特許ウォッチ

公開番号2024174738
公報種別公開特許公報(A)
公開日2024-12-17
出願番号2023092732
出願日2023-06-05
発明の名称認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラム
出願人日本電気株式会社
代理人個人
主分類G09C 1/00 20060101AFI20241210BHJP(教育;暗号方法;表示;広告;シール)
要約【課題】入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能な認証暗号化装置を提供する。
【解決手段】平文分割部302は、平文を所定の割合で第1の平文と第2の平文とに分割する。第1暗号化部310は、第1の値に基づいて得られるマスク値と、複数の平文ブロックそれぞれとを用いて、暗号化関数により、第1の暗号文を取得する。第2暗号化部320は、第1の平文の暗号化において暗号化関数から出力された暗号化結果のうちの第1の平文の暗号化に用いられる値以外の値と、第2の平文とを用いて、第2の暗号文を取得する。認証用タグ生成部360は、第1のタグを生成する。認証用タグ生成部360は、第2のタグを生成する。認証用タグ生成部360は、認証用タグTを生成する。
【選択図】図23
特許請求の範囲【請求項１】
平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、
前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する認証暗号化装置。
続きを表示（約 1,500 文字）【請求項２】
前記平文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記平文を前記第１の平文と前記第２の平文とに分割する、
請求項１に記載の認証暗号化装置。
【請求項３】
前記暗号化関数を用いて前記ナンスを暗号化して、前記第１の値及び前記第２の値を取得するナンス処理手段、
をさらに有する請求項１に記載の認証暗号化装置。
【請求項４】
前記第１の暗号化手段は、前記暗号化関数から出力された暗号化結果のうちの前記入力長に対応するビット数の第１の乱数と前記平文ブロックとの排他的論理和を用いて、前記第１の暗号文を取得する、
請求項１に記載の認証暗号化装置。
【請求項５】
前記第２の暗号化手段は、前記第１の平文の暗号化処理において前記暗号化関数から出力された暗号化結果のうちの前記第１の乱数以外の第２の乱数が連結されて得られた値と前記第２の平文との排他的論理和を用いて、前記第２の暗号文を取得する、
請求項４に記載の認証暗号化装置。
【請求項６】
前記認証用タグ生成手段は、前記第２の値と前記第２の暗号文とを用いて、メッセージ認証コードによる関数により、前記第２のタグを生成する、
請求項５に記載の認証暗号化装置。
【請求項７】
複数の前記平文ブロックの一部の排他的論理和に基づいてチェックサムを計算するチェックサム計算手段、
をさらに有する請求項１に記載の認証暗号化装置。
【請求項８】
前記認証用タグ生成手段は、前記チェックサムと、前記第１の値に基づいて得られるマスク値との排他的論理和を用いて、前記暗号化関数により、前記第１のタグを生成する、
請求項７に記載の認証暗号化装置。
【請求項９】
暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、
入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、
前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、
複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、
前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、
を有する認証復号装置。
【請求項１０】
前記暗号文分割手段は、前記入力長と、前記出力長から前記入力長を減算した長さとの比に基づいて、前記暗号文を前記第１の暗号文と前記第２の暗号文とに分割する、
請求項９に記載の認証復号装置。
（【請求項１１】以降は省略されています）
発明の詳細な説明【技術分野】
【０００１】
本開示は、認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラムに関する。
続きを表示（約 4,200 文字）【背景技術】
【０００２】
事前に共有された秘密鍵を用いて、平文メッセージに対して暗号化と改ざん検知用の認証タグ計算とを同時に適用する認証暗号（Authenticated Encryption；ＡＥ）という技術が知られている。通信路に認証暗号ＡＥを適用することにより、盗聴に対する内容の秘匿と、不正な改ざんに対する検知とが可能となり、結果として通信内容に対する強力な保護が実現される。認証暗号に関する技術としては、例えば、特許文献１及び非特許文献１～非特許文献６に開示された技術が知られている。
【０００３】
非特許文献１は、「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」という認証暗号化方式を開示する。「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」は、「ＣｈａＣｈａ２０」という暗号化方式と、「Ｐｏｌｙ１３０５」という改ざん検知方式とを組み合わせた技術である。「ＣｈａＣｈａ２０－Ｐｏｌｙ１３０５」は、入力長よりも出力長の方が長い暗号プリミティブ（暗号部品）を用いて、暗号化処理を行う。「ＣｈａＣｈａ２０」は、例えば非特許文献２に開示されている。「Ｐｏｌｙ１３０５」は、例えば非特許文献３に開示されている。また、非特許文献４は、「ＣｈａＣｈａ２０」に関連する「ＳａｌＳａ２０」という暗号化方式を開示する。また、非特許文献５は、「ＳａｌＳａ２０」の改良版である「ＸＳａｌＳａ２０」という暗号化方式を開示する。また、非特許文献６は、「ＣｈａＣｈａ２０」の改良版である「ＸＣｈａＣｈａ２０」という暗号化方式を開示する。また、特許文献１は、ＯＴＲ（Offset Two-Round）方式という認証暗号化方式を開示する。ＯＴＲは、実質的に平文の暗号化のみの計算コストで認証暗号を実現する認証暗号化方式である。
