JP3841008B2

JP3841008B2 - Cryptographic device and data transfer control device

Info

Publication number: JP3841008B2
Application number: JP2002091964A
Authority: JP
Inventors: 友則熊谷; 太郎田中
Original assignee: Seiko Epson Corp
Current assignee: Seiko Epson Corp
Priority date: 2002-03-28
Filing date: 2002-03-28
Publication date: 2006-11-01
Anticipated expiration: 2022-03-28
Also published as: JP2003288010A

Description

【０００１】
【発明の属する技術分野】
本発明は、暗号装置及びデータ転送制御装置に関する。
【０００２】
【背景技術及び発明が解決しようとする課題】
近年、映像や音楽等各種データのディジタル化が進み、映像等のデータをハードディスク装置等の大容量記憶媒体に保存して利用することができる。そのため、ハードディスク装置等へのアクセスを制御するインタフェースＩＣ（Integrated Circuit）（広義には、データ転送制御装置）に対し、データの機密保護の要求が高まっている。
【０００３】
インタフェースＩＣにおけるデータの機密保護は、暗号化により実現することができる。この場合、インタフェースＩＣに採用する暗号方式は、その安全性に加え、処理の高速化や低コスト化が重要な要素となる。
【０００４】
これまで金融業界等の分野で、共通鍵暗号化方式が幅広く用いられている。共通鍵暗号化方式は、暗号化と復号化において同一の鍵を用いる。共通鍵暗号化方式の中でも、ＤＥＳ（Data Encryption Standard）は、１９７７年に米国情報処理標準規格（FEDERAL INFORMATION PROCESSING STANDARDS PUBLICATION：ＦＩＰＳ−ＰＵＢ）４６−３として規定され、最も広く利用されている方式の１つである。
【０００５】
しかしながら、近年の情報処理能力の飛躍的な向上により、ＤＥＳの暗号強度が、従来ほど強固なものではなくなっている。このため、ＤＥＳに代えてトリプルＤＥＳが利用されることがある。
【０００６】
以下では、ＤＥＳとトリプルＤＥＳと区別するために、ＤＥＳをＳＤＥＳ（Single DES）、トリプルＤＥＳをＴＤＥＳ（Triple DES）という。
【０００７】
ＴＤＥＳは、ＳＤＥＳのアルゴリズムを３回繰り返す暗号化方式であり、ＳＤＥＳのアルゴリズムを流用することができる。更に、暗号鍵の鍵長を拡張するのと同様の効果を得ることができ、比較的容易に暗号強度を高めることができる。
【０００８】
しかしながら、ＴＤＥＳの暗号化方式をインタフェースＩＣに実装する場合、それだけ回路規模が大きくなるという問題がある。一方、ユーザによっては、ＴＤＥＳによる暗号強度を必要とせず、ＳＤＥＳの暗号強度を維持したまま高速な暗号処理を必要とする場合がある。したがって、インタフェースＩＣにＳＤＥＳとＴＤＥＳとを共存させて、対象とするデータに応じて切り替えできるように構成することが望ましい。
【０００９】
本発明は、以上のような技術的課題に鑑みてなされたものであり、その目的とするところは、最適な回路規模と処理速度で、例えばＳＤＥＳとＴＤＥＳのような複数の暗号化方式の提供を両立させることができる暗号装置及びデータ転送制御装置を提供することにある。
【００１０】
【課題を解決するための手段】
上記課題を解決するために本発明は、複数のデータブロックに分割された入力データに対し、共通鍵暗号化方式により生成された鍵をその都度変えて所与の演算処理を（Ｍ＋Ｎ）（Ｍ、Ｎは正の整数）回行い、データブロックごとに変換データを生成する処理を含む暗号処理を行う暗号装置であって、第ｎ（ｎは２以上の整数）のデータブロックの入力データに基づいて、前記所与の演算処理をＭ回行って第ｎの中間変換データを生成する第１の暗号処理回路と、前記第ｎの中間変換データに基づいて、前記所与の演算処理をＮ回行って第ｎの変換データを生成する第２の暗号処理回路とを含み、第１のタイミングでは、前記第１の暗号処理回路は前記第ｎのデータブロックの入力データに基づいて前記第ｎの中間変換データを生成すると共に、前記第２の暗号処理回路は第（ｎ−１）の中間変換データに基づいて第（ｎ−１）の変換データを生成し、前記第１のタイミングの次の第２のタイミングでは、前記第１の暗号処理回路は第（ｎ＋１）のデータブロックの入力データに基づいて第（ｎ＋１）の中間変換データを生成すると共に、前記第２の暗号処理回路は前記第ｎの中間変換データに基づいて前記第ｎの変換データを生成する暗号装置に関係する。
【００１１】
本発明においては、データブロックごとに、共通鍵暗号化方式により生成された鍵をその都度変えて所与の演算処理を（Ｍ＋Ｎ）回行って暗号処理又は復号処理を行って変換データを生成する場合に、それぞれ上記演算処理を行う第１及び第２の暗号処理回路を用いる。第１のデータブロックから順に入力されるものとすると、第１のタイミングでは、第１の暗号処理回路は第ｎのデータブロックの入力データに基づいて、上記演算処理をＭ回行って第ｎの中間変換データを生成し、第２の暗号処理回路は第（ｎ−１）の中間変換データに基づいて、上記演算処理をＮ回行って第（ｎ−１）の変換データを生成するようにする。そして第１のタイミングの次の第２のタイミングでは、第１の暗号処理回路は第（ｎ＋１）のデータブロックの入力データに基づいて第（ｎ＋１）の中間変換データを生成すると共に、第２の暗号処理回路は第ｎの中間変換データに基づいて第ｎの変換データを生成するようにする。これにより、順次入力されるデータブロックについて、パイプライン動作により高速に処理結果を得ることができる。
【００１２】
また本発明に係る暗号装置では、前記第１の暗号処理回路は、所与の第１のモードにおいて暗号処理を行う場合には、前記第（ｎ−１）の中間変換データと前記第ｎのデータブロックの入力データとに基づいて第ｎの中間変換データを生成することができる。
【００１３】
本発明によれば、第ｎのデータブロックの入力データを第１の暗号処理回路に入力する場合に、１つ前のデータブロックについての第（ｎ−１）の中間変換データと関連付けて入力させることができる。したがって、第１の暗号処理回路で処理される入力データが、連続するデータブロックで同じ内容であるために最終的に生成される変換データも同じデータになることがなくなり、簡素な構成で鍵の特定を困難にすることができる。
【００１４】
また、第２の暗号処理回路で生成された第（ｎ−１）の変換データを用いるのではなく、第１の暗号処理回路で生成された第（ｎ−１）の中間変換データを用いるようにしたので、第（ｎ−１）の変換データが生成されるのを待つ必要がなくなり、パイプライン動作による処理速度の高速化を図ることができるようになる。
【００１５】
また本発明に係る暗号装置は、前記第ｎの中間変換データは、前記第（ｎ−１）の中間変換データと前記第ｎのデータブロックの入力データとの間で排他的論理和演算された演算データに基づいて生成されてもよい。
【００１６】
本発明によれば、構成を大幅に簡素化して、上記した効果を得ることができるようになる。
【００１７】
また本発明に係る暗号装置は、所与の第１のモードにおいて復号処理を行う場合には、前記第ｎの変換データと前記第（ｎ−１）の中間変換データとに基づいて生成された演算データを、復号化された信号として出力することができる。
【００１８】
本発明によれば、上記した所与の第１のモードにおいて、鍵の特定を困難にするために、第ｎのデータブロックの入力データと１つ前のデータブロックについての第（ｎ−１）の中間変換データとを関連付けて暗号処理を行った入力データについても、簡素な構成で復号処理を行うことができる。
【００１９】
また本発明に係る暗号装置は、前記演算データは、前記第ｎの変換データと前記第（ｎ−１）の中間変換データとの間で排他的論理輪演算されたデータであってもよい。
【００２０】
本発明によれば、構成を大幅に簡素化して、上記した効果を得ることができるようになる。
【００２１】
また本発明に係る暗号装置では、所与の第２のモードにおいて暗号処理を行う場合には、１又は複数回、前記第１及び第２の暗号処理回路による処理をループさせて得られた第ｎの変換データと、第（ｎ＋１）のデータブロックの入力データとに基づいて、第（ｎ＋１）の変換データを生成することができる。
【００２２】
本発明によれば、第１及び第２の暗号処理回路による処理を１又は複数回ループさせて得られた第ｎの変換データと第（ｎ＋１）のデータブロックの入力データとに基づいてについて暗号処理を行うようにしたので、回路規模を増大することなく鍵長を実質的に拡張することができ、機密性を大幅に向上させることができるようになる。
【００２３】
また本発明に係る暗号装置は、前記第（ｎ＋１）のデータブロックの入力データは、前記第ｎの変換データとの間で排他的論理和演算された演算データであってもよい。
【００２４】
本発明によれば、上記した所与の第２のモードにおいて、簡素な構成で第（ｎ＋１）のデータブロックの入力データを第ｎの変換データとに関連付けて暗号処理を行うことができるので、簡素な構成で鍵の特定をより困難にさせることができる。
【００２５】
また本発明に係る暗号装置は、所与の第２のモードにおいて復号処理を行う場合には、１又は複数回、前記第１及び第２の暗号処理回路にループさせて生成した第ｎの変換データと、前記第（ｎ−１）のデータブロックの入力データとに基づいて生成された演算データを、復号化された信号として出力することができる。
【００２６】
本発明によれば、上記した所与の第２のモードにおいて、鍵の特定を困難にするために前後のデータブロックに関連付けられて暗号処理が行われた入力データについても、簡素な構成で復号処理を行うことができる。
【００２７】
また本発明に係る暗号装置では、前記演算データは、第ｎの変換データに基づいて生成されたデータと、前記第（ｎ−１）のデータブロックの入力データとの排他的論理和演算結果であってもよい。
【００２８】
本発明によれば、上記した所与の第２のモードにおいて、第（ｎ＋１）のデータブロックの入力データを第ｎの変換データとに関連付けて暗号処理が行われた場合でも、簡素な構成で復号処理を行うことができる。
【００２９】
また本発明に係る暗号装置では、前記第１の暗号処理回路は、ＤＥＳの各段の暗号処理を８回繰り返して行い、前記第２の暗号処理回路は、ＤＥＳの各段の暗号処理を８回繰り返して行うことができる。
【００３０】
本発明によれば、ＤＥＳの暗号処理及び復号処理に適用することができ、回路規模の増大を招くことなく、一定の機密性が保証された暗号処理及び復号処理を高速化することができる。
【００３１】
また本発明に係る暗号装置は、前記第１の暗号処理回路で行われるＤＥＳの各段に対応した鍵を出力する第１の鍵出力回路と、前記第２の暗号処理回路で行われるＤＥＳの各段に対応した鍵を出力する第２の鍵出力回路とを含み、暗号処理においては、前記第１の鍵出力回路は、８個の鍵を１つずつ、前記第１の暗号処理回路で行われるＤＥＳの各段の処理のために出力し、前記第２の鍵出力回路は、８個の鍵を１つずつ、前記第２の暗号処理回路で行われるＤＥＳの各段の処理のために出力し、復号処理においては、前記第１の鍵出力回路は、暗号処理の場合と逆順に８個の鍵を１つずつ、前記第２の暗号処理回路で行われるＤＥＳの各段の処理のために出力し、前記第２の鍵出力回路は、暗号処理の場合と逆順に８個の鍵を１つずつ、前記第１の暗号処理回路で行われるＤＥＳの各段の処理のために出力することができる。
