JP2000066586A - データ処理装置及び通信システム並びに記録媒体 - Google Patents

Abstract

(57)【要約】 【課題】 秘密鍵暗号の装置規模を小さくすることを可
能とし、かつ鍵の安全性を高めることができ、さらには
鍵管理も容易なものとすることができる。 【解決手段】 暗号化用の鍵を用いて平文を暗号文に暗
号化し、及び又は、復号用の鍵を用いて暗号文を平文に
復号するデータ処理装置であって、鍵の何れか若しくは
その鍵変換結果に基づいて、鍵変換処理及び拡大鍵の出
力を行うインボリューションな複数の鍵変換関数ｆｋを
順次接続してなるとともに、鍵変換処理の結果を鍵変換
関数間で順次又は逆順に引き渡す鍵変換部２と、拡大鍵
を用いて暗号化処理及び又は復号処理を行うインボリュ
ーションな複数のラウンド関数を順次接続してなるとと
もに、ラウンド関数ｆｒでの処理結果をラウンド関数間
で順次又は逆順に引き渡す攪拌部１とを備えたデータ処
理装置。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明はデータ処理装置及
び通信システム並びに記録媒体に関する。

【０００２】

【従来の技術】近年の計算機・通信技術の発達により、
データ通信時に送信データを暗号化することが一般的に
なっている。この暗号化の方式には公開鍵方式と秘密鍵
方式とがあり、秘密鍵方式ではＤＥＳ方式が広く用いら
れている。

【０００３】図８はＤＥＳ方式を説明する図である。Ｄ
ＥＳ方式による暗号化では、図８（ａ）に示すように平
文に初期転置ＩＰを施したデータに対し、ラウンド関数
による処理を１６回施す。さらにラウンド関数処理され
たデータに初期転置の逆転置ＩＰ^-1を施すことで暗号文
を得ている。また、各ラウンド関数に対し、元の秘密鍵
から生成される拡大鍵を与えることでラウンド関数にお
ける処理が実行される。

【０００４】つまり、ＤＥＳ方式による暗号化装置は、
多数のラウンド関数によって暗号化対象となるデータを
攪拌する攪拌部と、攪拌部の各ラウンド関数に拡大鍵を
与える鍵変換部をその主要構成としている。

【０００５】一方、ＤＥＳ方式による復号は、図８
（ｂ）に示すように、暗号化時とは逆の順番で復号対象
のデータにラウンド関数の処理を施す。したがって、鍵
変換部からの拡大鍵も、暗号化時の最後のラウンド関数
で使用されたものから順番に生成する。

【０００６】このＤＥＳ方式における第１の利点は、暗
号化回路と復号回路のかなりの部分を共通化できるとこ
ろにある。つまり、図８（ａ）、図８（ｂ）に示すよう
に、攪拌部のラウンド関数は、暗号化時と復号時で使用
する順番が逆になるだけで同一のものを使用できる。

【０００７】ＤＥＳ方式の第２の利点は、同一の秘密鍵
で暗号化と復号の双方を行うため、管理対象となる鍵が
常に一つのみですむということである。ここで、ＤＥＳ
方式では、唯一の鍵でもって、拡大鍵を逆順に生成でき
るようにするため、鍵変換部２では次のような処理を行
っている。

【０００８】すなわち暗号化処理の場合には、秘密鍵を
左巡回シフト（左ローテート）することで各拡大鍵を作
成する。このシフト量の合計値を一定値に定めることで
拡大鍵の逆順生成を可能とする。すなわち復号時には秘
密鍵を逆に右巡回シフト（右ローテート）して各拡大鍵
を生成すればよい。これにより暗号化時の最後の拡大鍵
と復号時の最初の拡大鍵が同じものとなる。

【０００９】

【発明が解決しようとする課題】しかしながら、上記し
たＤＥＳ方式には、次のような問題がある。まず、鍵変
換部での処理は、暗号化時は左巡回シフト、復号時は右
巡回シフトと異なる処理を行っており、従って、暗号化
装置及び復号装置において、この鍵変換部では同一の回
路を使用できない。すなわち現実の装置として、データ
の暗号化又は復号を行う暗復号装置を作成する場合に
は、暗号化処理と復号処理とに共通して使用できる回路
部分が必ずしも十分に多くない。したがって、全体の回
路規模を十分に小さくすることができない。

【００１０】次に、ＤＥＳでは鍵変換部の処理は転置処
理のみで構成されるため、一般に弱鍵と呼ばれる安全性
の弱い暗号鍵が存在するという安全性の問題がある。ま
た、鍵変換部での処理は非線形でなく、ここで生成され
る拡大鍵の暗号強度への貢献はそれほど大きなものとは
いえない。ＤＥＳにおいて非線形な部分は、図８（ｃ）
に示すラウンド関数内の関数ｆにおけるＳボックスとい
われる部分のみである。

【００１１】したがって、鍵変換部から生成される拡大
鍵が暗号強度に十分に貢献する暗号化手法が要望されて
いる。一方、ＤＥＳのもつ弱鍵のような鍵変換部の弱点
を排除する試みとして、同変換部にハッシュ関数のよう
な一方向性の関数を用いるという試みがある。例えばＦ
ＥＡＬは一方向関数を使って鍵を変換することで攪拌部
が必要とする拡大鍵を計算している。

【００１２】ＦＥＡＬの方法は弱鍵が存在せずより安全
な方法であるが、鍵変換部に一方向関数を用いたのでは
ＤＥＳの場合のように逆順に拡大鍵を生成できない。そ
こで、この方法であっても復号を可能とするためには、
暗号化に用いるのと同一の鍵変換部を用いて秘密鍵から
一旦全ての拡大鍵を生成し、これをバッファに保存す
る。そして、バッファに格納された各拡大鍵を生成順と
逆順に取り出して復号処理を行うのである。