【先行技術文献】
【特許文献】
【０００４】
特開２０１６－０７５７６５号公報
【非特許文献】
【０００５】
Y. Nir, and A. Langley、"ChaCha20 and Poly1305 for IETF Protocols"、June 2018、https://www.rfc-editor.org/rfc/rfc8439.html
Daniel J. Bernstein、"ChaCha, a variant of Salsa20"、2008.01.20、https://cr.yp.to/chacha/chacha-20080120.pdf
Daniel J. Bernstein、"The Poly1305-AES Message-Authentication Code"、2005.03.29、https://link.springer.com/chapter/10.1007/11502760_3
Daniel J. Bernstein、"The Salsa20 family of stream ciphers"、2007.12.25、http://cr.yp.to/snuffle/salsafamily-20071225.pdf
Daniel J. Bernstein、"Extending the Salsa20 nonce"、2008.11.28、https://cr.yp.to/snuffle/xsalsa-20081128.pdf
S. Arciszewski、"XChaCha: eXtended-nonce ChaCha and AEAD_XChaCha20_Poly1305"、January 10, 2020、https://datatracker.ietf.org/doc/html/draft-irtf-cfrg-xchacha-03
【発明の概要】
【発明が解決しようとする課題】
【０００６】
非特許文献１にかかる技術は、平文を暗号化したのち、暗号文を用いて改ざん検知のためのタグを生成する。したがって、平文の暗号化及びタグの生成のそれぞれについて、実質的に同等の計算コストが発生する。したがって、非特許文献１にかかる技術では、実質的に平文の暗号化のみの計算コストで認証暗号を実現する方式と比較して、効率的に認証暗号化処理を行うことができないおそれがある。
【０００７】
本開示の目的は、このような課題を解決するためになされたものであり、入力長よりも出力長の方が長い暗号プリミティブを用いて、効率的に認証暗号化処理を行うことが可能な、認証暗号化装置、認証復号装置、認証暗号システム、方法及びプログラムを提供することにある。
【課題を解決するための手段】
【０００８】
本開示にかかる認証暗号化装置は、平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、
を有する。
【０００９】
また、本開示にかかる認証復号装置は、暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、を有する。
【００１０】
また、本開示にかかる認証暗号システムは、認証暗号化装置と、前記認証暗号化装置との間で通信を行う認証復号装置と、を有し、前記認証暗号化装置は、平文を所定の割合で第１の平文と第２の平文とに分割する平文分割手段と、入力長よりも出力長の方が長い暗号プリミティブに対応する暗号化関数を用いてナンスを暗号化して得られる第１の値に基づいて得られるマスク値と、前記第１の平文が前記入力長に対応する長さに分割された複数の平文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記平文ブロックに対応する複数の暗号文ブロックを取得して、前記第１の平文が暗号化された第１の暗号文を取得する第１の暗号化手段と、前記第１の平文の暗号化において前記暗号化関数から出力された暗号化結果のうちの前記第１の平文の暗号化に用いられる値以外の値と、前記第２の平文とを用いて、前記第２の平文が暗号化された第２の暗号文を取得する第２の暗号化手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、認証用タグを生成する認証用タグ生成手段と、を有し、前記認証復号装置は、暗号文を所定の割合で第１の暗号文と第２の暗号文とに分割する暗号文分割手段と、前記暗号化関数を用いて前記ナンスを暗号化して得られる前記第１の値に基づいて得られるマスク値と、前記第１の暗号文が前記入力長に対応する長さに分割された複数の暗号文ブロックそれぞれとを用いて、前記暗号化関数により、複数の前記暗号文ブロックに対応する複数の平文ブロックを取得して、前記第１の暗号文が復号された第１の平文を取得する第１の復号手段と、前記第１の暗号文の復号において前記暗号化関数から出力された暗号化結果のうちの前記第１の暗号文の復号に用いられる値以外の値と、前記第２の暗号文とを用いて、前記第２の暗号文が復号された第２の平文を取得する第２の復号手段と、複数の前記平文ブロックの一部の排他的論理和に基づいて得られる値と、前記第１の値に基づいて得られるマスク値とを用いて、前記暗号化関数により、第１のタグを生成し、前記暗号化関数を用いて前記ナンスを暗号化して得られる第２の値と、前記第２の暗号文とを用いて、第２のタグを生成して、検証用タグを生成する検証用タグ生成手段と、前記検証用タグと、入力された認証用タグとを比較することによって、改ざんの有無を検証し、検証結果を出力するための制御を行う検証手段と、を有する。
（【００１１】以降は省略されています）

関連特許