【００３２】
本発明によれば、ＤＥＳの暗号処理又は復号処理に適用する鍵については、鍵の適用順序を切り替えるだけでよいため、第１及び第２の鍵出力回路によりＤＥＳの各段に適用する鍵を保持させておき、第１及び第２の暗号処理回路に供給する鍵を切り替えることで、簡素な構成で暗号処理と復号処理を切り替えることができる。
【００３３】
また本発明に係る暗号装置は、ＤＥＳの鍵を複数セット保持し、所与の鍵選択信号に基づいていずれか１つのセットを選択する鍵選択回路を含み、前記第１及び第２の鍵出力回路は、前記所与の鍵選択信号に基づいて選択されたセットのＤＥＳの鍵を出力することができる。
【００３４】
本発明によれば、複数セットの鍵の中から選ばれた１つのセットの鍵を供給するようにしたので、鍵の特定をより困難にすることができる。しかも、適用する鍵のセットを切り替えるようにすることで、鍵の特定はより困難となる。また、１つのセットの鍵が特定された場合であっても、残りの鍵を適用することができるので機密性を維持することができる。
【００３５】
また本発明は、複数のデータブロックに分割された入力データに対し、共通鍵暗号化方式により生成された鍵をその都度変えて所与の演算処理を複数回行う処理を含む暗号処理を行う暗号装置であって、前記所与の演算処理を１又は複数回行う第１〜第Ｌ（Ｌは２以上の整数）の暗号処理回路を含み、第１のタイミングにおいて、前記第ｋ（１≦ｋ≦Ｌ−１、ｋは整数）の暗号処理回路は、第ｎ（ｎは２以上の整数）のデータブロックについて処理すると共に、前記第（ｋ＋１）の暗号処理回路は、第（ｎ−１）のデータブロックについて処理し、前記第１のタイミングの次の第２のタイミングでは、前記第ｋの暗号処理回路は、第（ｎ＋１）のデータブロックについて処理すると共に、前記第（ｋ＋１）の暗号処理回路は、前記第１のタイミングにおける前記第ｋの暗号処理回路の処理結果を用いて処理する暗号装置に関係する。
【００３６】
本発明においては、共通鍵暗号化方式により所与の演算処理を複数回行う処理を含む暗号処理を行う場合に、所与の演算処理を１又は複数回行う第１〜第Ｌの暗号処理回路を用いる。そして、そのうちの第ｋ及び第（ｋ＋１）の暗号処理回路については、パイプライン動作を行うように構成する。すなわち、第１のタイミングにおいて第ｋの暗号処理回路が処理した第ｎのデータブロックについての処理結果を、第１のタイミングの次の第２のタイミングにおいて第（ｋ＋１）の暗号処理回路が用いて演算処理を行う。
【００３７】
これにより、上述の演算処理の処理回数分だけ暗号処理回路を設ける必要がなくなり、回路規模を抑えて、パイプライン動作により高速に処理結果を得ることができる。
【００３８】
また本発明に係るデータ転送制御装置は、アイソクロナスデータを記憶するメモリと、外部に接続された所与の記憶装置にアクセスするためのインタフェース回路と、前記メモリと前記インタフェース回路との間で転送されるアイソクロナスデータに対し、暗号処理又は復号処理を行う上記いずれか記載の暗号装置とを含むことができる。
【００３９】
本発明によれば、リアルタイム性を有するアイソクロナスデータを保存する記憶装置に対して、高速な暗号処理又は復号処理を行って、アイソクロナスデータの機密性を向上させることができるデータ転送制御装置を提供することができる。
【００４０】
【発明の実施の形態】
以下、本発明の好適な実施の形態について図面を用いて詳細に説明する。なお、以下に説明する実施の形態は、特許請求の範囲に記載された本発明の内容を不当に限定するものではない。また以下で説明される構成の全てが本発明の必須構成要件であるとは限らない。
【００４１】
本実施形態に係る暗号装置は、入力データに対し、共通鍵暗号化方式により生成された鍵を用いた複数段の演算処理を行って変換データを生成する。本実施形態における暗号装置は、鍵の適用順序を切り替えることで、暗号処理及び復号処理を行うことができるようになっている。以下では、暗号装置の共通鍵暗号化方式がＤＥＳである場合について説明する。
【００４２】
１．ＳＤＥＳの概要
まず、ＳＤＥＳ（Single DES）の処理内容の概要について説明する。
【００４３】
図１に、ＳＤＥＳによる暗号処理を行う暗号装置の機能ブロック構成の概要を示す。
【００４４】
暗号装置１０は、暗号処理部１２と、鍵生成処理部１４とを含む。
【００４５】
暗号処理部１２は、１データブロック当たり６４ビットの入力データ（平文）に対して、非線形変換と転置処理等を１６段繰り返し、変換データ（暗号文）を出力する。鍵生成処理部１４は、６４ビットの共通秘密鍵を用いて、暗号処理部１２の各段の処理で使用される４８ビットの（サブ）鍵Ｋ₁〜Ｋ₁₆を生成する。
【００４６】
図２に、暗号処理部１２の処理のフロー図を示す。
【００４７】
暗号処理部１２に、１データブロック単位で６４ビットの入力データＭが入力されると、該入力データＭに対し、初期転置（Initial Permutation：ＩＰ）を行ってランダム化する（ステップＳ１０）。初期転置は、図３に示すように、入力ビット位置に応じて、出力させるビット位置を変えて出力する。例えば、入力ビットの第５８ビットを出力の第１ビットに転置し、また入力の第１ビットを出力の第４０ビットに転置する。
【００４８】
初期転置が行われた初期転置データは、ビット分割され、上位３２ビットを第１段入力データＬ₀、下位３２ビットを第１段入力データＲ₀とする（ステップＳ１１、Ｓ１２）。
【００４９】
第１段入力データＲ₀は、第１段の鍵Ｋ₁を用いた非線形変換ｆにより非線形変換データｆ（Ｒ₀，Ｋ₁）に変換される（ステップＳ２０−１）。
【００５０】
図４に、非線形変換ｆの機能ブロック図を示す。
【００５１】
ここでは、第ｉ（１≦ｉ≦１６、ｉは整数）段の非線形変換ｆの機能ブロック図を示している。
【００５２】
第ｉ段入力データＲ_i-1は、拡大転置（Ｅ）により、拡大転置データＥＲ_i-1に変換される（ステップＳ５０）。拡大転置（Ｅ）は、図５に示すように、所定のビットを重複させて、３２ビットの第ｉ段入力データＲ_i-1を４８ビットの拡大転置データＥＲ_i-1に変換する。図５では、例えば入力の第１ビットを出力の第２ビット及び第４８ビットから出力させ、入力の第３２ビットを出力の第１ビット及び第４７ビットから出力させることを示している。
【００５３】
拡大転置データＥＲ_i-1は、第ｉ段用の鍵Ｋ_iとの間で排他的論理和演算（ＸＯＲ）が行われ（ステップＳ５１）、それぞれ６ビットずつＳＢＯＸ０〜７に入力される。ここで、第ｉ段用の鍵Ｋ_iは、図１に示すように暗号処理部１２に対応して設けられた鍵生成処理部１４により生成された第１段〜第１６段の鍵Ｋ₁〜Ｋ₁₆のうちの第ｉ段用のものである。
【００５４】
ＳＢＯＸ０〜７は、それぞれ入力された６ビットに対して、圧縮換字変換を行う（ステップＳ５２−０〜Ｓ５２−７）。
【００５５】
図６に、ＳＢＯＸ０において行われる圧縮換字変換について説明するための図を示す。
【００５６】
ＳＢＯＸ０では、ロウ番号及びカラム番号により４ビットデータが特定される。ロウ番号は、入力される６ビットのうち最初（最も左端）の１ビットと最後（最も右端）の１ビットとにより特定される。カラム番号は、入力される６ビットのうち残りの４ビットにより特定される。そして、これらロウ番号及びカラム番号により特定される４ビットデータを、入力された６ビットに対応させて変換する。
【００５７】
例えば、拡大転置データＥＲ_i-1と第ｉ段用の鍵Ｋ_iとの間で排他的論理和演算の結果が、６ビットの「１０１０００」とすると、ロウ番号は（１０）₂であるため２行目が特定され、カラム番号は（０１００）₂であるため４行目が特定される。したがって、ＳＢＯＸ０に入力された６ビットの「１０１０００」は、４ビットの「１１０１（＝１３）」に変換される。
【００５８】
ここではＳＢＯＸ０について説明したが、ＳＢＯＸ１〜ＳＢＯＸ７についてもそれぞれロウ番号及びカラム番号により同様の変換が行われる。
【００５９】
このようにしてＳＢＯＸ０〜７から出力された４ビットの変換データは、転置処理（Ｐ）が行われる（ステップＳ５３）。転置処理は、図７に示すように、入力ビット位置に応じて、出力させるビット位置を変えて出力する。例えば、入力ビットの第１６ビットを出力の第１ビットに転置し、また入力の第１ビットを出力の第９ビットに転置する。
【００６０】
この転置処理（Ｐ）の結果、３２ビットの非線形変換データＥＲ_i-1（＝ｆ（Ｒ_i-1，Ｋ_i））が生成される。
【００６１】
図２において、第１段入力データＲ₀に基づいて生成された非線形変換データｆ（Ｒ₀，Ｋ₁）は、第１段入力データＬ₀との間で排他的論理和演算が行われ（ステップＳ２１−１）、その演算結果が第２段入力データＲ₁になる（ステップＳ２２−１）。
【００６２】
一方、第２段入力データＬ₁は、第１段入力データＲ₀になる（ステップＳ２３−１）。
【００６３】
以上のように第１段入力データＬ₀、Ｒ₀から第２段入力データＬ₁、Ｒ₁が生成されるまでの処理をＳＤＥＳの暗号処理の第１段の処理（所与の演算処理）とすると、同様の処理が第１６段まで行われる。各段の非線形変換においては、段ごとに適用される鍵が変更される。
【００６４】
その結果、第１６段で生成された第１６段入力データＬ₁₆、Ｒ₁₆は、以下のようになる（ステップＳ２３−１６、Ｓ２２−１６）。
【００６５】
Ｌ₁₆＝Ｒ₁₅ ・・・（１）
Ｒ₁₆＝Ｌ₁₅（＋）ｆ（Ｒ₁₅，Ｋ₁₆）・・・（２）
ここで、（＋）は排他的論理和演算であることを示す。
【００６６】
そして、最後に上位３２ビットと下位３２ビットとを入れ替えて、入替データＬ₁₆´を第１６段入力データＲ₁₆にし（ステップＳ２４）、入替データＲ₁₆´を第１６段入力データＬ₁₆にして（ステップＳ２５）、６４ビットデータとして最終転置（ＩＰ^-1）を行う（ステップＳ２６）。
【００６７】
最終転置（ＩＰ^-1）は初期転置（ＩＰ）に対応しており、図８に示すように初期転置でビット位置を入れ替えたデータを、元に戻す。例えば入力の第１ビットを出力の第５８ビットに転置し、また入力の第４０ビットを出力の第１ビットに転置する。
【００６８】
その結果、変換データＰが生成される。
【００６９】
次に、このような暗号処理部１２の各段に、非線形変換を行うための鍵の生成フローについて説明する。各段に供給される鍵は、鍵生成処理部１４において生成される。
【００７０】
図９に、鍵生成処理部１４の処理のフロー図を示す。
【００７１】
鍵生成処理部１４に、６４ビットの共通秘密鍵Ｋ₀が入力されると、該共通秘密鍵Ｋ₀に対し、選択転置（ＰＣ−１）を行ってランダム化する（ステップＳ６０）。選択転置は、図１０に示すように、入力ビット位置に応じて、出力させるビット位置を変えて出力し、６４ビットの共通秘密鍵Ｋ₀からパリティが除去された５６ビットの選択転置データを出力する。例えば、入力の第５７ビットを出力の第１ビットに転置し、また入力の第１ビットを出力の第８ビットに転置する。
【００７２】
選択転置が行われた選択転置データは、ビット分割され、上位２８ビットを第１段入力データＣ₀、下位２８ビットを第１段入力データＤ₀とする（ステップＳ６１、Ｓ６２）。
【００７３】
第１段入力データＣ₀は左方向に巡回シフトが行われて、第２段入力データＣ₁となる（ステップＳ６３−１、Ｓ６４−１）。また、第１段入力データＤ₀は左方向に巡回シフトが行われて、第２段入力データＤ₁となる（ステップＳ６５−１、Ｓ６６−１）。ここで、巡回シフトを行うビット数は、図１１に示すようにＤＥＳの処理段ごとに決められている。例えば、第１段の場合は１ビット、第３段の場合は２ビットだけ、巡回シフトが行われることを示している。
【００７４】
