iとデータＬ_iは線形
演算手段３０５で演算され、データＬ_i ^*に変換され
る。データＬ_i ^*とデータＲ _iは交換手段３０６でデー
タ位置の交換が行われ、Ｌ_i+1＝Ｒ_i，Ｒ_i+1＝Ｌ_i ^*
のように交換される。線形演算手段３０５は例えば排他
的論理和演算手段である。

【００１３】暗号方式としての安全性を確保するための
適切な繰り返し回数（ラウンド数）をｎとすると、この
繰り返し処理の結果、最終的にデータＬ_n，Ｒ_nが得ら
れる。このデータＬ_n，Ｒ_nを最終結合手段３０７で結
合した後、つまり例えば各３２ビットのデータＬ_n，Ｒ
_nを６４ビットの１つのデータとし、この結合データを
鍵記憶手段３２２に蓄積されている鍵データｅｋによる
鍵依存最終線形変換手段３０８で変換し、出力手段３０
９から暗号文として出力データＣを出力する。

【００１４】復号については、暗号化処理手順と逆の手
順をたどることによって、暗号文Ｃから平文Ｐが得られ
る。つまりＤＥＳ暗号の場合と同様に、図１において、
入力データの代りに暗号データを入力し、鍵データを暗
号化の時とは逆に、図において上からｅｋ，ｋ_n-1，ｓ
_n-1，…，ｋ₁，ｓ₁，ｋ₀，ｓ₀，ｆｋを順次与えれ
ばよい。

【００１５】次に、非線形関数手段３０４の内部を詳細
に説明する。図２は、非線形関数手段３０４の内部の機
能構成を抜き出して示したものである。データＲ_iは、
鍵記憶手段３２２に蓄積されている鍵データｋ_i，ｓ_i
とともに非線形関数手段３０４への入力データとなる。
データＲ_iは、鍵データｋ_iによる鍵依存線形変換手段
３４１によりデータＲ_i ^*に線形変換される。次に、デ
ータＲ_i ^*は分割手段３４２において例えば３２ビット
のデータが２つの１６ビットづつのデータｉｎ₀，ｉｎ
₁にビット分割される。２つのデータｉｎ₀，ｉｎ
₁は、非線形変換手段３４３においてデータｏｕｔ₀，
ｏｕｔ₁に非線形変換された後、結合手段３４４におい
て２つの例えば１６ビットのデータｏｕｔ₀，ｏｕｔ₁
がビット結合されて非線形関数手段３０４からの３２ビ
ットの出力データＹ_iが生成される。

【００１６】ここで、非線形変換手段３４３は、差分解
読法および線形解読法に対して同じ安全性を有し、かつ
その内部には３つの非線形変換手段３５１，３５２，３
５３が含まれている機能構造が複数３４３₀，３４
３₁，…あり、その機能構造の１つが鍵データｓ_iによ
って選択される。非線形変換手段３５１，３５２，３５
３はそれぞれ、ＤＥＳ暗号のＳ−ｂｏｘの１つのボック
ス素子と同様に入力データごとに固有の出力データを出
力するものである。

【００１７】このような機能構造の例を図３、図４に示
す。図３Ａでは、データｉｎ₁が非線形変換手段３５１
で非線形変換され、その変形結果と、データｉｎ₀とが
回路３５４で排他的論理和演算がなされ、その演算結果
は非線形変換手段３５２で非線形変換され、その変換結
果とデータｉｎ₁とが回路３５５で排他的論理和演算が
なされ、その演算結果はデータｏｕｔ₁となると共に非
線形変換手段３５３で非線形変換され、その変換結果と
回路３５４の演算結果とが回路３５６で排他的論理和演
算がなされ、その演算結果がｏｕｔ₀となる。