【００１３】しかしながら、このようにしたのではまず
拡大鍵の格納に関わるコスト、つまり鍵格納のために必
要なメモリ容量が増大するという問題がある。また、単
に必要メモリ量が増えるというだけでなく、一時的とは
いえ、多数の鍵を管理する必要が生じる。さらに、復号
化にあたって事前に行われる鍵拡大処理のため、復号処
理時間が長くなるという問題もある。

【００１４】以上のように従来の技術では、拡大鍵を逆
順に生成できるようにすると、秘密鍵暗号の装置規模を
十分に小さくできず、また安全性が低くなる。一方、安
全性を高めようとすると、拡大鍵を逆順に生成できなく
なりメモリ資源を要するばかりか、一時的には多数の鍵
を管理する必要が生じ、さらに処理時間が長くなるとい
う問題があった。

【００１５】本発明は、このような実情を考慮してなさ
れたもので、秘密鍵暗号の装置規模を小さくすることを
可能とし、かつ鍵の安全性を高めることができ、さらに
は鍵管理も容易なものとすることができるデータ処理装
置及び通信システム並びに記録媒体を提供することを目
的とする。

【００１６】

【課題を解決するための手段】本発明の骨子は、変換と
逆変換が同一となるインボリューション関数を鍵変換部
における拡大鍵の生成に用いるとともに、暗号化鍵を鍵
変換部で処理した結果を復号鍵とし、復号時には復号鍵
を基にしてインボリューション関数を逆順に使用するこ
とで、拡大鍵の逆順生成を可能とするところにある。

【００１７】本発明によれば、元の鍵をインボリューシ
ョン関数で変換していくということ以外に鍵変換部で使
用すべき関数に制約がなく、さらに暗号化鍵を復号鍵が
同一である必要もないため、鍵変換部に使用できる関数
の制約が極めて少ない。したがって、安全性の高い拡大
鍵を生成できるような関数を選択して鍵変換部を構成す
ることが可能である。さらに復号鍵から拡大鍵を逆順生
成できるため、暗号化処理と復号化処理で同一の鍵変換
部を用いることができ、装置の回路規模をより小さくす
ることができる。

【００１８】また発明者らが本発明に至ったのは、秘密
鍵暗号方式において、非対称な鍵を用いるという発想の
逆転を図ったところにある。そもそも暗号化アルゴリズ
ムは、暗号化と復号に同じ鍵を用いるか否かに応じて対
称鍵暗号と非対称鍵暗号に分類できる。また暗号鍵を公
開することで暗号を解読できるかどうかで秘密鍵暗号と
公開鍵暗号に分類できる。

【００１９】この２つの分類組み合わせのうち、従来は
対称鍵秘密鍵暗号と非対称鍵公開鍵暗号の２通りのみが
知られていた。対称な公開鍵暗号は原理的に不可能であ
るが、非対称な秘密鍵暗号は原理的には可能である。し
かしながら、非対称な秘密鍵暗号にしたのでは、一つの
暗復号処理のために複数の秘密鍵を管理する必要がある
ため、対管理コスト等の面から不利である。また、いか
にして非対称な秘密鍵暗号を実現させるかいう問題もあ
る。したがって、従来技術ではこのような方式は採用さ
れていなかった。

【００２０】これに対し本発明では、非対称であっても
一つの秘密鍵（暗号化鍵若しくは復号鍵）を所持してい
れば暗号化復号ともに可能とし、これにより複数秘密鍵
管理の問題を回避して現実的な非対称秘密鍵暗号を実現
したのである。これは、暗号化鍵で暗号化された暗号文
は復号鍵により復号でき、復号鍵で暗号化された暗号文
は暗号化鍵により復号できることによっている。

【００２１】すなわち一方が暗号化鍵のみを所持し、他
方が当該暗号化鍵を鍵変換部で変換して出力された復号
鍵のみを所持している場合には、次のようになる。ま
ず、一方が自己の暗号化鍵で平文から暗号化した暗号文
は、他方の復号鍵で逆順処理することで平文に戻すこと
ができる。次に、他方の復号鍵で暗号化した暗号文は、
一方の暗号化鍵で逆順処理すれば平文に復号できるので
ある。

【００２２】次に、本発明の具体的な実現手段について
説明する。まず、請求項１に対応する発明は、暗号化用
の鍵を用いて平文を暗号文に暗号化し、及び又は、復号
用の鍵を用いて暗号文を平文に復号するデータ処理装置
であって、鍵の何れか若しくはその鍵変換結果に基づい
て、鍵変換処理及び拡大鍵の出力を行うインボリューシ
ョンな複数の鍵変換関数を順次接続してなるとともに、
鍵変換処理の結果を鍵変換関数間で順次又は逆順に引き
渡す鍵変換部と、拡大鍵を用いて暗号化処理及び又は復
号処理を行うインボリューションな複数のラウンド関数
を順次接続してなるとともに、ラウンド関数での処理結
果をラウンド関数間で順次又は逆順に引き渡す攪拌部と
を備えたデータ処理装置である。

【００２３】このデータ処理装置は、暗号化装置にも復
号装置にも使用できるメインの処理回路となる。すなわ
ち鍵及びデータを順次処理すれば、データ暗号化が実現
でき、鍵及びデータを逆順処理すれば、データ復号が実
現できる。このような処理が可能なのは、上述したよう
に、鍵変換関数及びラウンド関数がインボリューション
であることによっている。

【００２４】したがって、本発明を暗復号装置に利用す
れば、装置規模の小さいコンパクトな暗復号装置を実現
することができる。次に、請求項２に対応する発明は、
請求項１に対応する発明において、鍵変換関数は、第１
の鍵又はその鍵変換結果を鍵変換処理の対象とするとと
もに、第２の鍵を用いて前記鍵変換処理を行うデータ処
理装置である。