更に第１段では、巡回シフトされた結果生成された第２段入力データＣ₁、Ｄ₁に対して圧縮転置（ＰＣ−２）を行い（ステップＳ６７−１）、第１段の鍵Ｋ₁が生成される。
【００７５】
圧縮転置（ＰＣ−２）では、それぞれ２８ビットの第２段入力データＣ₁、Ｄ₁からなる５６ビットのデータを４８ビットのデータに変換する。この圧縮転置は、図１２に示すように、入力ビット位置に応じて、出力させるビット位置を変えて出力する。例えば、入力の第１４ビットを出力の第１ビットに転置し、また入力の第１ビットを出力の第５ビットに転置する。
【００７６】
この圧縮転置が行われた４８ビットのデータが、第１段の鍵Ｋ₁として、暗号処理部１２の第１段の非線形変換に用いられる。
【００７７】
以上のように第１段入力データＣ₀、Ｄ₀から第２段入力データＣ₁、Ｄ₁が生成されるまでの処理をＳＤＥＳの鍵生成の第１段の処理とすると、同様の処理が第１６段まで行われる。このように、各段において生成された鍵Ｋ₁〜Ｋ₁₆は、暗号処理部１２の暗号処理の各段に適用される。
【００７８】
図１３に、ＳＤＥＳによる復号処理を行う復号装置の機能ブロック構成の概要を示す。
【００７９】
復号装置７０は、復号処理部７２と、鍵生成処理部７４とを含む。
【００８０】
復号処理部７２は、１ブロック６４ビットの入力データ（暗号文）に対して、非線形変換と転置処理等を１６段繰り返し、変換データ（平文）を出力する。鍵生成処理部７４は、６４ビットの共通秘密鍵から、復号処理部７２の各段の処理で用いる４８ビットの（サブ）鍵Ｋ₁〜Ｋ₁₆を生成する。
【００８１】
復号処理部７２は、上述の暗号処理部１２と逆の手順をとることで実現することができる。この場合、復号処理部７２の各段の鍵は、暗号処理とは逆に鍵Ｋ₁₆、Ｋ₁₅、・・・、Ｋ₁の順に適用される。
【００８２】
鍵生成処理部７４は、上述した鍵生成処理部１４の左巡回シフトを右巡回シフトに変更することで、各段ごとに鍵Ｋ₁₆、Ｋ₁₅、・・・、Ｋ₁の順で生成される。
【００８３】
このように復号処理は、各段の処理内容に着目すれば、暗号処理の各段の処理内容と共通させることができる。本実施形態における暗号装置は、暗号処理を行う回路を共通化し、該回路を用いて復号処理を行うように構成している。
【００８４】
２．暗号化モード
ＳＤＥＳでは、入力データとしての平文又は暗号文が複数のブロックに分割され、ブロックデータ単位で暗号処理又は復号処理が行われる。したがって、同じブロックデータの場合には、変換データも同じになる可能性があり、鍵が特定されやすくなる。そのため、ＳＤＥＳでは、ＣＢＣ（Cipher Block Chaining）モードやＣＦＢ（Cipher FeedBack）モード等の種々の暗号化モードが利用される。
【００８５】
図１４に、ＣＢＣモードの暗号処理と復号処理の機能ブロック図を示す。
【００８６】
暗号処理部８０では、ＤＥＳ演算部８２により、ブロックデータ単位に暗号処理が行われて変換データが生成される。ＤＥＳ演算部８２において暗号処理が行われる平文のｊ番目のデータブロックをＭ_jとすると、該データブロックＭ_jと１つ前のデータブロックの変換データＣ_j-1との間で排他的論理和演算が行われ、その演算結果がＤＥＳ演算部８２に入力される。ＤＥＳ演算部８２は、その演算結果について暗号処理を行って変換データＣ_jを生成する。変換データＣ_jは暗号文として出力されると共に、レジスタ８４に保持される。平文の次のデータブロックが入力されたときには、レジスタ８４に保持された前のブロックの変換データを用いて生成された演算データがＤＥＳ演算部８２に入力される。
【００８７】
復号処理部９０では、ＤＥＳ^-1演算部９２により、ブロックデータ単位に復号処理が行われて変換データ（復号データ、平文）が生成される。ＤＥＳ^-1演算部９２において復号処理が行われる暗号文のｊ番目のデータブロックをＣ_jとすると、該データブロックＣ_jがＤＥＳ^-1演算部９２において復号化される。ＤＥＳ^-1演算部９２で復号化された変換データに対して、１つ前のデータブロックの変換データＣ_j-1との間で排他的論理和演算を行った演算結果が、変換データ（復号データ）Ｍ_jとなる。変換データＣ_jは、暗号文として復号処理部９０に入力されると共に、レジスタ９４に保持される。暗号文の次のデータブロックが入力されたときには、レジスタ９４に保持された前のブロックの変換データを用いて生成された演算結果が復号文のデータブロックＭ_jとして出力される。
【００８８】
これにより、ブロックデータの内容が同じであっても、その前のデータブロックの内容に応じた演算結果に対して暗号処理が行われるため、複雑な構成をとることなく、鍵の特定を困難にすることができる。
【００８９】
３．ＴＤＥＳの概要
ところでコンピュータ技術等の進歩を背景に、情報処理能力の向上が著しく、上述したＳＤＥＳの安全性には限界がある。そのため更に安全性を高めるために、ＳＤＥＳを３回ループさせるＴＤＥＳがある。
【００９０】
図１５に、ＴＤＥＳの処理フローの概要を示す。
【００９１】
ＴＤＥＳによる暗号処理は、ＤＥＳ演算部１００、１０２、１０４により、上述したＳＤＥＳの暗号処理又は復号処理を行うことで実現される。ＤＥＳ演算部１００は、６４ビットの平文の入力データに対し、暗号処理の各段の鍵を有する鍵セットＫ_0Aを適用したＳＤＥＳの暗号処理を行う。ＤＥＳ演算部１０２は、ＤＥＳ演算部１００から出力された変換データに対し、復号処理の各段の鍵を有する鍵セットＫ_0Bを適用したＳＤＥＳの復号処理（ＤＥＳ^-1）を行う。ＤＥＳ演算部１０４は、ＤＥＳ演算部１０２から出力された変換データに対し、暗号処理の各段の鍵を有する鍵セットＫ_0Cを適用したＳＤＥＳの暗号処理を行い、変換データＣを出力する。
【００９２】
こうすることで、鍵セットＫ_0A、Ｋ_0B、Ｋ_0Cが全て異なる場合、鍵長は１９２（＝６４×３）ビットとなり、更に暗号強度を高めることができる。
【００９３】
なお、ＴＤＥＳの復号処理を行う場合には、図１５に示した暗号処理とは逆に、復号処理、暗号処理、復号処理の順に行えばよい。
【００９４】
４．本実施形態における暗号装置
ＴＤＥＳの暗号処理及び復号処理は、上述のように機密性を十分に確保することができるが、ＳＤＥＳの回路に比べてその規模が増大し低コスト化を図ることができない。その一方で、ＳＤＥＳによる暗号化の強度でも機密性は十分保たれることから、対象とするデータの種類に応じて、ＳＤＥＳの暗号処理（復号処理）を行うＳＤＥＳモード又はＴＤＥＳの暗号処理（復号処理）を行うＴＤＥＳモードを切り替え可能であることが望ましい。
【００９５】
そこで本実施形態における暗号装置は、同様の構成の複数のＤＥＳ演算回路により、ＳＤＥＳの１６段分の処理をパイプライン動作で行うように構成している。すなわち、ＳＤＥＳの各段の処理を１又は複数回行う第１〜第Ｌ（Ｌは２以上の整数）のＤＥＳ演算回路（広義には暗号処理回路）を有し、そのうち少なくとも第ｋ（１≦ｋ≦Ｌ−１、ｋは整数）及び第（ｋ＋１）のＤＥＳ演算回路がパイプライン動作を行うことができる。
【００９６】
更に本実施形態における暗号装置は、上述のパイプライン動作を行うＳＤＥＳの処理を複数回ループさせることでＴＤＥＳによる暗号処理又は復号処理を実現する。こうすることで、回路規模の増大を招くことなくＴＤＥＳによる暗号処理及び復号処理を実現し、かつより高速なＳＤＥＳによる処理を実現する。
【００９７】
また本実施形態における暗号装置は、鍵生成処理を行わず、上述した鍵生成処理により予め生成した鍵を保持し、ＳＤＥＳの各段の処理に適用させるようにしている。これにより、パイプライン動作中に、鍵生成処理を行う必要がなくなるので、パイプライン処理の高速化を図ることができる。
【００９８】
４．１ブロック構成
以下では、２（Ｌ＝２）段のＤＥＳ演算回路で構成され、これらがパイプライン動作を行う暗号装置について説明するが、３段以上（Ｌ≧３）のＤＥＳ演算回路を有し、これらがパイプライン動作を行うようにしてもよい。
【００９９】
図１６に、本実施形態における暗号装置のブロック構成図を示す。
【０１００】
本実施形態における暗号装置２００は、同様の構成のＤＥＳ演算回路（第１及び第２の暗号処理回路）２１０、２２０を含む。ＤＥＳ演算回路２１０、２２０は、それぞれ図２に示したＳＤＥＳの非線形変換や排他的論理和演算等の１段分の処理（所与の演算処理）を行う。暗号処理又は復号処理を（Ｍ＋Ｎ）（Ｍ、Ｎは正の整数）段の演算処理を行う場合に、ＤＥＳ演算回路２１０、２２０は、それぞれＭ段分の演算処理、Ｎ段分の演算処理を行うことができる。なおＳＤＥＳによる１６段分の処理を行う場合は、パイプライン動作により高速処理を行うため８段ずつ（Ｍ＝Ｎ＝８）行うことが望ましい。暗号装置２００では、８段ずつ行うものとして説明する。
【０１０１】
ＤＥＳ演算回路２１０には、プロローグ回路２３０が接続されている。ＤＥＳ演算回路２１０は、プロローグ回路２３０からの出力に基づいて、図２に示すＳＤＥＳの第１段〜第８段の各段の処理を行い、中間変換データを出力する。プロローグ回路２３０には、入力ラッチ回路２４０が接続されている。入力ラッチ回路２４０には、データブロック単位に入力データがラッチされる。プロローグ回路２３０は、入力ラッチ回路２４０に入力された６４ビットのデータに対して初期転置処理を行うことができる。或いはプロローグ回路は、入力ラッチ回路２４０に入力された６４ビットのデータと、ＤＥＳ演算回路２１０によって生成された中間変換データ等との排他的論理和演算結果に対して、初期転置処理を行うことができる。
【０１０２】
ＤＥＳ演算回路２２０には、エピローグ回路２５０が接続されている。ＤＥＳ演算回路２２０は、ＤＥＳ演算回路２１０で生成された中間変換データに基づいて、図２に示すＳＤＥＳの第９段〜第１６段の各段の処理を行い、変換データ（最終変換データ）を出力する。エピローグ回路２５０は、ＤＥＳ演算回路２２０によって生成された変換データに対して最終転置処理を行うことができる。或いはエピローグ回路２５０は、ＤＥＳ演算回路２２０によって生成された変換データに対して、ＤＥＳ演算回路２１０により生成された中間変換データ等と排他的論理和演算を行うことができる。
【０１０３】
暗号装置２００は、ＤＥＳ演算回路２１０、２２０に対して、ＳＤＥＳの各段の鍵を出力する第１及び第２の鍵出力回路２６０、２７０を含む。ここで、鍵出力回路は２つでなくてもよく、ＤＥＳ演算回路と同数でなくてもよい。
【０１０４】
暗号処理を行う場合、第１の鍵出力回路２６０は、ＤＥＳ演算回路２１０で処理される段数に応じて、図２に示すＳＤＥＳの第１段〜第８段の各段の鍵Ｋ₁〜Ｋ₈を出力する。第２の鍵出力回路２７０は、ＤＥＳ演算回路２２０で処理される段数に応じて、図２に示すＳＤＥＳの第９段〜第１６段の各段の鍵Ｋ₉〜Ｋ₁₆を出力する。
【０１０５】
復号処理を行う場合、第１の鍵出力回路２６０は、ＤＥＳ演算回路２２０に対してＳＤＥＳの第１段〜第８段の各段の鍵Ｋ₁〜Ｋ₈を、暗号処理とは逆順に出力する。第２の鍵出力回路２７０は、ＤＥＳ演算回路２１０に対してＳＤＥＳの第９段〜第１６段の各段の鍵Ｋ₉〜Ｋ₁₆を、暗号処理とは逆順に出力する。
【０１０６】
第１及び第２の鍵出力回路２６０、２７０がそれぞれ出力する鍵Ｋ₁〜Ｋ₁₆は、鍵セット選択回路２８０から供給される。
【０１０７】
鍵セット選択回路２８０は、ＴＤＥＳ鍵ボックス２８２と、ＳＤＥＳ鍵ボックス２８４とを含む。ＴＤＥＳ鍵ボックス２８２は、上述した鍵生成処理により予め生成されたＴＤＥＳの鍵を複数セット保持する。ＴＤＥＳの鍵は、ループさせる回数分のＳＤＥＳの鍵を有する。ＳＤＥＳの鍵は、１６段分の鍵を有する。ＳＤＥＳ鍵ボックス２８４は、上述した鍵生成処理により予め生成されたＳＤＥＳの鍵を複数セット保持する。
【０１０８】