【００１８】図３Ｂではデータｉｎ₀が非線形変換手段
３５１で変形されて回路３５４へ入力され、データｉｎ
₁と排他的論理和演算され、またデータｉｎ₁は非線形
変換手段３５２で変形された後回路３５５で回路３５４
の演算結果との排他的論理和演算がなされ、その演算結
果がデータｏｕｔ₁となり、また回路３５４の演算結果
が非線形変換手段３５３で変換され、その変換結果は回
路３５５の演算結果と回路３５６で排他的論理和演算が
なされてデータｏｕｔ₀となる。これらと、図４Ａ〜Ｆ
に示す構成より、３つの非線形変換手段３５１，３５
２，３５３と、３つの排他的論理和回路３５４，３５
５，３５６とを用い、データｉｎ₀，ｉｎ₁を、相互の
排他的論理和、非線形変換、非線形変換後の排他的論理
和、あるいは排他的論理和後の非線形変換を相互に行っ
てデータｏｕｔ₀，ｏｕｔ₁を得るものである。

【００１９】なお、鍵データｆｋ，ｋ₀，ｓ₀，…，ｋ
_n-1，ｓ_n-1，ｅｋは、鍵入力手段３２０から暗号装置
内に入力された鍵情報Ｋｅｙが鍵データ生成手段３２１
によって変換され、鍵記憶手段３２２に蓄積されたデー
タである。鍵データ生成手段３２１としては、例えばＤ
ＥＳ暗号装置に用いられている拡大鍵生成ルーチン１６
と同様のものを用いることができ、鍵データｓ₀，
ｓ₁，…はそれぞれ鍵データｋ₀，ｋ₁，…の予め決め
られた複数のビット位置のデータを用いたり、あるいは
非線形関数手段の鍵依存線形変換手段３４１へ供給する
鍵データｋ₀〜ｋ_n- ₁に必要とする分よりも１つ乃至複
数個多くの鍵データを作り、その余分のものをビット分
割して鍵データｓ₀，ｓ₁，…，ｓ_n-1に順次割当てて
もよい。

【００２０】上記のように構成された暗号装置において
は、例えば、非線形変換手段３５１〜３５３が差分解読
法および線形解読法に対して確率ｐ_b＝２^-12で近似表
現できるように設計され、かつ鍵データｓ_iで選択でき
る機能構造数がｍ＝２³であるならば、前記「課題を解
決すべき手段」の「作用」の項で示したことから各ラウ
ンドは確率ｐ _i＜２^-27で近似表現することができ、３
ラウンド以上の暗号装置全体としては、確率Ｐ＜２^-54
で近似表現できることになる。従来の暗号方式ではｍ＝
１であるので、この場合の確率はｐ _i＜２^-24，Ｐ＜２
^-48である。このことから、差分解読法および線形解読
法に対して少なくとも２⁶倍安全性が高い暗号装置であ
るといえる。

【００２１】なお、この発明はこの例に特定されるだけ
でなく、例えば図５に示すように、非線形変換手段３５
１〜３５３の内部にもそれぞれ非線形変換手段３０４と
同じ処理を行う手段を有し、非線形変換手段３５１〜３
５３のそれぞれについて鍵データｋ_i0，ｋ_i1，ｋ_i2，ｓ
_i0，ｓ_i1，ｓ_i2による非線形変換を行うことができるよ
うな構造とすることも可能である。この場合、非線形変
換手段３５１〜３５３それぞれについても鍵データで選
択できる機能構造数をｍ＝２³とするならば、各ラウン
ドで選択できる機能構造数はｍ＝２¹²となり、さらに安
全性の高い暗号装置を実現できる。

【００２２】鍵依存初期線形変換手段３０２、鍵依存最
終線形変換手段３０８は必ずしも設けなくてもよい。こ
れら鍵依存初期線形変換手段３０２、鍵依存最終線形変
換手段３０８、鍵依存線形変換手段３４１は例えば、入
力データを鍵データに応じたビット数だけ回転シフトす
る手段、あるいは入力データと鍵データとの排他的論理
和演算を行うなどの手段である。また鍵依存初期線形変
換手段３０２、鍵依存最終線形変換手段３０８はそれぞ
れ、又は一方は鍵に依存しない線形変換手段であっても
よい。この場合はいわゆる転置テーブル、又は固定ビッ
ト数だけ回転シフトするものなどが用いられる。