【００２５】本発明によれば、鍵変換部の処理が攪拌部
と同様な処理構成となり、弱鍵等となる可能性が極めて
低い拡大鍵を出力することができる。したがって、暗号
強度を高いものとすることができる。

【００２６】次に、請求項３に対応する発明は、請求項
２に対応する発明において、第２の鍵は、暗号化用の
鍵、及び又は、復号用の鍵に含まれるデータ処理装置で
ある。次に、請求項４に対応する発明は、請求項３に対
応する発明において、第２の鍵には複数の種類が設けら
れ、暗号化用の鍵、及び又は、復号用の鍵は、当該複数
種類の第２の鍵を含むことを可能として可変長の鍵とし
たデータ処理装置である。

【００２７】次に、請求項５に対応する発明は、請求項
１〜４に対応する発明において、鍵変換関数は、攪拌部
と同一のラウンド関数を含むデータ処理装置である。し
たがって、鍵変換関数に例えば非線形処理を行う関数を
用いれば、暗号強度を高いものとすることができる。

【００２８】次に、請求項６に対応する発明は、請求項
１乃至５のうち、何れか一項記載のデータ処理装置を備
えるとともに、暗号化用の鍵でありかつ復号用の鍵であ
る一の鍵を保持する一の通信装置と、請求項１乃至５の
うち、何れか一項記載のデータ処理装置を備えるととも
に、一の鍵を鍵変換部で鍵変換処理した結果である他の
鍵を暗号化用の鍵でありかつ復号用の鍵として保持する
他の通信装置とを備えた通信システムである。

【００２９】本発明によれば、各通信装置は、１個の鍵
を保持すれば、暗号化処理、復号処理の何れも行うこと
ができる。なお、ここで、各通信装置が保持する秘密鍵
は必ずしも同一のものとはならない。すなわちこの通信
は非対称な秘密鍵暗号となる。

【００３０】次に、請求項７〜９に対応する発明は、そ
れぞれ請求項１，２又は５に対応する発明をコンピュー
タに実現させるプログラムを記録した記録媒体である。
この請求項７〜９の何れかの発明に対応する記録媒体か
ら読み出されたプログラムにより制御されるコンピュー
タは、それぞれ請求項請求項１，２又は５のデータ処理
装置として機能する。

【００３１】

【発明の実施の形態】以下、本発明の実施の形態につい
て説明する。 （発明の第１の実施の形態）図１は本発明の第１の実施
の形態に係るデータ処理装置における主要構成部の一例
並びに暗号化アルゴリズムを示す図である。

【００３２】このデータ処理装置は、パーソナルコンピ
ュータやワークステーション等の計算機の暗復号処理部
として構成されており、以下、各実施形態においてデー
タ処理装置というときは、暗号化処理と復号処理を行う
暗復号装置を意味している。

【００３３】この暗復号装置は、攪拌部１と鍵変換部２
を主要構成とする。これらの部分１，２は暗号化と復号
の双方に共通して用いられる。また、特に図示しない
が、攪拌部１と鍵変換部２の前後に転置処理等を設ける
ようにしてもよい。

【００３４】攪拌部１は、それぞれラウンドＲ１からラ
ウンドＲｎまでｎラウンドの処理により平文３の暗号化
を行って暗号文４を出力し、ラウンドＲｎからラウンド
Ｒ１までの処理により暗号文４の復号を行って平文３を
出力する。攪拌部１には、各ラウンドＲ１〜Ｒｎに対応
して、ラウンド関数ｆｒ１〜ｆｒｎ（単にラウンド関数
ｆｒとも呼ぶ）が設けられている。

【００３５】ラウンド関数ｆｒは、平文３若しくは中間
的な暗号化結果７と鍵変換部２からの拡大鍵Ｋとを入力
し、中間的な暗号化結果７若しくは暗号文４を出力する
関数である。このラウンド関数ｆｒ１〜ｆｒｎは、例え
ばＤＥＳ方式におけるラウンド関数と同様なものが用い
られ、順にカスケード接続されている。

【００３６】一方、鍵変換部２には、各ラウンドＲ１〜
Ｒｎに対応して、鍵変換関数ｆｋ１〜ｆｋｎ（単に鍵変
換関数ｆｋともいう）が設けられている。鍵変換関数ｆ
ｋは、暗号化鍵５若しくは中間的な鍵変換結果８を入力
し、中間的な鍵変換結果８若しくは復号鍵６及び拡大鍵
Ｋを出力する。すなわち鍵変換関数ｆｋ１〜ｆｋｎは、
攪拌部１のラウンド関数ｆｒ１〜ｆｒｎに対し、それぞ
れ拡大鍵Ｋ１〜Ｋｎを与える。

【００３７】鍵変換関数ｆｋ１〜ｆｋｎは、順にカスケ
ード接続されている。したがって、鍵変換部２の第１ラ
ウンドＲ１側から入力された暗号鍵５は最終ラウンドＲ
ｎ側から復号鍵６として出力される。この復号鍵６及び
上記暗号文４を最終ラウンドＲｎ側から入力すれば、第
１ラウンドＲ１側から暗号化鍵５及び平文３が出力され
る。この様子を図２に示す。

【００３８】図２は本実施形態に係るデータ処理装置に
おける主要構成部の一例並びに復号アルゴリズムを示す
図である。なお、本明細書では、最初の平文３の暗号化
に使用する鍵を暗号化鍵５と呼び、その最初の暗号化の
結果に出力された鍵を復号鍵６と呼んでいる。しかし、
本発明では、暗号化鍵５及び復号鍵６という呼称に関係
なく、第１ラウンドＲ１側から鍵が入力された場合にそ
の鍵は平文暗号化用の鍵として機能し、最終ラウンドＲ
ｎ側から鍵が入力された場合にその鍵は暗号文復号用の
鍵として機能する。