ＴＤＥＳによる暗号処理又は復号処理を行う場合、鍵セット選択回路２８０は、ＴＤＥＳ鍵ボックス２８２に保持された複数セットのＴＤＥＳの鍵セットの中から１セットを選択し、ＳＤＥＳのループ回数に応じた１６段分の鍵を、第１及び第２の鍵出力回路２６０、２７０に出力する。
【０１０９】
暗号装置２００の各部は、制御回路２９０によって制御が行われる。制御回路２９０は、入力された各種制御信号により、上述した構成の暗号装置２００において、暗号処理と復号処理の切り替え制御、ＣＢＣモードの制御、或いはＳＤＥＳとＴＤＥＳの切り替え制御を行うことができるようになっている。
【０１１０】
ｘＲＳＴ信号は、リセット信号である。ｘＲＳＴ信号がアクティブになると、暗号装置２００を構成する各部の状態が初期状態になる。
【０１１１】
ｘＣＬＲ信号は、クリア信号である。ｘＣＬＲ信号がアクティブになると、例えばＤＥＳ演算回路２１０、２２０のレジスタの状態がリセットされる。
【０１１２】
ＤＥＳ＿ＷＡＩＴ信号は、ウェイト信号である。ＤＥＳ＿ＷＡＩＴ信号がアクティブになると、ＤＥＳ演算回路２１０、２２０の処理が中断する。ＤＥＳ＿ＷＡＩＴ信号は、例えばエピローグ回路２５０の出力をラッチするＦＩＦＯの状態に応じて生成される。
【０１１３】
ＥＸ＿ＯＲ信号は、ＣＢＣモード制御信号である。ＥＸ＿ＯＲ信号がアクティブになると、ＣＢＣモードにより暗号処理及び復号処理が行われる。そのためプロローグ回路２３０は、ＥＸ＿ＯＲ信号に応じて、ＣＢＣモードで生成された演算データ又は入力ラッチ回路２４０からの入力データを、ＤＥＳ演算回路２１０に出力することができるようになっている。またエピローグ回路２５０は、ＥＸ＿ＯＲ信号に応じてＣＢＣモードで生成された演算データ又はＤＥＳ演算回路２２０からの出力データを出力する。
【０１１４】
なおＣＢＣモードにおいて、初期化状態のときには、プロローグ回路２３０は初期化ベクタＩＶを用いて入力データとの間で排他的論理和演算を行って、入力データの値がそのまま暗号処理又は復号処理が行われないようにしている。同様に、初期化状態のときには、エピローグ回路２５０は初期化ベクタＩＶを用いてＤＥＳ演算回路２２０の出力データとの間で排他的論理和演算を行う。
【０１１５】
ＥＮ＿ｘＤＥ信号は、暗号−復号切替信号である。ＥＮ＿ｘＤＥ信号がアクティブになると、プロローグ回路２３０、ＤＥＳ演算回路２１０、２２０、エピローグ回路２５０において、図２に示す暗号処理の各処理が行われる。また第１及び第２の鍵出力回路２６０、２７０は、暗号処理の順序で各段の鍵を出力する。
【０１１６】
ＴＲＩＰＬＥ信号は、ＳＤＥＳ−ＴＤＥＳ切替信号である。ＴＲＩＰＬＥ信号がアクティブになると、ＴＤＥＳの暗号処理又は復号処理が行われる。ＴＲＩＰＬＥ信号は、例えば暗号処理又は復号処理の対象となるデータを保存するハードディスク装置のセクタ番号に基づいて切り替えることができる。この場合、セクタによってＳＤＥＳにより暗号化されたデータとＴＤＥＳにより暗号化されたデータとを混在させることができ、鍵の解読をより困難にし、機密性を大幅に高めることができる。
【０１１７】
ＴＲＩ＿ＣＯＵＮＴ信号は、ＴＤＥＳのループカウント信号である。ＴＲＩ＿ＣＯＵＮＴ信号により、ＴＤＥＳによるＳＤＥＳのループ回数が指定される。ＴＲＩ＿ＣＯＵＮＴ信号に応じて、鍵セット選択回路２８０は保持されている複数セットの鍵から、１セットを選択する。このようなＴＲＩ＿ＣＯＵＮＴ信号は、制御回路２９０において生成される。
【０１１８】
ＫＥＹ＿ＮＵＭＢＥＲ信号は、ＳＤＥＳの段数カウント信号である。ＫＥＹ＿ＮＵＭＢＥＲ信号により、ＳＤＥＳの段数が指定され、各段に対応した鍵が選択される。
【０１１９】
ＫＥＹ＿ＳＥＬ信号は、鍵選択信号である。ＫＥＹ＿ＳＥＬ信号により、鍵セット選択回路２８０に予めＴＤＥＳ鍵ボックス２８２又はＳＤＥＳ鍵ボックス２８４に記憶された複数セットの鍵の中から１セットが選択される。
【０１２０】
４．２動作の概要
次に、本実施形態における暗号装置２００の動作の概要を説明する。
【０１２１】
図１７に、暗号装置２００におけるＳＤＥＳの暗号処理の流れを模式的に示す。ただし図１６に示す暗号装置２００と同一部分には同一符号を付し、適宜説明を省略する。
【０１２２】
この場合、ＤＥＳ演算回路２１０は、第ｎのデータブロックに対して図２に示すＳＤＥＳの第１段の処理を行う。この処理結果は７回ループされ、ＤＥＳ演算回路２１０は、ＳＤＥＳの第１段〜第８段の処理を行う。このとき第１の鍵出力回路２６０は、ＫＥＹ＿ＮＵＭＢＥＲ信号に応じて、各段に対応した鍵を供給する。その結果、ＤＥＳ演算回路２１０は、ＳＤＥＳの第８段までの結果を、第ｎの中間変換データとして出力する。
【０１２３】
ＤＥＳ演算回路２２０は、第ｎの中間変換データに対して、図２に示すＳＤＥＳの第９段の処理を行う。この処理結果は７回ループされ、ＤＥＳ演算回路２２０は、ＳＤＥＳの第９段〜第１６段の処理を行う。このとき第２の鍵出力回路２７０は、ＫＥＹ＿ＮＵＭＢＥＲ信号に応じて、各段に対応した鍵を供給する。その結果、ＤＥＳ演算回路２２０は、ＳＤＥＳの第１６段までの結果を、第ｎの変換データとして出力する。
【０１２４】
プロローグ回路２３０は、ＤＥＳ演算回路２１０に、第（ｎ−１）の中間変換データと第ｎのデータブロックの入力データとに基づいて第ｎの中間変換データを生成させる。
【０１２５】
より具体的には、プロローグ回路２３０は、第ｎのデータブロックの入力データに対して初期転置処理を行った演算データを、ＤＥＳ演算回路２１０に対して出力する。ここで転置処理の対象となるのは、ＳＤＥＳのＣＢＣモード（所与の第１のモード）ではない場合は入力ラッチ回路２４０の入力データであり、ＳＤＥＳのＣＢＣモード（所与の第１のモード）の場合は該入力データと１つ前のデータブロックの第（ｎ−１）の中間変換データとの排他的論理和演算結果である。なおＣＢＣモードにおいて、入力データは、初期化時では初期化ベクタＩＶとの間の排他的論理和演算結果に対して転置処理が行われる。
【０１２６】
エピローグ回路２５０は、ＤＥＳ演算回路２２０から出力された第ｎの変換データに対して、プロローグ回路２３０で行われた初期転置処理に対応した最終転置処理を行う。
【０１２７】
このような本実施形態における暗号装置２００は、（Ｍ＋Ｎ）（Ｍ＝Ｎ＝８）段の処理により変換データを生成するために、ＤＥＳ演算回路２１０、２２０によるパイプライン動作を行う。
【０１２８】
図１８に、パイプライン動作について説明するための図を示す。
【０１２９】
入力データがブロック単位に分割され、第１のデータブロックから順に暗号処理が行われるものとする。この場合、第１のタイミングでは、ＤＥＳ演算回路２１０は、第ｎのデータブロックについて第ｎの中間変換データを生成し、ＤＥＳ演算回路２２０は、１つ前のデータブロックである第（ｎ−１）の中間変換データに基づいて第（ｎ−１）の変換データを生成する。そして、次の第１のタイミングの次の第２のタイミングでは、ＤＥＳ演算回路２１０は第ｎのデータブロックの次のブロックである第（ｎ＋１）のデータブロックについて第（ｎ＋１）の中間変換データを生成し、ＤＥＳ演算回路２２０は第１のタイミングでＤＥＳ演算回路２１０により生成された第ｎの中間変換データに基づいて第ｎの変換データを生成する。
【０１３０】
このようなパイプライン動作により、第１及び第２のタイミングを所与のクロックの１周期とすると、１クロックごとにＳＤＥＳにより暗号化された変換データを生成することができる。したがって、回路規模の縮小化と、処理の高速化とを図ることができる。
【０１３１】
またＣＢＣモードでは、ＳＤＥＳの第１６段の処理結果を次のデータブロックの入力に反映させると、ＤＥＳ演算回路２１０の処理速度の低下を招く。そのため、ＳＤＥＳの第８段の処理結果（第（ｎ−１）の中間変換データ）を用いることで、鍵の機密性を高めると共に処理速度の低下を防止することができる。
【０１３２】
図１９に、暗号装置２００におけるＳＤＥＳの復号処理の流れを模式的に示す。ただし図１７に示す暗号装置２００と同一部分には同一符号を付し、適宜説明を省略する。
【０１３３】
この場合、ＤＥＳ演算回路２１０は、第ｎのデータブロックに対して図２に示すＳＤＥＳの第１段の処理を行う。この処理結果は７回ループされ、ＤＥＳ演算回路２１０は、ＳＤＥＳの第１段〜第８段の処理を行う。このとき第２の鍵出力回路２７０が、ＫＥＹ＿ＮＵＭＢＥＲ信号に応じて、暗号処理とは逆順に各段に対応した鍵を供給する。その結果、ＤＥＳ演算回路２１０は、ＳＤＥＳの第８段までの結果を、第ｎの中間変換データとして出力する。
【０１３４】
ＤＥＳ演算回路２２０は、第ｎの中間変換データに対して、図２に示すＳＤＥＳの第９段の処理を行う。この処理結果は７回ループされ、ＤＥＳ演算回路２２０は、ＳＤＥＳの第９段〜第１６段の処理を行う。このとき、第１の鍵出力回路２６０は、ＫＥＹ＿ＮＵＭＢＥＲ信号に応じて、暗号処理とは逆順に各段に対応した鍵を供給する。その結果、ＤＥＳ演算回路２２０は、ＳＤＥＳの第１６段までの結果を、第ｎの変換データとして出力する。
【０１３５】
プロローグ回路２３０は、入力ラッチ回路２４０から入力された第ｎのデータブロックの入力データに対して初期転置処理を行った演算データを、ＤＥＳ演算回路２１０に対して出力する。
【０１３６】
エピローグ回路２５０は、第ｎの変換データと、１つ前のデータブロックの第（ｎ−１）の中間変換データとに基づいて生成された演算データを復号化された信号として出力させる。
【０１３７】
より具体的には、エピローグ回路２５０は、ＤＥＳ演算回路２２０から出力された第ｎの変換データに対して、プロローグ回路２３０で行われた初期転置処理に対応した最終転置処理を行う。ここで最終転置処理が行われたデータは、ＳＤＥＳのＣＢＣモード（所与の第１のモード）ではない場合はそのまま変換データとして出力され、ＳＤＥＳのＣＢＣモード（所与の第１のモード）の場合は１つ前のデータブロックの第（ｎ−１）の中間変換データとの間で排他的論理和演算が行われて変換データとして出力される。なおＣＢＣモードにおいて、転置処理が行われたデータは、初期化時には初期化ベクタＩＶとの間で排他的論理和演算が行われる。
【０１３８】
なお、この場合においても図１８に示すようなパイプライン動作により、復号処理を行うことができる。
【０１３９】
図２０に、暗号装置２００におけるＴＤＥＳの暗号処理の流れを模式的に示す。ただし図１７に示す暗号装置２００と同一部分には同一符号を付し、適宜説明を省略する。
【０１４０】
プロローグ回路２３０は、第ｎのデータブロックに対して初期転置処理を行った演算データを、ＤＥＳ演算回路２１０に対して出力する。このとき、次のデータブロックの第（ｎ＋１）のデータブロックについて出力するのに先立って、エピローグ回路２５０から出力された演算結果を用いて２回ループさせる。なおＴＤＥＳのＣＢＣモード（所与の第２のモード）の場合は、第ｎのデータブロックについてのＳＤＥＳの１回目の入力のときに、１つ前の第（ｎ−１）のデータブロックについての演算結果との間で行われた排他的論理和演算結果が転置処理対象となる。なお、ＴＤＥＳのＣＢＣモードにおいても、初期化時には初期化ベクタＩＶが適用される。
【０１４１】
エピローグ回路２５０は、ＤＥＳ演算回路２２０から出力された第ｎの変換データに対して、プロローグ回路２３０で行われた初期転置処理に対応した最終転置処理を行う。
【０１４２】
図２１に、暗号装置２００におけるＴＤＥＳの復号処理の流れを模式的に示す。ただし図２０に示す暗号装置２００と同一部分には同一符号を付し、適宜説明を省略する。
【０１４３】
プロローグ回路２３０は、第ｎのデータブロックに対して初期転置を行った演算データをＤＥＳ演算回路２１０に対して出力する。このとき、次の第（ｎ＋１）のデータブロックについて出力するのに先立って、エピローグ回路２５０から出力された演算結果を用いて２回ループさせる。