【００２３】

【発明の効果】以上、詳細に説明したように、この発明
によれば、データの通信または蓄積においてデータを秘
匿するための暗号装置において、同一繰返し数（ラウン
ド数）でも従来の暗号装置よりも、差分解読法および線
形解読法に対して安全性が高い暗号装置を提供すること
ができる。

【図面の簡単な説明】

【図１】この発明の実施例の機能構成を示すブロック
図。

【図２】図１の実施例における非線形関数手段３０４の
詳細機能構成例示すブロック図。

【図３】図２中の非線形変換手段３４３の各種構造の機
能構成の例を示す図。

【図４】図２中の非線形変換手段３４３の他の各種構造
の機能構成を示す図。

【図５】図１の実施例における非線形関数手段３０４の
代りの詳細機能構成例を示す図。

【図６】従来のＤＥＳ暗号装置の機能構成を示す図。

【図７】ＤＥＳ暗号の関数演算部１２の機能構成を示す
図。

フロントページの続き (72)発明者青木克彦東京都武蔵野市吉祥寺本町一丁目14番５号エヌ・ティ・ティ・エレクトロニクステクノロジー株式会社内 (72)発明者松本勉神奈川県相模原市上鶴間2603−１−210

Claims

【特許請求の範囲】

【請求項１】入力データを初期分割手段で二つの部分
データに分割し、これら部分データの一つに対し、非線
形関数手段で鍵記憶手段に蓄積された鍵データに依存し
たデータ変換処理を行い、その非線形関数手段の出力デ
ータを前記部分データの他方の一つに線形演算手段で作
用させ、その線形演算手段の出力データと前記非線形関
数手段の入力部分データとの配列順番を交換手段で交換
し、前記交換手段よりの二つの交換されたデータを二つ
の部分データとして前記非線形関数手段と前記線形演算
手段と前記交換手段とを繰返し手段で複数回繰返し、前
記繰返し手段の最終回の繰返しにおける前記交換手段よ
りの二つのデータを一つの出力データに最終結合手段で
結合して、その出力データを出力する暗号装置におい
て、前記非線形関数手段は、入力されたデータに前記鍵記憶
手段に蓄積された鍵データに基づいて線形変換を行う鍵
依存線形変換手段と、その鍵依存線形手段の出力データを２個のビット列に分
割する分割手段と、予め決められた複数の機能構造から、前記鍵記憶手段に
蓄積された鍵データに基づいて決定される一つの構造に
おいて前記２個のビット列間で非線形変換を行う非線形
変換手段と、その非線形変換手段よりの２個の出力ビット列を結合し
て前記非線形関数手段の出力データとする結合手段とを
備えることを特徴とする暗号装置。
【請求項２】請求項１に記載の暗号装置において、前記非線形関数手段内の前記非線形変換手段は、前記非線形関数手段と同様に、鍵依存線形変換手段と、
分割手段と、非線形変換手段と結合手段とを備え、前記
鍵記憶手段に蓄積されている鍵データが入力され、前記
非線形関数手段と同様の動作を再帰的に実行することを
特徴とする暗号装置。
【請求項３】請求項１または請求項２に記載の暗号装
置において、前記入力データに線形変換を行って前記初期分割手段へ
入力する初期線形変換手段を備えていることを特徴とす
る暗号装置。
【請求項４】請求項１から請求項３までのいずれかに
記載の暗号装置において、前記最終結合手段の出力データに線形変換を行い暗号装
置の出力データとする最終線形変換手段を備えることを
特徴とする暗号装置。
【請求項５】請求項３に記載の暗号装置において、前記初期線形変換手段は前記鍵記憶手段に蓄積された鍵
データに基づき線形変換を行う手段であることを特徴と
する暗号装置。
【請求項６】請求項４に記載の暗号装置において、前記最終線形変換手段は前記鍵記憶手段に蓄積された鍵
データに基づいて線形変換を行う手段であることを特徴
とする暗号装置。