【００３９】したがって、例えば復号鍵６を第１ラウン
ドＲ１側から入力すれば当該復号鍵６は平文暗号化用の
鍵として機能し、暗号化鍵５を最終ラウンドＲｎ側から
入力すれば当該暗号化鍵５は暗号文復号用の鍵として機
能する。なお、暗号化鍵５及び復号鍵６はあくまでペア
であり、上記場合では、それぞれ最終ラウンドＲｎ側及
び第１ラウンドＲ１側から暗号化鍵５及び復号鍵６が出
力される。したがって、対となる暗号化鍵若しくは復号
鍵によってのみ、その暗号文の復号が可能である。以下
の説明では、便宜上、第１ラウンドＲ１側から入力する
鍵のことを単に暗号化鍵５、最終ラウンドＲｎ側から入
力する鍵のことを単に復号鍵６と呼ぶ場合もある。

【００４０】暗号化鍵５及び復号鍵６がこのような関係
となるのは、鍵変換部２に設けられる鍵変換関数ｆｋの
性質によるものである。この内容について説明する。す
なわち各鍵変換関数ｆｋは、インボリューション関数で
構成されている。インボリューション関数とは、双方向
関数の一種であり、変換と逆変換が同一である関数のこ
とである。各鍵変換関数ｆｋにおいて変換と逆変換が同
一であるがゆえに、上記暗号化鍵５と復号鍵６との関係
が実現されるのである。なお、双方向関数は、全射でか
つ単射となる写像間の変換に用いられる関数である。

【００４１】インボリューション関数は、暗号化変換と
復号変換で回路を共通化することが可能となるので暗号
化アルゴリズムでよく用いられている。本発明において
はラウンド関数ｆｒのみならず、鍵変換関数ｆｋもイン
ボリューションとしていることが特徴である。

【００４２】また、インボリューション関数には種々の
ものがあるが、鍵変換関数ｆｋに用いられるものとして
は、ＤＥＳのラウンド関数内の非線形関数ｆ（Ｒ，Ｋ）
のように、ビット攪拌能力が高いものが望ましい。

【００４３】次に、以上のように構成された本実施形態
におけるデータ処理装置の動作について説明する。ま
ず、暗号化時には、図１に示すように、入力された暗号
化鍵５は１ラウンドづつ鍵変換関数ｆｋにより拡大鍵Ｋ
と中間的な鍵変換結果９に変換され、最終的に復号鍵６
に変換される。

【００４４】このとき、平文３は、鍵変換部２の出力で
ある拡大鍵Ｋを用いるラウンド関数ｆｒにより攪拌部１
において１ラウンドづつ変換され、中間的な暗号化結果
７を経て最終的に暗号文４に変換される。

【００４５】一方、復号時には、図２に示すように、暗
号文４を入力した攪拌部１において暗号化時とは逆順に
復号処理が行われ、中間的な復号結果９が出力されつ
つ、最終的には平文３が出力される。また、鍵変換部２
においても同様に、復号鍵６が入力され、暗号化時とは
逆順に鍵変換処理が行われ暗号鍵５が出力される。すな
わち図１で見れば、暗号化時と比べて入出力が上下で逆
転する。図２は、処理の関係を上下逆にして示しただけ
であり、攪拌部１及び鍵変換部２は図１に示すものと同
一の回路が使用されている。

【００４６】上述したように、本発明の実施の形態に係
るデータ処理装置は、全単射な写像である鍵変換関数ｆ
ｋをカスケードに接続した鍵変換部２を設けて、入力し
た鍵から各拡大鍵Ｋを出力し、またラウンド関数ｆｒを
カスケードに接続した攪拌部１を設け、これに平文若し
くは暗号文及び拡大鍵Ｋを入力して暗号文若しくは平文
を出力するようにしたので、必ずしも同一でない暗号鍵
と復号鍵を使用した暗号化及び復号を実現し、これによ
り暗復号のための回路として同一の攪拌部１及び鍵変換
部２を用いることができる。

【００４７】したがって、暗号化装置と復号装置の主要
部分を完全に共通化させることができ、装置規模を小さ
くすることができる。なお、従来の秘密鍵暗号化アルゴ
リズムでは暗号化鍵と復号鍵が同一であり、本発明のよ
うに鍵変換部の出力結果が暗号化鍵と異なる復号鍵であ
るといったことはないが、暗号化鍵と復号鍵が必ずしも
一致しないことということはない。

【００４８】また、鍵変換関数ｆｋとしては、インボリ
ューション関数でさえあれば、種々の関数を選択するこ
とができるので、例えば非線形なデータ攪拌能力が高い
関数を使用すれば、暗号化強度を高めることができ、よ
り一層安全性の高いものとすることができる。 （発明の第２の実施の形態）本実施形態は、第１の実施
形態における鍵変換部及び使用する鍵の具体的な構成例
を示すものである。

【００４９】図３は本発明の第２の実施の形態に係るデ
ータ処理装置における鍵変換部の構成例を示すブロック
図であり、図１又は図２と同一部分には同一符号を付し
て説明を省略し、ここでは異なる部分についてのみ述べ
る。

【００５０】このデータ処理装置は、鍵変換部２におい
て鍵変換関数ｆｋにパラメータＰ１，Ｐ２及びＰ３の何
れかが入力され、このパラメータを用いて拡大鍵Ｋを生
成するようになっている他、第１の実施形態と同様に構
成されている。