【０１４４】
エピローグ回路２５０は、ＤＥＳ演算回路２２０から出力された第ｎの変換データに対して、プロローグ回路２３０で行われた初期転置処理に対応した最終転置処理を行う。転置処理が行われたデータは、ＳＤＥＳの３回目のループの出力の場合には、変換データとして出力される。その際、ＴＤＥＳのＣＢＣモード（所与の第２のモード）ではない場合はそのまま変換データとして出力され、ＴＤＥＳのＣＢＣモード（所与の第２のモード）の場合は１つ前のデータブロックの第（ｎ−１）のデータブロックの入力データとの間で排他的論理和演算が行われて出力される。なおＣＢＣモードにおいて、転置処理が行われたデータは、初期化時には初期化ベクタＩＶとの間で排他的論理和演算が行われる。
【０１４５】
このようにＳＤＥＳの処理回路を流用してＴＤＥＳによる暗号処理及び復号処理を行うことができ、回路規模の増大を回避することができる。
【０１４６】
なお、ＤＥＳ演算回路（暗号処理回路）を３段以上の構成で、ＳＤＥＳの暗号処理又は復号処理を行うように構成しても、同様にＳＤＥＳの処理回路を流用してＴＤＥＳによる暗号処理及び復号処理を行うことができる。
【０１４７】
例えば図２２（Ａ）に示す第１〜第３の暗号処理回路により、ＳＤＥＳのＣＢＣモードの暗号処理を行う場合、図２２（Ｂ）に示すようなパイプライン動作で変換データが生成される。また例えば図２３（Ａ）に示す第１〜第３の暗号処理回路により、ＳＤＥＳのＣＢＣモードの復号処理を行う場合には、図２３（Ｂ）に示すようなパイプライン動作で、暗号処理されたデータを復号することができる。
【０１４８】
また例えば図２４（Ａ）に示す第１〜第４の暗号処理回路により、ＳＤＥＳのＣＢＣモードの暗号処理を行う場合、図２４（Ｂ）に示すようなパイプライン動作で変換データが生成される。また例えば図２５（Ａ）に示す第１〜第４の暗号処理回路により、ＳＤＥＳのＣＢＣモードの復号処理を行う場合には、図２５（Ｂ）に示すようなパイプライン動作で、暗号処理されたデータを復号することができる。
【０１４９】
このような複数の暗号処理回路をパイプライン動作により高速処理を行うＳＤＥＳの処理回路を上述のように３回繰り返すことで、ＴＤＥＳによる暗号処理及び復号処理を行うことができ、回路規模の増大を回避することができる。
【０１５０】
４．３複数の鍵セット
暗号装置２００は、予め鍵生成処理により生成された鍵を複数セット分、鍵ボックスに保持する。そして、鍵選択信号ＫＥＹ＿ＳＥＬにより選択した１セットを用いて、ＳＤＥＳの暗号処理及び復号処理を行うことができる。またＴＤＥＳの場合には、ＳＤＥＳの処理の各回ごとに鍵セットを選択することができる。
【０１５１】
図２６に、鍵選択処理を行う暗号装置の構成の概要を示す。
【０１５２】
ただし、図１６に示す暗号装置２００と同一部分には同一符号を付し、適宜説明を省略する。
【０１５３】
暗号装置２００において、ＤＥＳ演算回路２１０、２２０により、入力データに対して図２に示すＳＤＥＳの第１段〜第１６段の処理が行われ、変換データが生成される。ＤＥＳ演算回路２１０、２２０の各段の処理に必要な鍵は、鍵セット選択回路２８０から供給される。
【０１５４】
鍵セット選択回路２８０は、鍵生成部３００により予め複数の共通秘密鍵ＫＥＹ＿Ａ、ＫＥＹ＿Ｂ、・・・、ＫＥＹ＿Ｎから生成された１６段分の鍵をそれぞれ保持する。そして、鍵選択信号ＫＥＹ＿ＳＥＬにより、いずれか１つの鍵セットが選択され、ＤＥＳ演算回路２１０、２２０の各段に対して、選択鍵ＫＥＹ＿Ｎ１、ＫＥＹ＿Ｎ２、・・・、ＫＥＹ＿Ｎ１６として供給される。
【０１５５】
このように、予め複数の鍵セットを保持しておき、鍵選択信号ＫＥＹ＿ＳＥＬにより選択したいずれか１つの鍵セットから鍵を供給するようにしたので、たとえ１つの鍵が解読されたとしても他の鍵を用いることができるので暗号装置の暗号強度を維持することができる。しかも、鍵セットをセクタ番号等に基づいて切り替えるように構成することで、鍵の解読がより困難となり、アルゴリズムを変更することなく容易に機密性を向上させることができる。また本実施形態の場合、暗号処理（復号処理）と同時に鍵生成処理を行う場合に比べて、回路規模を抑えてパイプライン動作による処理の高速化を図ることができる。
【０１５６】
図２７に、暗号装置２００の鍵セット選択回路２８０について説明するための図を示す。
【０１５７】
ただし、図１６に示す暗号装置２００と同一部分には同一符号を付し、適宜説明を省略する。
【０１５８】
本実施形態における暗号装置２００の鍵セット選択回路２８０は、ＴＤＥＳ用の第１〜第ｐ（ｐは２以上の整数）のＴＤＥＳ鍵セットを保持するＴＤＥＳ鍵ボックス２８２と、ＳＤＥＳ用の第１〜第ｑ（ｑは２以上の整数）複数の鍵セットを保持するＳＤＥＳ鍵ボックス２８４とを備え、ＴＲＩＰＬＥ信号、ＴＲＩ＿ＣＯＵＮＴ信号、鍵選択信号ＫＥＹ＿ＳＥＬに応じて、各ボックスのいずれか１つの鍵セットを選択する。そして、暗号処理用の第１段〜第８段の鍵を第１の鍵出力回路２６０に出力し、第９段〜第１６段の鍵を第２の鍵出力回路２７０に出力する。
【０１５９】
第１の鍵出力回路２６０は、ＥＮ＿ｘＤＥ信号により暗号処理を行う場合には、ＫＥＹ＿ＮＵＭＢＥＲ信号により特定されるＳＤＥＳの処理段に応じた鍵をＤＥＳ演算回路２１０に供給する。また第１の鍵出力回路２６０は、復号処理を行う場合には、ＫＥＹ＿ＮＵＭＢＥＲ信号により特定されるＳＤＥＳの処理段に応じた鍵をＤＥＳ演算回路２２０に供給する。
【０１６０】
第２の鍵出力回路２６０は、ＥＮ＿ｘＤＥ信号により暗号処理を行う場合には、ＫＥＹ＿ＮＵＭＢＥＲ信号により特定されるＳＤＥＳの処理段に応じた鍵をＤＥＳ演算回路２２０に供給する。また第２の鍵出力回路２６０は、復号処理を行う場合には、ＫＥＹ＿ＮＵＭＢＥＲ信号により特定されるＳＤＥＳの処理段に応じた鍵をＤＥＳ演算回路２１０に供給する。
【０１６１】
４．４回路動作フローの一例
図２８に、本実施形態における暗号装置２００の回路動作フローの一例を示す。
【０１６２】
ここでは暗号処理及び復号処理の対象となるデータが、ハードディスク装置に記憶され、アクセスするデータブロックのカウント数に応じて、ＴＤＥＳ又はＳＤＥＳかを切り替えることができる場合について説明する。
【０１６３】
制御回路２９０では、入力ラッチ回路２４０から入力データを入力させると、アクセスするデータブロックのカウント数を管理するデータブロックカウント値ｄａｔａ＿ｃｎｔがインクリメントされる（ステップＳ４００）。そして、インクリメントされたデータブロックカウント値ｄａｔａ＿ｃｎｔに応じて、ＤＥＳ演算回路２１０、２２０などが制御される（ステップＳ４０１）。より具体的には、データブロックカウント値ｄａｔａ＿ｃｎｔが所与のエンド値ＥＮＤのとき、データブロックカウント値ｄａｔａ＿ｃｎｔは「０」にリセットされる。またデータブロックカウント値ｄａｔａ＿ｃｎｔが、ＴＤＥＳの開始データブロック値と一致したとき、ＴＲＩＰＬＥ信号をアクティブにする。更に、データブロックカウント値ｄａｔａ＿ｃｎｔが、ＴＤＥＳの終了データブロック値と一致したときには、ＴＩＲＰＬＥ信号をインアクティブにする。
【０１６４】
次に、制御回路２９０は、ＴＲＩ＿ＣＯＵＮＴ信号を「０」に設定し（ステップＳ４０２）、ＫＥＹ＿ＮＵＭＢＥＲ信号を「０」に設定する（ステップＳ４０３）。ＴＲＩ＿ＣＯＵＮＴ信号を「０」に設定した場合、ＴＤＥＳの処理においてＳＤＥＳの１回目の処理であることを示す。またＫＥＹ＿ＮＵＭＢＥＲ信号を「０」に設定した場合、ＳＤＥＳの第１段の処理であることを示す。
【０１６５】
その後、ＫＥＹ＿ＮＵＭＢＥＲ信号により示される段数に応じて、ＤＥＳ演算回路２１０又はＤＥＳ演算回路２２０により、ＳＤＥＳの１段分の処理が行われる（ステップＳ４０４）。
【０１６６】
ＳＤＥＳの１段分の処理が終了すると、ＫＥＹ＿ＮＵＭＢＥＲ信号が「１６」になっているか否かを検出し、「１６」になっていないとき（ステップＳ４０５：Ｎ）、ＫＥＹ＿ＮＵＭＢＥＲ信号により指定されるＳＤＥＳの段数をインクリメントし（ステップＳ４０６）、再びステップＳ４０４のＤＥＳ演算を行う。一方、ＫＥＹ＿ＮＵＭＢＥＲ信号が「１６」のとき（ステップＳ４０５：Ｙ）、ＴＲＩＰＬＥ信号が「０」で、かつＴＲＩ＿ＣＯＵＮＴ信号が「２」であるか否かを検出する。そして、ＴＲＩＰＬＥ信号が「０」で、かつＴＲＩ＿ＣＯＵＮＴ信号が「２」ではないとき（ステップＳ４０７：Ｎ）、ＴＲＩ＿ＣＯＵＮＴ信号で示されるＳＤＥＳのループ回数をインクリメントし（ステップＳ４０８）、再びステップＳ４０３に戻って、次のループのＳＤＥＳの処理を開始する。また、ＴＲＩＰＬＥ信号が「０」で、かつＴＲＩ＿ＣＯＵＮＴ信号が「２」であるとき（ステップＳ４０７：Ｙ）、ＴＤＥＳの処理が終了したと判断して、ＤＥＳ演算回路２２０の処理結果を用いて変換データを出力する。
【０１６７】
このような暗号処理（復号処理）に対して鍵を供給する鍵選択処理においては、鍵セット選択回路２８０により、鍵選択信号ＫＥＹ＿ＳＥＬに基づいて鍵セットが選択される（ステップＳ４５０）。
【０１６８】
より具体的には、ＴＲＩＰＬＥ信号がアクティブのとき、鍵選択信号ＫＥＹ＿ＳＥＬとＴＲＩ＿ＣＯＵＮＴ信号とに基づいて、関数Ｆｕｎｃｔｉｏｎ＿Ｔにより、鍵選択値ｋｓを求める。ＴＲＩＰＬＥ信号がインアクティブのとき、鍵選択信号ＫＥＹ＿ＳＥＬに基づいて、関数Ｆｕｎｃｔｉｏｎ＿Ｓにより鍵選択値ｋｓを求める。関数Ｆｕｎｃｔｉｏｎ＿Ｓは、例えば鍵選択信号ＫＥＹ＿ＳＥＬを、所与のビット操作により鍵選択値ｋｓを出力する。
【０１６９】
そして、関数Ｆｕｎｃｔｉｏｎ＿Ｒにより、鍵選択値ｋｓに対応する鍵セットを選択する（ステップＳ４５１）。ＴＤＥＳの場合は、ＴＤＥＳ鍵ボックス２８２に保持された複数の鍵セットの中から選択される。ＳＤＥＳの場合は、ＳＤＥＳ鍵ボックス２８４に保持された複数の鍵セットの中から選択される。
【０１７０】
このようにして鍵セット選択回路２８０によって選択された鍵セットの中から、ＫＥＹ＿ＮＵＭＢＥＲ信号により示されるＳＤＥＳの処理段数に応じた鍵ＫＥＹが供給される（ステップＳ４５２）。
５．データ転送制御装置
図２９に、本実施形態におけるインタフェースＩＣの構成の概要を示す。
【０１７１】
本実施形態におけるインタフェースＩＣ８００は、ＤＥＳ処理回路８１０と、メモリ８１２と、インタフェース回路８１４と、鍵セット選択回路８２０とを含む。ＤＥＳ処理回路８１０は、上述した暗号装置２００と同等の機能を有する。鍵セット選択回路８２０は、上述した暗号装置２００の鍵セット選択回路２８０と同等の機能を有する。インタフェースＩＣ８００は、外部のハードディスク装置８３０へのアクセスデータの制御を行う。より具体的には、インタフェースＩＣ８００は、メモリ８１２に書き込まれたデジタルデータについてＳＤＥＳ又はＴＤＥＳによる暗号処理を行って、インタフェース回路８１４を介し、ハードディスク装置８３０へのデジタルデータの書き込みを行う。またインタフェースＩＣ８００は、インタフェース回路８１４を介しハードディスク装置８３０から読み出された保存データを、ＳＤＥＳ又はＴＤＥＳによる復号処理を行ってデジタルデータに復号化し、メモリ８１２にバッファリングする。
【０１７２】
このようにハードディスク装置等の大容量記憶媒体にアクセスするためのインタフェースＩＣに上述した暗号装置２００を適用させることで、大容量のアクセスデータについても、高い機密性を維持したまま高速なアクセス処理を行わせることができる。
【０１７３】
図３０に、本実施形態におけるインタフェースＩＣの構成例を示す。
【０１７４】
インタフェースＩＣ８００は、汎用シリアルバスとしてのＩＥＥＥ１３９４シリアルバスを介して転送されるデータのＩＤＥ（Integrated Device Electronics）ストレージ８５０に対するアクセス制御を行う。ＩＥＥＥ１３９４シリアルバス上では、アイソクロナス（Isochronous）転送又はアシンクロナス（Asynchronous）転送が行われる。アイソクロナス転送が行われるアイソクロナスデータは、例えばリアルタイム性が要求される画像データである。アシンクロナス転送が行われるアシンクロナスデータは、例えばコマンドデータである。
【０１７５】
ＩＥＥＥ１３９４シリアルバスを介して受信されたデータは、ＩＥＥＥ１３９４物理層回路８６２及びＩＥＥＥ１３９４リンク層回路８６４を介し、第１のＤＭＡＣ（Direct Memory Access Controller）８６６に入力される。第１のＤＭＡＣ８６６は、ＤＴＣＰ処理回路８６８において、ＩＥＥＥ１３９４の暗号化規格であるＤＴＣＰ（Digital Transmission Content Protection）により復号化し、パケットメモリインタフェース８７０を介してＳＲＡＭ（Static Random Access Memory）で構成されたパケットメモリ８７２に転送する。パケットメモリ８７２では、アイソクロナスデータとアシンクロナスデータの記憶領域が区分され、更にそれぞれのデータについて送信データ領域と受信データ領域とを有している。パケットメモリインタフェース８７０は、格納するデータを仕分けして、対応する記憶領域に格納する。
【０１７６】
パケットメモリ８７２に記憶されたデータは、パケットメモリインタフェース８７０を介して、第２のＤＭＡＣ８７４により読み出される。第２のＤＭＡＣ８７４は、ＤＥＳ処理回路８７６でＳＤＥＳ又はＴＤＥＳにより暗号化する。ＤＥＳ処理回路８７６は、本実施形態における暗号装置を採用することができ、例えばＩＤＥストレージ８５０に書き込む際のセクタ番号に応じて、ＳＤＥＳ又はＴＤＥＳで暗号化する。なお暗号化するデータは、パケットメモリ８７２のアイソクロナス受信データ領域に記憶されるアイソクロナス受信データのみである。
【０１７７】
インタフェースＩＣ８００の外部には、ＳＤＲＡＭ（Synchronous DRAM）により構成されたキャッシュメモリ８８０が接続されている。第２のＤＭＡＣ８７４は、ＤＥＳ処理回路８７６により暗号化したデータを、キャッシュメモリインタフェース８７８を介して、キャッシュメモリ８８０に格納する。これにより、アイソクロナス受信データの機密性を維持することができる。
【０１７８】
一方、同様にしてパケットメモリ８７２のアシンクロナス受信データ領域に入っているアシンクロナス受信データは、図示しないホスト（例えばＣＰＵ）によりデコードされ、コマンドの解析が行われる。
【０１７９】
キャッシュメモリ８８０は、送信データ記憶領域と受信データ記憶領域とを有しており、第２のＤＭＡＣ８８４により暗号化されたアイソクロナス受信データは受信データ記憶領域に書き込まれる。
【０１８０】
その後、第３のＤＭＡＣ８８２が、キャッシュメモリ８８０からアイソクロナス受信データを読み出し、ＩＤＥインタフェース８８４を介してＩＤＥストレージ８５０に書き込む。
【０１８１】
このようにキャッシュメモリ８８０を設けることで、アイソクロナスデータをバッファリングすることができるので、ＩＤＥストレージ８５０のアクセス時間があった場合でも、所定の転送レートで転送されるデータの連続性を保証することができる。
【０１８２】
これに対して、ＩＥＥＥ１３９４シリアルバスを介して送信する場合、まず第３のＤＭＡＣ８８２により、ＩＤＥストレージ８５０からデータが読み出される。ＩＤＥストレージ８５０から読み出されたデータは、ＳＤＥＳ又はＴＤＥＳにより暗号化されており、キャッシュメモリインタフェース８７８を介して、キャッシュメモリ８８０の送信データ領域に格納される。第２のＤＭＡＣ８７４は、キャッシュメモリ８８０の送信データ領域に記憶されたデータを読み出し、ＤＥＳ処理回路８７６で復号化して、パケットメモリ８７２のアイソクロナス送信データ領域に格納する。第１のＤＭＡＣ８６６は、パケットメモリ８７２のアイソクロナス送信データ領域に記憶されたアイソクロナスデータを読み出す。読み出されたアイソクロナスデータは、ＤＴＣＰ処理回路８６８によりＤＴＣＰによる暗号化が行われ、アイソクロナスヘッダを付加してＩＥＥＥ１３９４シリアルバスに出力される。
【０１８３】
メモリポインタ管理回路８８６は、第１及び第２のＤＭＡＣ８６６、８７４の制御を行う。より具体的には、第１及び第２のＤＭＡＣ８６６、８７４がそれぞれ読み出し用ポインタ及び書き込み用ポインタを有しており、メモリポインタ管理回路８８６は、両ポインタを管理して第１及び第２のＤＭＡＣ８６６、８７４の動作制御を行う。
【０１８４】
このような構成のインタフェースＩＣ８００は、システムコントローラ８８８により制御される。
【０１８５】
６．その他
上述の実施形態では、暗号方式としてＳＤＥＳ又はＴＤＥＳを採用した場合について説明したが、これらに限定されるものではない。例えば暗号方式は、ＡＥＳ（Advanced Encryption Standard）であってもよい。ＡＥＳは、ＤＥＳの後継共通鍵暗号化方式である。
【０１８６】
図３１に、ＡＥＳの暗号処理を行う暗号装置の機能ブロック図の一例を示す。
【０１８７】
入力データ長は、１２８ビット、１９２ビット或いは２５６ビットがサポートされる。入力データは、まずＢＹＴＥ＿ＳＵＢ部９００に入力される。ＢＹＴＥ＿ＳＵＢ部９００は、ＳＢＯＸを利用して８ビットワード単位でビット変換を行う。ＢＹＴＥ＿ＳＵＢ部９００でビット変換されたデータは、ＳＨＩＦＴＲＯＷ部９０２に入力される。ＳＨＩＦＴＲＯＷ部９０２は、「ＡＢＣＤ」というデータを「ＤＡＢＣ」というデータに変換するように、８ビットワード単位でローテンションを行う。ローテンションされたデータは、ＭＩＸＣＯＬ部９０４に入力される。ＭＩＸＣＯＬ部９０４は、８ビットワード単位で乗算を行う。ＡＤＤＫＥＹ部９０６は、ＭＩＸＣＯＬ部９０４から出力されたデータと共通秘密鍵を用いて生成された鍵との排他的論理和演算を行う。
【０１８８】
以上の処理を１段分行い、入力データ長と鍵長に応じて決まる段数分だけ、再びＢＹＴＥ＿ＳＵＢ部９００に戻る。なお、最終段では、ＭＩＸＣＯＬ部９０４の処理は省略される。
【０１８９】
一方、共通秘密鍵は、ＫＥＹ＿ＥＸＰＡＮＳＩＯＮ部９０８に入力され、各段の鍵が生成される。この各段の鍵が、ＡＤＤＫＥＹ部９０６に供給される。
【０１９０】
このようなＡＥＳについても、上述した実施形態と同様に、入力データに対して暗号処理を行う少なくとも２つの演算回路を設け、それぞれ所与の段数分だけループさせて、これらをパイプライン動作させることができる。なお、この場合も、共通秘密鍵から鍵を生成しておき、段数に応じて上述の演算回路に順次供給させることができる。
【０１９１】
なお、本発明は上述した実施の形態に限定されるものではなく、本発明の要旨の範囲内で種々の変形実施が可能である。
【０１９２】
また上述した実施の形態では、ＳＤＥＳを３回ループさせるＴＤＥＳについて説明したが、適用する鍵を適宜切り替えてＳＤＥＳを２回ループ又は４回以上ループさせるようにしてもよい。
【０１９３】
さらにまた上述のデータ転送制御装置は、ＩＥＥＥ１３９４規格のシリアルバスのインタフェースを例に説明したが、これに限定されるものではない。例えばＵＳＢ（ＵＳＢ１．１、ＵＳＢ２．０など）規格のシリアルバスのインタフェースにも適用することができる。
【図面の簡単な説明】
【図１】ＳＤＥＳによる暗号処理を行う暗号装置の機能ブロック図である。
【図２】暗号処理部の処理フロー図である。
【図３】初期転置について説明するための図である。
【図４】非線形変換の機能ブロック図である。
【図５】拡大転置について説明するための図である。
【図６】ＳＢＯＸにおいて行われる圧縮換字変換について説明するための図である。
【図７】非線形変換において行われる転置について説明するための図である。
【図８】最終転置について説明するための図である。
【図９】鍵生成処理部の処理フロー図である。
【図１０】選択転置について説明するための図である。
【図１１】巡回シフト数について説明するための図である。
【図１２】圧縮転置について説明するための図である。
【図１３】ＳＤＥＳによる復号処理を行う復号装置の機能ブロック図である。
【図１４】ＣＢＣモードの暗号処理と復号処理の機能ブロック図である。
【図１５】ＴＤＥＳの処理フローの概要を示す機能ブロック図である。
【図１６】本実施形態における暗号装置のブロック構成図である。
【図１７】本実施形態における暗号装置におけるＳＤＥＳの暗号処理の流れを模式的に示す説明図である。
【図１８】本実施形態における暗号装置のパイプライン動作についての説明図である。
【図１９】本実施形態における暗号装置のＳＤＥＳの復号処理の流れを模式的に示す説明図である。
【図２０】本実施形態における暗号装置におけるＴＤＥＳの暗号処理の流れを模式的に示す説明図である。
【図２１】本実施形態における暗号装置のＴＤＥＳの復号処理の流れを模式的に示す説明図である。
【図２２】図２２（Ａ）は、３段構成されたＤＥＳ演算回路のブロック図である。図２２（Ｂ）は、３段構成されたＤＥＳ演算回路の暗号処理のパイプライン動作についての説明図である。
【図２３】図２３（Ａ）は、３段構成されたＤＥＳ演算回路のブロック図である。図２３（Ｂ）は、３段構成されたＤＥＳ演算回路の復号処理のパイプライン動作についての説明図である。
【図２４】図２４（Ａ）は、４段構成されたＤＥＳ演算回路のブロック図である。図２４（Ｂ）は、４段構成されたＤＥＳ演算回路の暗号処理のパイプライン動作についての説明図である。
【図２５】図２５（Ａ）は、４段構成されたＤＥＳ演算回路のブロック図である。図２５（Ｂ）は、４段構成されたＤＥＳ演算回路の復号処理のパイプライン動作についての説明図である。
【図２６】鍵選択処理を行う暗号装置の構成の概要を示すブロック図である。
【図２７】本実施形態における暗号装置の鍵セット選択回路についての説明図である。
【図２８】本実施形態における暗号装置の回路動作フローの一例を示す図である。
【図２９】本実施形態におけるインタフェースＩＣの構成の概要を示すブロック図である。
【図３０】本実施形態におけるインタフェースＩＣの構成例を示す機能ブロック図である。
【図３１】ＡＥＳの暗号処理を行う暗号装置の構成の概要を示すブロック図である。
【符号の説明】
１０暗号装置
１２暗号処理部
１４、７４、８０鍵生成処理部
７０復号装置
７２、９０復号処理部
８２、１００、１０２、１０４ＤＥＳ演算部
８４、９４レジスタ
９２ＤＥＳ^-1演算部
２００暗号装置
２１０ＤＥＳ演算回路（第１の暗号処理回路）
２２０ＤＥＳ演算回路（第２の暗号処理回路）
２３０プロローグ回路
２４０入力ラッチ回路
２５０エピローグ回路
２６０第１の鍵出力回路
２７０第２の鍵出力回路
２８０、８２０鍵セット選択回路
２８２ＴＤＥＳ鍵ボックス
２８４ＳＤＥＳ鍵ボックス
２９０制御回路
３００鍵生成部
８１０、８７６ＤＥＳ処理回路
８１２メモリ
８１４インタフェース回路
８３０ハードディスク装置
８５０ＩＤＥストレージ
８６２ＩＥＥＥ１３９４物理層回路
８６４ＩＥＥＥ１３９４リンク層回路
８６６第１のＤＭＡＣ
８６８ＤＴＣＰ処理回路
８７０パケットメモリインタフェース
８７２パケットメモリ
８７４第２のＤＭＡＣ
８７８キャッシュメモリインタフェース
８８０キャッシュメモリ
８８２第３のＤＭＡＣ
８８４ＩＤＥインタフェース
８８６メモリポインタ管理回路
８８８システムコントローラ[0001]
BACKGROUND OF THE INVENTION
The present invention relates to an encryption device and a data transfer control device.