【００５１】本実施形態では、鍵５，６が可変長であ
り、データ部１１，１３とパラメータ部１２，１４から
構成されている。暗号化鍵５のデータ部１１は変換され
る対象データＤからなり、パラメータ部１２は変換パラ
メータＰ１，Ｐ２及びＰ３からなっている。すなわち本
実施形態の鍵５，６は、データ部とパラメータ部のそれ
ぞれを鍵と考えれば、２つの鍵からなっているといえ
る。また、パラメータ部には複数のパラメータが格納で
きるので、さらに多数の鍵からなるものであるともいえ
る。

【００５２】一方、復号鍵６のデータ部１３は変換後の
データＤ′からなり、パラメータ部１２は変換パラメー
タＰ１′，Ｐ２′及びＰ３′からなっている。なお、図
３では理解のしやすさのために、データＤとパラメータ
Ｐ１，Ｐ２及びＰ３とを順に分けて示しているが、ビッ
ト順番を入れ替えたものを使用してもよい。この鍵はパ
ラメータ部１１が複数の変換パラメータを持つことで、
可変長の鍵を実現する。パラメータ数は同図に示すよう
に三つに限らず、さらに多数でもよい。

【００５３】鍵変換関数ｆｋは、暗号化鍵５のデータＤ
若しくは中間的な鍵変換の結果８および何れかのパラメ
ータＰ１，Ｐ２又はＰ３を入力し、中間的な鍵変換の結
果８若しくは復号鍵６のデータＤ′及び拡大鍵Ｋを出力
する。つまり、本実施形態の鍵変換部２及び鍵変換関数
ｆｋは、データＤ（若しくは中間的な鍵変換結果８）と
パラメータＰの二つの鍵を入力できるようなっていると
もいえる。

【００５４】次に、以上のように構成された本実施形態
におけるデータ処理装置の動作について説明する。ま
ず、拡大鍵Ｋによる全体的な暗号化、復号の手順は第１
の実施形態と同様である。

【００５５】鍵変換部２における処理は次のようにな
る。まず、入力された暗号化鍵５のデータＤは、変換パ
ラメータＰ１，Ｐ２又はＰ３の何れかが入力された鍵変
換関数ｆｋの処理により、各ラウンドＲにおける拡大鍵
Ｋを出力しながら、１ラウンドづつ変換される。各ラウ
ンドの変換を経て最終的には、復号鍵６のデータＤ′に
変換され出力される。

【００５６】複数の変換パラメータはラウンド毎に順次
適用する。ラウンド数の方が大きい場合は、繰り返して
適用する。この繰り返し適用は本実施形態ではサイクリ
ックなものとしたが、その他の適用規則を設けてもよ
い。

【００５７】なお、復号鍵６のパラメータ部１４には、
暗号化鍵５のパラメータをそのまま格納してもよく、ま
た、これに所定の処理を施したものを格納してもよい。
上述したように、本発明の実施の形態に係るデータ処理
装置は、第１の実施形態と同様な構成を設けた他、暗号
化鍵５及び復号鍵６に鍵本体であるデータＤ，Ｄ′とい
わば第２の鍵であるパラメータＰ，Ｐ′を含ませ、鍵変
換関数にデータＤ（若しくは中間的な鍵変換結果８）と
パラメータＰの２種類の鍵を入力するようにしたので、
第１の実施形態と同様な効果が得られる他、解読困難な
拡大鍵Ｋを生成することができ、暗号の安全性を一層高
めることができる。

【００５８】また、本実施形態のデータ処理装置では、
例えばパラメータ数を変更することで、鍵の長さを可変
としたので、これによっても暗号の安全性を高めること
ができる。 （発明の第３の実施の形態）本実施形態は、第２の実施
形態における鍵変換部の具体的な構成例を示すものであ
る。

【００５９】図４は本発明の第３の実施の形態に係るデ
ータ処理装置における鍵変換関数の構成例を示すブロッ
ク図であり、図１〜図３と同一部分には同一符号を付し
て説明を省略し、ここでは異なる部分についてのみ述べ
る。

【００６０】このデータ処理装置は、鍵変換関数ｆｋが
以下に説明するように構成される他、第２の実施形態と
同様に構成されている。暗号化鍵５は、第２の実施形態
と同様に、変換される対象のデータＤと変換パラメータ
Ｐを含んでいる。

【００６１】鍵変換関数ｆｋは、入力されたデータＤ若
しくは中間的な鍵変換結果８を変換して拡大鍵Ｋを出力
する変換関数２１と、インボリューション関数でありか
つデータ攪拌能力が高いラウンド関数２２とを備えてい
る。

【００６２】ラウンド関数２２は、攪拌部１と同じラウ
ンド関数が用いられる。このラウンド関数２２には、デ
ータＤ若しくは中間的な鍵変換結果８と変換パラメータ
Ｐとが入力され、データＤ等にデータ変換を施して、中
間的な鍵変換結果８若しくは最終的な変換データＤ′を
出力する。ここで、攪拌部１のラウンド関数ｆｒにおけ
る拡大鍵Ｋの入力がパラメータＰの入力に相当する。

【００６３】ラウンド関数２２の出力結果８は、次ラウ
ンドの鍵変換関数ｆｋに対する入力であり、また、拡大
鍵Ｋは前ラウンドにおけるラウンド関数２２のデータ入
力に変換関数２１による処理を施したものとなる。

【００６４】変換関数２１では例えばビットの並び替え
等の処理を行う。なお、この変換関数２１は省略するこ
ともできる。ここで、拡大鍵Ｋはラウンド関数２２の出
力側の信号を元に作成しない方が有利である点に留意す
る。少なくとも本実施形態では必ずラウンド関数２２の
入力側の信号を元に拡大鍵Ｋを作成する。