[0002]
[Background Art and Problems to be Solved by the Invention]
In recent years, various types of data such as video and music have been digitized, and data such as video can be stored and used in a large-capacity storage medium such as a hard disk device. Therefore, there is an increasing demand for data security for an interface IC (Integrated Circuit) (data transfer control device in a broad sense) that controls access to a hard disk device or the like.
[0003]
Data security in the interface IC can be realized by encryption. In this case, the encryption method employed for the interface IC is an important factor in addition to its security, speeding up of processing and cost reduction.
[0004]
Up to now, common key encryption methods have been widely used in fields such as the financial industry. The common key encryption method uses the same key for encryption and decryption. Among the common key encryption methods, DES (Data Encryption Standard) was defined as the US Information Processing Standards (FIPS-PUB) 46-3 in 1977 and is the most widely used method. One.
[0005]
However, due to the dramatic improvement in information processing capability in recent years, the encryption strength of DES is not as strong as before. For this reason, triple DES may be used instead of DES.
[0006]
Hereinafter, in order to distinguish between DES and triple DES, DES is referred to as SDES (Single DES), and triple DES is referred to as TDES (Triple DES).
[0007]
TDES is an encryption method that repeats the SDES algorithm three times, and can use the SDES algorithm. Further, the same effect as that of extending the key length of the encryption key can be obtained, and the encryption strength can be increased relatively easily.
[0008]
However, when the TDES encryption method is mounted on the interface IC, there is a problem that the circuit scale increases accordingly. On the other hand, some users do not need the encryption strength by TDES, and may require high-speed encryption processing while maintaining the SDES encryption strength. Therefore, it is desirable to configure the interface IC so that SDES and TDES coexist and can be switched according to the target data.
[0009]
The present invention has been made in view of the above technical problems, and an object of the present invention is to provide a plurality of encryption methods such as SDES and TDES at an optimum circuit scale and processing speed. It is an object of the present invention to provide an encryption device and a data transfer control device that can achieve both of the above.
[0010]
[Means for Solving the Problems]
In order to solve the above-described problems, the present invention changes a key generated by a common key encryption method to input data divided into a plurality of data blocks each time and performs a given arithmetic processing (M + N) (M , N is a positive integer) times, and performs encryption processing including processing for generating conversion data for each data block, based on input data of the nth (n is an integer of 2 or more) data block A first cryptographic processing circuit that generates the nth intermediate conversion data by performing the given arithmetic processing M times, and the given arithmetic processing is performed N times based on the nth intermediate conversion data. And a second cryptographic processing circuit that generates n-th converted data, and at a first timing, the first cryptographic processing circuit is configured to perform the n-th conversion based on input data of the n-th data block. When generating intermediate conversion data The second cryptographic processing circuit generates (n-1) th conversion data based on the (n-1) th intermediate conversion data, and at the second timing next to the first timing, The first encryption processing circuit generates (n + 1) th intermediate conversion data based on the input data of the (n + 1) th data block, and the second encryption processing circuit is based on the nth intermediate conversion data. And the encryption device for generating the nth conversion data.
[0011]
In the present invention, for each data block, the key generated by the common key encryption method is changed each time, and the given arithmetic processing is performed (M + N) times to perform the encryption processing or the decryption processing to generate the conversion data. In this case, the first and second cryptographic processing circuits that perform the above arithmetic processing are used. Assuming that the first data block is sequentially input, at the first timing, the first cryptographic processing circuit performs the above arithmetic processing M times based on the input data of the nth data block, and the nth The intermediate conversion data is generated, and the second cryptographic processing circuit performs the above arithmetic processing N times based on the (n−1) th intermediate conversion data to generate the (n−1) th conversion data. To do. At the second timing next to the first timing, the first encryption processing circuit generates (n + 1) th intermediate conversion data based on the input data of the (n + 1) th data block, and The cryptographic processing circuit generates the nth conversion data based on the nth intermediate conversion data. As a result, the processing result can be obtained at high speed by the pipeline operation for the sequentially input data blocks.
[0012]
In the cryptographic apparatus according to the present invention, the first cryptographic processing circuit, when performing cryptographic processing in a given first mode, includes the (n-1) th intermediate conversion data and the nth The nth intermediate conversion data can be generated based on the input data of the data block.
[0013]
According to the present invention, when the input data of the nth data block is input to the first encryption processing circuit, it is input in association with the (n−1) th intermediate conversion data of the previous data block. be able to. Accordingly, since the input data processed by the first cryptographic processing circuit has the same contents in successive data blocks, the converted data that is finally generated will not be the same data, and the key data can be obtained with a simple configuration. Identification can be difficult.
[0014]
Further, instead of using the (n−1) th conversion data generated by the second encryption processing circuit, the (n−1) th intermediate conversion data generated by the first encryption processing circuit is used. Therefore, it is not necessary to wait for the (n-1) th conversion data to be generated, and the processing speed can be increased by the pipeline operation.
[0015]
In the cryptographic apparatus according to the present invention, the nth intermediate conversion data is subjected to an exclusive OR operation between the (n-1) th intermediate conversion data and the input data of the nth data block. It may be generated based on the operation data.
[0016]
According to the present invention, the above-described effects can be obtained by greatly simplifying the configuration.
[0017]
The encryption device according to the present invention is generated based on the nth conversion data and the (n-1) th intermediate conversion data when performing decryption processing in a given first mode. Arithmetic data can be output as a decoded signal.
[0018]
According to the present invention, in the given first mode described above, in order to make it difficult to specify the key, the (n-1) th (n-1) th of the input data of the nth data block and the previous data block. Also, the input data subjected to the encryption process in association with the intermediate conversion data can be decrypted with a simple configuration.
[0019]
In the cryptographic apparatus according to the present invention, the operation data may be data obtained by performing an exclusive logical operation between the nth conversion data and the (n-1) th intermediate conversion data.
[0020]
According to the present invention, the above-described effects can be obtained by greatly simplifying the configuration.
[0021]
In the cryptographic apparatus according to the present invention, when cryptographic processing is performed in a given second mode, the first and second cryptographic processing circuits obtained by looping the processing by the first and second cryptographic processing circuits one or more times. The (n + 1) th conversion data can be generated based on the n conversion data and the input data of the (n + 1) th data block.
[0022]
According to the present invention, encryption is performed based on the nth conversion data obtained by looping the processing by the first and second encryption processing circuits one or more times and the input data of the (n + 1) th data block. Since the processing is performed, the key length can be substantially extended without increasing the circuit scale, and the confidentiality can be greatly improved.
[0023]
In the encryption device according to the present invention, the input data of the (n + 1) th data block may be operation data obtained by performing an exclusive OR operation with the nth conversion data.
[0024]
According to the present invention, in the given second mode described above, since the input data of the (n + 1) th data block can be associated with the nth converted data with a simple configuration, encryption processing can be performed. Key identification can be made more difficult with a simple configuration.
[0025]
Further, when performing the decryption process in the given second mode, the cryptographic apparatus according to the present invention performs the nth conversion generated by looping the first and second cryptographic processing circuits one or more times. Calculation data generated based on the data and the input data of the (n−1) th data block can be output as a decoded signal.
[0026]
According to the present invention, in the given second mode described above, input data that has been subjected to encryption processing in association with preceding and subsequent data blocks in order to make it difficult to specify a key can be decrypted with a simple configuration. Processing can be performed.
[0027]
In the encryption device according to the present invention, the operation data is an exclusive OR operation result of data generated based on the nth conversion data and input data of the (n−1) th data block. There may be.
[0028]
According to the present invention, in the given second mode described above, even when encryption processing is performed by associating the input data of the (n + 1) th data block with the nth converted data, the configuration is simple. Decoding processing can be performed.
[0029]
In the cryptographic apparatus according to the present invention, the first cryptographic processing circuit repeatedly performs the cryptographic processing of each stage of DES eight times, and the second cryptographic processing circuit performs the cryptographic processing of each stage of DES by 8 times. Can be performed repeatedly.
[0030]
According to the present invention, it can be applied to DES encryption processing and decryption processing, and it is possible to speed up encryption processing and decryption processing that guarantees certain confidentiality without causing an increase in circuit scale.
[0031]
The cryptographic apparatus according to the present invention includes a first key output circuit that outputs a key corresponding to each stage of the DES performed by the first cryptographic processing circuit, and a DES performed by the second cryptographic processing circuit. A second key output circuit that outputs a key corresponding to each stage. In the cryptographic process, the first key output circuit includes eight keys one by one in the first cryptographic processing circuit. The second key output circuit outputs eight keys one by one for the processing of each stage of the DES performed by the second encryption processing circuit. In the decryption process, the first key output circuit performs the process of each stage of DES performed by the second encryption processing circuit, one by one in the reverse order of the case of the encryption process. The second key output circuit outputs eight keys one by one in the reverse order as in the case of the cryptographic process. It can be output for processing of each stage of the DES performed in the first cryptographic processing circuit.
[0032]
According to the present invention, the keys to be applied to the DES encryption process or decryption process need only be switched in order of key application. Therefore, the keys to be applied to each stage of the DES by the first and second key output circuits. The encryption process and the decryption process can be switched with a simple configuration by switching the keys supplied to the first and second encryption processing circuits.
[0033]
The encryption apparatus according to the present invention includes a key selection circuit that holds a plurality of sets of DES keys and selects any one set based on a given key selection signal, and includes the first and second key outputs. The circuit can output a key of the DES of the selected set based on the given key selection signal.
[0034]
According to the present invention, since one set of keys selected from a plurality of sets of keys is supplied, identification of the keys can be made more difficult. In addition, specifying the key set to be applied makes it more difficult to specify the key. Also, even if one set of keys is specified, the remaining keys can be applied, so confidentiality can be maintained.
[0035]
The present invention also provides an encryption for performing encryption processing on input data divided into a plurality of data blocks, including processing for changing a key generated by a common key encryption method each time and performing a given arithmetic processing a plurality of times. A first to Lth (L is an integer of 2 or more) cryptographic processing circuits that perform the given arithmetic processing one or more times, and at the first timing, the kth (1 ≦ k) .Ltoreq.L-1, k is an integer) encryption processing circuit processes the nth (n is an integer of 2 or more) data block, and the (k + 1) th encryption processing circuit is the (n-1) th. In the second timing next to the first timing, the kth cryptographic processing circuit processes the (n + 1) th data block and the (k + 1) th cryptographic processing. The circuit includes the first tie. It relates to the encryption apparatus for processing using the processing result of the encryption processing circuit of the k-th in the ring.
[0036]
In the present invention, when performing cryptographic processing including processing for performing a given arithmetic processing a plurality of times by the common key encryption method, the first to Lth cryptographic processing circuits performing the given arithmetic processing one or more times Is used. Of these, the k-th and (k + 1) -th cryptographic processing circuits are configured to perform a pipeline operation. That is, the processing result for the nth data block processed by the kth cryptographic processing circuit at the first timing is used by the (k + 1) th cryptographic processing circuit at the second timing next to the first timing. Perform arithmetic processing.
[0037]
As a result, it is not necessary to provide cryptographic processing circuits as many times as the number of times of the arithmetic processing described above, and the processing result can be obtained at high speed by pipeline operation while suppressing the circuit scale.
[0038]
The data transfer control device according to the present invention includes a memory for storing isochronous data, an interface circuit for accessing a given storage device connected to the outside, and a transfer between the memory and the interface circuit. Any of the above-described encryption apparatuses that perform encryption processing or decryption processing on isochronous data can be included.
[0039]
According to the present invention, there is provided a data transfer control device capable of improving the confidentiality of isochronous data by performing high-speed encryption processing or decryption processing on a storage device storing real-time isochronous data. be able to.
[0040]
DETAILED DESCRIPTION OF THE INVENTION
DESCRIPTION OF EMBODIMENTS Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the drawings. The embodiments described below do not unduly limit the contents of the present invention described in the claims. Also, not all of the configurations described below are essential constituent requirements of the present invention.
[0041]
The encryption apparatus according to the present embodiment generates converted data by performing a plurality of stages of arithmetic processing using input keys generated by a common key encryption method. The encryption apparatus according to the present embodiment can perform encryption processing and decryption processing by switching the application order of keys. Hereinafter, a case where the common key encryption method of the encryption device is DES will be described.
[0042]
1. Overview of SDES
First, an outline of processing contents of SDES (Single DES) will be described.
[0043]
FIG. 1 shows an outline of a functional block configuration of an encryption device that performs encryption processing by SDES.
[0044]
The encryption device 10 includes an encryption processing unit 12 and a key generation processing unit 14.
[0045]
The cryptographic processing unit 12 repeats non-linear transformation, transposition processing, and the like for 16 bits of input data (plain text) per data block in 16 stages, and outputs transformed data (cipher text). The key generation processing unit 14 uses a 64-bit common secret key and uses a 48-bit (sub) key K used in the processing of each stage of the encryption processing unit 12. ₁ ~ K ₁₆ Is generated.
[0046]
FIG. 2 shows a flowchart of the processing of the cryptographic processing unit 12.