【００６５】これは、鍵へ変換関数２１の１段目の出力
がデータＤとパラメータＰに依存しているが、ラウンド
関数２２の出力側の信号を利用した場合、同じ出力を与
えるデータＤとパラメータＰの他の値が存在することが
数学的に証明できるからである。この事実は、暗号アル
ゴリズムの安全性に悪影響を与える。すなわち入力側信
号を用いた場合、鍵のデータＤと、パラメータＰの一番
最初のものの二つを正しい鍵以外から選べることになる
ので鍵の探索が容易になり、安全性が低くなる。

【００６６】次に、このように構成された本実施形態に
おけるデータ処理装置の動作について説明する。まず、
鍵変換関数ｆｋへの入力データには変換関数２１による
処理が施されて、拡大鍵として出力される。一方、同入
力データがラウンド関数２２によりデータ攪拌されて次
の鍵変換関数ｆｋへ出力される。

【００６７】以上の鍵変換関数内における処理を除け
ば、本実施形態のデータ処理装置は第２の実施形態と同
様に動作する。上述したように、本発明の実施の形態に
係るデータ処理装置は、第２の実施形態と同様な構成を
設けた他、鍵変換関数ｆｋに攪拌部１と同じラウンド関
数２２を用いるようにしたので、上記実施形態と同様な
効果が得られる他、鍵についてのデータ攪拌を強くして
暗号の安全性を高めることができる。

【００６８】また、鍵変換関数ｆｋにおいて、ラウンド
関数２２への入力側のデータに基づいて拡大鍵Ｋを作成
するようにしたので、同一の拡大鍵Ｋが生じることがな
く暗号強度の高い暗号化を実現することができる。

【００６９】なお、本実施形態の変形例として、最終ラ
ウンドの鍵変換関数ｆｋにおけるラウンド関数２２を省
略することが可能である。本実施形態では、ラウンド関
数２２へ入力前のデータに基づき拡大鍵Ｋを作成するか
らである。この場合には、最終段の出力である復号鍵は
ラウンド関数を適用しないで出力するので、計算時間が
節約できるという利点がある。 （発明の第４の実施の形態）本実施形態は、第１の実施
形態における鍵変換部の他の構成例を示すものである。

【００７０】図５は本発明の第４の実施の形態に係るデ
ータ処理装置における鍵変換関数の構成例を示すブロッ
ク図であり、図１〜図３と同一部分には同一符号を付し
て説明を省略し、ここでは異なる部分についてのみ述べ
る。

【００７１】このデータ処理装置は、鍵変換関数ｆｋが
以下に説明するように構成される他、第１の実施形態と
同様に構成されている。この鍵変換関数ｆｋは、暗号化
鍵５若しくは中間的な鍵変換結果８である入力データを
変換して拡大鍵Ｋを出力する変換関数３１と、同入力デ
ータを変換して中間的な鍵変換結果８若しくは復号鍵６
を出力する鍵変換部分から構成される。この鍵変換部分
は、選択回路３２と、複数の変換関数３３（＃１，＃
２，．．，＃ｍ）と、ＯＲゲート３４とから構成されて
いる。

【００７２】選択回路３２は、選択信号に基づき、入力
データを変換する変換関数３３を選択し、選択した変換
関数に入力データを引き渡す。変換関数３３は、インボ
リューション関数であり、入力データを攪拌する。この
関数３３には、攪拌部１のラウンド関数で用いられるよ
うな攪拌能力の高いものを使用する。

【００７３】ＯＲゲート３４は、変換関数３３から出力
された変換後のデータを外部に出力する。次に、以上の
ように構成された本実施形態におけるデータ処理装置の
動作について説明する。

【００７４】まず、鍵変換関数ｆｋに入力されたデータ
は変換関数３１により変換されて、拡大鍵Ｋとして出力
される。一方、この入力データは選択回路３２に与えら
れた選択信号に基づき、複数の変換関数３３の何れかに
入力される。

【００７５】次に、選択された変換関数３３により、入
力データが変換される。この変換関数３３により変換さ
れたデータは、ＯＲゲート３４により１つの信号にまと
められ出力される。この出力データは次ラウンドの鍵変
換関数ｆｋに入力されるか、復号鍵として出力される。

【００７６】以上の鍵変換関数内における処理を除け
ば、本実施形態のデータ処理装置は第１の実施形態と同
様に動作する。上述したように、本発明の実施の形態に
係るデータ処理装置は、第１の実施形態と同様な構成を
設けた他、鍵変換関数ｆｋに複数の変換関数３３を設
け、その何れかを選択して暗号化鍵を変換していくよう
にしたので、第１の実施形態と同様な効果が得られる
他、鍵変換結果を予想しにくいものとすることができ、
暗号の安全性を高めることができる。 （発明の第５の実施の形態）本実施形態では、第１〜第
４の何れかの実施形態におけるデータ処理装置を用いた
通信システムについて説明する。

【００７７】図６は本発明の第５の実施の形態に係る通
信システムにおける主要構成部の一例を示すブロック図
であり、図１〜図５と同一部分には同一符号を付してそ
の説明を省略する。

【００７８】この通信システムは、通信者Ａが用いる通
信装置４１Ａと、通信者Ｂが用いる通信装置Ｂとがイン
ターネットやＬＡＮ等の通信路４０を介して接続されて
なっている。

【００７９】通信装置４１Ａは、データ通信手段を備え
た計算機システムであり、暗復号装置４２と、暗号化鍵
ファイル４３，平文ファイル４４及び暗号文ファイル４
５を格納する記憶手段（図示せず）と、鍵送受信処理部
４６と、通信処理部４７とから構成されている。

【００８０】一方、通信装置４１Ｂは、暗号化鍵ファイ
ル４３に代えて、復号鍵ファイル４８を有する他、通信
装置４１Ｂと同様に構成されている。すなわち通信装置
Ａは、平文暗号化用及び暗号文復号用の鍵として暗号化
鍵５のみを暗号化鍵ファイル４３に保持し、通信装置Ｂ
は、平文暗号化用及び暗号文復号用の鍵として復号鍵６
のみを復号鍵ファイル４８に保持する。

【００８１】暗復号装置４２は、第１〜第４の何れかの
実施形態における攪拌部１及び鍵変換部２を暗復号の共
通部分として備えており、これに暗号化若しくは復号に
おける前後処理や暗復号の選択、さらに処理制御用の回
路等が付加されて構成される。図６では、暗号化処理の
場合は左側から鍵や平文が暗復号回路４２に入力され、
復号処理の場合は鍵や暗号文が右側から入力される。

【００８２】なお、各通信装置４１Ａ，４１Ｂが保持す
る暗号化鍵５及び復号鍵６は対になったものであり、暗
号化鍵５を鍵変換部２で変換して得られるのが復号鍵６
であり、復号鍵６を鍵変換部２で逆順に変換して得られ
るのが暗号化鍵５である。

【００８３】鍵送受信処理部４６は、通信装置４１Ａ，
４１Ｂ間で鍵を授受するときに、安全に鍵の引き渡しを
行うための手段である。次に、以上のように構成された
本実施形態における通信システムの動作について説明す
る。

【００８４】あらかじめ通信者Ａと通信者Ｂは互いに暗
号通信するための鍵を共有する必要がある。このために
例えば、通信装置４１Ａで暗号文を作成する際にともに
生成された復号鍵６を、鍵送受信処理部４６により通信
装置４１Ｂ側に引き渡す。この引き渡された復号鍵６
は、復号鍵ファイル４８に格納される。

【００８５】図７は本実施形態における通信の様子を説
明する図である。図６及び図７を用いて、まず、通信者
Ａから通信者Ｂへの暗号通信の様子を説明する。

【００８６】まず、通信者Ａは暗号化通信したい平文５
１を自分が所有する暗号化鍵５を使い暗号化する。この
とき、図６に示す通信装置４１Ａでは、平文５１及び暗
号化鍵５が暗復号装置４２の左側から入力され、第１ラ
ウンドＲ１より順次変換される。この暗号化された暗号
文５２は通信処理部４７、通信路４０を介して通信者Ｂ
に伝送される。

【００８７】暗号文５２を受け取った通信者Ｂは自分が
所有する復号鍵６を使い、暗号文５１を復号し平文５３
を取り出す。この復号においては、復号鍵６と暗号文５
２が通信装置４１Ｂにおける暗復号装置４２の左側から
入力され、暗号化の時とは逆順に最終ラウンドＲｎから
変換が行われる。

【００８８】次に、通信者Ｂから通信者Ａへの暗号通信
の様子を説明する。まず、通信者Ｂは、暗号化通信した
い平文５４を自分が所有する復号鍵６を使い暗号化す
る。このとき通信装置４１Ｂでは、復号鍵６と平文５４
が通信装置４１Ｂにおける暗復号装置４２の右側から入
力され、第１ラウンドＲ１から順に変換が行われる。

【００８９】この暗号化された暗号文５５は通信者Ａの
通信装置４１Ａに伝送され、通信者Ａは自分が所有する
暗号化鍵５を使い、暗号文５５を復号し平文５６を取り
出す。この復号においては、暗号化鍵５と暗号文５５が
通信装置４１Ａにおける暗復号装置４２の右側から入力
され、暗号化の時とは逆順に最終ラウンドＲｎから変換
が行われる。

【００９０】このように、通信者Ａは、暗号化送信する
場合でも受信する場合でも、暗号化鍵５しか使っていな
い。同様に、通信者Ｂも、復号鍵６しか使用しない。し
たがって、暗号化鍵５と復号鍵６は異なる鍵であるが、
その両方を所有する必要はなく、通信者が管理する鍵の
数は１つのみである。

【００９１】上述したように、本発明の実施の形態に係
る通信システムは、第１〜第４の実施形態における何れ
かの暗復号装置４２を備えた通信装置４１Ａ，Ｂにより
暗号化通信を行うようにしたので、第１〜第４の実施形
態と同様な効果が得られる他、各通信者Ａ，Ｂは異なる
鍵を所有するにもかかわらず各通信者が管理すべき鍵の
数が増えず、鍵管理の容易なシステムとすることができ
る。

【００９２】なお、実施形態に記載した手法は、計算機
（コンピュータ）に実行させることができるプログラム
（ソフトウエア手段）として、例えば磁気ディスク（フ
ロッピーディスク、ハードディスク等）、光ディスク
（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒
体に格納し、また通信媒体により伝送して頒布すること
もできる。なお、媒体側に格納されるプログラムには、
計算機に実行させるソフトウエア手段（実行プログラム
のみならずテーブルやデータ構造も含む）を計算機内に
構成させる設定プログラムをも含むものである。本装置
を実現する計算機は、記憶媒体に記録されたプログラム
を読み込み、また場合により設定プログラムによりソフ
トウエア手段を構築し、このソフトウエア手段によって
動作が制御されることにより上述した処理を実行する。

【００９３】

【発明の効果】以上詳記したように本発明によれば、鍵
変換部の各ラウンドの鍵変換関数にインボリューション
関数を使用し、かつ、暗号化と復号に異なる鍵を使用す
るようにしたので、秘密鍵暗号の装置規模を小さくする
ことを可能とし、かつ鍵の安全性を高めることができ、
さらには鍵管理も容易なものとすることができるデータ
処理装置及び通信システム並びに記録媒体を提供するこ
とができる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係るデータ処理装
置における主要構成部の一例並びに暗号化アルゴリズム
を示す図。

【図２】同実施形態に係るデータ処理装置における主要
構成部の一例並びに復号アルゴリズムを示す図。

【図３】本発明の第２の実施の形態に係るデータ処理装
置における鍵変換部の構成例を示すブロック図。

【図４】本発明の第３の実施の形態に係るデータ処理装
置における鍵変換関数の構成例を示すブロック図。

【図５】本発明の第４の実施の形態に係るデータ処理装
置における鍵変換関数の構成例を示すブロック図。

【図６】本発明の第５の実施の形態に係る通信システム
における主要構成部の一例を示すブロック図。

【図７】同実施形態における通信の様子を説明する図。

【図８】ＤＥＳ方式を説明する図。

【符号の説明】

１…攪拌部 ２…鍵変換部 ３，５１，５３，５４，５６…平文 ４，５２，５５…暗号文 ５…暗号化鍵 ６…復号鍵 ７…中間的な暗号化結果 ８…中間的な鍵変換結果 １１…暗号化鍵のデータ部 １２…暗号化鍵の変換パラメータ部 １３…復号鍵のデータ部 １４…復号鍵の変換パラメータ部 ２１…変換関数 ２２…ラウンド関数 ３１…変換関数 ３２…選択回路 ３３…変換関数 ３４…ＯＲゲート ４０…通信路 ４１Ａ…通信装置 ４１Ｂ…通信装置 ４２…暗復号装置 ４３…暗号化鍵ファイル ４４…平文ファイル ４５…暗号文ファイル ４６…鍵送受信処理部 ４７…通信処理部 ４８…復号鍵ファイル Ａ，Ｂ…通信者 Ｄ，Ｄ′…データ ｆｋ１〜ｆｋｎ，ｆｋ…鍵変換関数 ｆｒ１〜ｆｒｎ…ラウンド関数 Ｋ１〜Ｋｎ，Ｋ…拡大鍵 Ｐ１，Ｐ２，Ｐ３，Ｐ１′，Ｐ２′，Ｐ３′…変換パラ
メータ Ｒ１〜Ｒｎ…ラウンド

Claims (9)

【特許請求の範囲】
1. 【請求項１】 暗号化用の鍵を用いて平文を暗号文に暗
   号化し、及び又は、復号用の鍵を用いて暗号文を平文に
   復号するデータ処理装置であって、 前記鍵の何れか若しくはその鍵変換結果に基づいて、鍵
   変換処理及び拡大鍵の出力を行うインボリューションな
   複数の鍵変換関数を順次接続してなるとともに、前記鍵
   変換処理の結果を前記鍵変換関数間で順次又は逆順に引
   き渡す鍵変換部と、 前記拡大鍵を用いて暗号化処理及び又は復号処理を行う
   インボリューションな複数のラウンド関数を順次接続し
   てなるとともに、前記ラウンド関数での処理結果をラウ
   ンド関数間で順次又は逆順に引き渡す攪拌部とを備えた
   ことを特徴とするデータ処理装置。
2. 【請求項２】 前記鍵変換関数は、第１の鍵又はその鍵
   変換結果を前記鍵変換処理の対象とするとともに、第２
   の鍵を用いて前記鍵変換処理を行うことを特徴とする請
   求項１記載のデータ処理装置。
3. 【請求項３】 前記第２の鍵は、前記暗号化用の鍵、及
   び又は、前記復号用の鍵に含まれることを特徴とする請
   求項２記載のデータ処理装置。
4. 【請求項４】 前記第２の鍵には複数の種類が設けら
   れ、前記暗号化用の鍵、及び又は、前記復号用の鍵は、
   当該複数種類の第２の鍵を含むことを可能として可変長
   の鍵としたことを特徴とする請求項３記載のデータ処理
   装置。
5. 【請求項５】 前記鍵変換関数は、前記攪拌部と同一の
   ラウンド関数を含むことを特徴とする請求項１乃至４の
   うち、何れか一項記載のデータ処理装置。
6. 【請求項６】 前記請求項１乃至５のうち、何れか一項
   記載のデータ処理装置を備えるとともに、前記暗号化用
   の鍵でありかつ前記復号用の鍵である一の鍵を保持する
   一の通信装置と、 前記請求項１乃至５のうち、何れか一項記載のデータ処
   理装置を備えるとともに、前記一の鍵を前記鍵変換部で
   鍵変換処理した結果である他の鍵を前記暗号化用の鍵で
   ありかつ前記復号用の鍵として保持する他の通信装置と
   を備えたことを特徴とする通信システム。
7. 【請求項７】 暗号化用の鍵を用いて平文を暗号文に暗
   号化し、及び又は、復号用の鍵を用いて暗号文を平文に
   復号するデータ処理装置を制御するプログラムであっ
   て、 前記鍵の何れか若しくはその鍵変換結果に基づいて、鍵
   変換処理及び拡大鍵の出力を行うインボリューションな
   複数の鍵変換関数を順次接続してなるとともに、前記鍵
   変換処理の結果を前記鍵変換関数間で順次又は逆順に引
   き渡す鍵変換部と、 前記拡大鍵を用いて暗号化処理及び又は復号処理を行う
   インボリューションな複数のラウンド関数を順次接続し
   てなるとともに、前記ラウンド関数での処理結果をラウ
   ンド関数間で順次又は逆順に引き渡す攪拌部としてコン
   ピュータを機能させるためのプログラムを記録したコン
   ピュータ読み取り可能な記録媒体。
8. 【請求項８】 前記鍵変換関数は、第１の鍵又はその鍵
   変換結果を前記鍵変換処理の対象とするとともに、第２
   の鍵を用いて前記鍵変換処理を行う請求項７記載の記録
   媒体。
9. 【請求項９】 前記鍵変換関数は、前記攪拌部と同一の
   ラウンド関数を含む請求項７又は８記載の記録媒体。