[0047]
When 64-bit input data M is input to the cryptographic processing unit 12 in units of one data block, the input data M is randomized by performing an initial permutation (IP) (step S10). In the initial transposition, as shown in FIG. 3, the output bit position is changed according to the input bit position and output. For example, the 58th bit of the input bit is transposed to the first bit of the output, and the first bit of the input is transposed to the 40th bit of the output.
[0048]
The initial transposed data subjected to the initial transposition is divided into bits, and the upper 32 bits are converted into the first stage input data L ₀ , Lower 32 bits are input to the first stage input data R ₀ (Steps S11 and S12).
[0049]
First stage input data R ₀ Is the first stage key K ₁ The nonlinear transformation data f (R ₀ , K ₁ (Step S20-1).
[0050]
FIG. 4 shows a functional block diagram of the nonlinear transformation f.
[0051]
Here, a functional block diagram of the nonlinear transformation f of the i-th (1 ≦ i ≦ 16, i is an integer) stage is shown.
[0052]
I-th stage input data R _i-1 Is expanded transposition data ER by expanded transposition (E). _i-1 (Step S50). As shown in FIG. 5, the extended transposition (E) is performed by duplicating predetermined bits to generate 32-bit i-th stage input data R. _i-1 48-bit expanded transposed data ER _i-1 Convert to In FIG. 5, for example, the first bit of the input is output from the second bit and the 48th bit of the output, and the 32nd bit of the input is output from the first bit and the 47th bit of the output.
[0053]
Enlarged transposition data ER _i-1 Is the key K for the i-th stage _i Are subjected to an exclusive OR operation (XOR) (step S51), and each 6 bits are input to SBOX0 to SBOX7. Here, the key K for the i-th stage _i 1 to 16th key K generated by the key generation processing unit 14 provided corresponding to the cryptographic processing unit 12 as shown in FIG. ₁ ~ K ₁₆ For the i-th stage.
[0054]
The SBOXs 0 to 7 perform compression substitution conversion on the input 6 bits (steps S52-0 to S52-7).
[0055]
FIG. 6 is a diagram for explaining compression substitution conversion performed in SBOX0.
[0056]
In SBOX0, 4-bit data is specified by a row number and a column number. The row number is specified by the first (leftmost) 1 bit and the last (rightmost) 1 bit among the 6 bits inputted. The column number is specified by the remaining 4 bits among the 6 bits input. Then, the 4-bit data specified by the row number and the column number is converted in correspondence with the inputted 6 bits.
[0057]
For example, enlarged transposition data ER _i-1 And the key K for the i-th stage _i If the result of the exclusive OR operation is 6 bits “101000”, the row number is (10) ₂ Because the second line is specified, the column number is (0100) ₂ Therefore, the fourth line is specified. Therefore, 6-bit “101000” input to SBOX 0 is converted to 4-bit “1101 (= 13)”.
[0058]
Although SBOX0 has been described here, the same conversion is performed for SBOX1 to SBOX7 by the row number and the column number, respectively.
[0059]
In this way, the 4-bit conversion data output from SBOX0 to 7 is subjected to transposition processing (P) (step S53). In the transposition process, as shown in FIG. 7, the output bit position is changed according to the input bit position and output. For example, the 16th bit of the input bit is transposed to the first bit of the output, and the first bit of the input is transposed to the 9th bit of the output.
[0060]
As a result of this transposition processing (P), 32-bit non-linear conversion data ER _i-1 (= F (R _i-1 , K _i )) Is generated.
[0061]
In FIG. 2, the first stage input data R ₀ Nonlinear transformation data f (R ₀ , K ₁ ) Is the first stage input data L ₀ Are subjected to an exclusive OR operation (step S21-1), and the operation result is the second-stage input data R. ₁ (Step S22-1).
[0062]
On the other hand, the second stage input data L ₁ Is the first stage input data R ₀ (Step S23-1).
[0063]
As described above, the first stage input data L ₀ , R ₀ To second stage input data L ₁ , R ₁ If the process up to the generation of SDES is the first stage of the SDES encryption process (given calculation process), the same process is performed up to the 16th stage. In the nonlinear transformation at each stage, the key applied for each stage is changed.
[0064]
As a result, the 16th stage input data L generated in the 16th stage ₁₆ , R ₁₆ Is as follows (steps S23-16, S22-16).
[0065]
L ₁₆ = R ₁₅ ... (1)
R ₁₆ = L ₁₅ (+) F (R ₁₅ , K ₁₆ (2)
Here, (+) indicates an exclusive OR operation.
[0066]
Finally, the upper 32 bits and the lower 32 bits are replaced with the replacement data L ₁₆ 'Is the 16th stage input data R ₁₆ (Step S24), replacement data R ₁₆ 'Is the 16th stage input data L ₁₆ (Step S25), the final transposition (IP ^-1 (Step S26).
[0067]
Final transposition (IP ^-1 ) Corresponds to the initial transposition (IP), and the data in which the bit positions are replaced by the initial transposition as shown in FIG. 8 is restored. For example, the first bit of the input is transposed to the 58th bit of the output, and the 40th bit of the input is transposed to the first bit of the output.
[0068]
As a result, conversion data P is generated.
[0069]
Next, a generation flow of a key for performing non-linear transformation at each stage of the encryption processing unit 12 will be described. The key supplied to each stage is generated in the key generation processing unit 14.
[0070]
FIG. 9 shows a flowchart of the processing of the key generation processing unit 14.
[0071]
The key generation processing unit 14 receives a 64-bit common secret key K ₀ Is entered, the common secret key K ₀ On the other hand, randomization is performed by performing selective transposition (PC-1) (step S60). As shown in FIG. 10, the selective transposition is performed by changing the output bit position in accordance with the input bit position and outputting the same, and the 64-bit common secret key K ₀ 56-bit selective transposition data from which parity is removed is output. For example, the 57th bit of the input is transposed to the first bit of the output, and the first bit of the input is transposed to the eighth bit of the output.
[0072]
The selected transposed data subjected to the selective transposition is divided into bits, and the upper 28 bits are converted into the first stage input data C. ₀ , Lower 28 bits are input to the first stage input data D ₀ (Steps S61 and S62).
[0073]
First stage input data C ₀ Is cyclically shifted leftward, and the second stage input data C ₁ (Steps S63-1, S64-1). Also, the first stage input data D ₀ Is cyclically shifted leftward, and the second stage input data D ₁ (Steps S65-1, S66-1). Here, the number of bits for cyclic shift is determined for each processing stage of DES as shown in FIG. For example, the cyclic shift is performed by 1 bit in the first stage and by 2 bits in the third stage.
[0074]
Further, in the first stage, the second stage input data C generated as a result of the cyclic shift. ₁ , D ₁ Is subjected to compression transposition (PC-2) (step S67-1), and the first-stage key K ₁ Is generated.
[0075]
In compression transposition (PC-2), 28-bit second stage input data C ₁ , D ₁ The 56-bit data consisting of is converted to 48-bit data. In this compression transposition, as shown in FIG. 12, the output bit position is changed in accordance with the input bit position and output. For example, the 14th bit of the input is transposed to the first bit of the output, and the first bit of the input is transposed to the fifth bit of the output.
[0076]
The 48-bit data subjected to this compression transposition is the first stage key K ₁ Is used for the first-stage nonlinear transformation of the cryptographic processing unit 12.
[0077]
As described above, the first stage input data C ₀ , D ₀ To second stage input data C ₁ , D ₁ If the process up to the generation of SES is the first stage process of SDES key generation, the same process is performed up to the 16th stage. Thus, the key K generated at each stage ₁ ~ K ₁₆ Is applied to each stage of cryptographic processing of the cryptographic processing unit 12.
[0078]
FIG. 13 shows an outline of a functional block configuration of a decoding device that performs a decoding process by SDES.
[0079]
The decryption device 70 includes a decryption processing unit 72 and a key generation processing unit 74.
[0080]
The decryption processing unit 72 repeats non-linear transformation, transposition processing, and the like for 16 blocks of input data (ciphertext) for 16 blocks, and outputs transformed data (plaintext). The key generation processing unit 74 uses a 48-bit (sub) key K used in the processing of each stage of the decryption processing unit 72 from the 64-bit common secret key. ₁ ~ K ₁₆ Is generated.
[0081]
The decryption processing unit 72 can be realized by taking the reverse procedure of the encryption processing unit 12 described above. In this case, the key of each stage of the decryption processing unit 72 is the key K as opposed to the encryption process. ₁₆ , K ₁₅ ... K ₁ The order is applied.
[0082]
The key generation processing unit 74 changes the left cyclic shift of the key generation processing unit 14 described above to the right cyclic shift, so that the key K is generated for each stage. ₁₆ , K ₁₅ ... K ₁ Are generated in this order.
[0083]
In this way, the decryption process can be made common to the process contents of each stage of the encryption process if attention is paid to the process contents of each stage. The encryption device according to the present embodiment is configured to share a circuit that performs encryption processing and perform decryption processing using the circuit.
[0084]
2. Encryption mode
In SDES, plain text or cipher text as input data is divided into a plurality of blocks, and encryption processing or decryption processing is performed in block data units. Therefore, in the case of the same block data, the converted data may be the same, and the key is easily identified. Therefore, in SDES, various encryption modes such as a CBC (Cipher Block Chaining) mode and a CFB (Cipher FeedBack) mode are used.
[0085]
FIG. 14 shows a functional block diagram of encryption processing and decryption processing in the CBC mode.
[0086]
In the encryption processing unit 80, the DES operation unit 82 performs encryption processing in units of block data and generates converted data. The j-th data block of plaintext that is subjected to encryption processing in the DES operation unit 82 is represented by M _j Then, the data block M _j And conversion data C of the previous data block _j-1 Are subjected to an exclusive OR operation, and the operation result is input to the DES operation unit 82. The DES calculation unit 82 performs an encryption process on the calculation result and performs conversion data C _j Is generated. Conversion data C _j Is output as ciphertext and held in the register 84. When the next plaintext data block is input, the operation data generated using the conversion data of the previous block held in the register 84 is input to the DES operation unit 82.
[0087]
In the decryption processing unit 90, DES ^-1 The calculation unit 92 performs a decoding process on a block data basis to generate converted data (decoded data, plain text). DES ^-1 The jth data block of the ciphertext to be decrypted by the calculation unit 92 is represented by C _j Then, the data block C _j DES ^-1 Decoding is performed in the calculation unit 92. DES ^-1 The conversion data C of the previous data block with respect to the conversion data decoded by the calculation unit 92 _j-1 The result of performing an exclusive OR operation with the converted data is converted data (decoded data) M _j It becomes. Conversion data C _j Is input to the decryption processing unit 90 as ciphertext and held in the register 94. When the next data block of the ciphertext is input, the operation result generated using the conversion data of the previous block held in the register 94 is the data block M of the decrypted text. _j Is output as
[0088]
As a result, even if the content of the block data is the same, encryption processing is performed on the calculation result corresponding to the content of the previous data block, so that it is difficult to specify the key without taking a complicated configuration. can do.
[0089]
3. Overview of TDES
By the way, against the background of advances in computer technology and the like, the information processing capability has been remarkably improved, and there is a limit to the safety of the SDES described above. Therefore, there is a TDES that loops SDES three times to further increase safety.
[0090]
FIG. 15 shows an outline of the processing flow of TDES.
[0091]
The encryption processing by TDES is realized by performing the above-described SDES encryption processing or decryption processing by the DES operation units 100, 102, and 104. The DES operation unit 100 performs a key set K having a key for each stage of encryption processing on 64-bit plaintext input data. _0A SDES encryption processing is applied. The DES operation unit 102 applies a key set K having a key for each stage of decryption processing to the converted data output from the DES operation unit 100. _0B Of SDES applying DES (DES ^-1 )I do. The DES operation unit 104 applies a key set K having a key for each stage of encryption processing to the converted data output from the DES operation unit 102. _0C Is applied to the SDES, and the converted data C is output.
[0092]
In this way, key set K _0A , K _0B , K _0C Are all different, the key length is 192 (= 64 × 3) bits, and the encryption strength can be further increased.
[0093]
Note that when performing the TDES decryption process, the decryption process, the encryption process, and the decryption process may be performed in the order opposite to the encryption process illustrated in FIG.
[0094]
4). Cryptographic device in this embodiment
TDES encryption processing and decryption processing can sufficiently secure confidentiality as described above, but their scale increases and cost reduction cannot be achieved as compared with SDES circuits. On the other hand, since the confidentiality is sufficiently maintained even with the strength of encryption by SDES, SDES mode for performing SDES encryption processing (decryption processing) or TDES encryption processing (decryption) according to the type of target data. It is desirable that the TDES mode in which the processing is performed can be switched.
[0095]
Therefore, the encryption apparatus according to the present embodiment is configured to perform processing for 16 stages of SDES by pipeline operation by a plurality of DES arithmetic circuits having the same configuration. That is, it has first to L-th (L is an integer equal to or larger than 2) DES arithmetic circuits (encryption processing circuits in a broad sense) that perform processing of each stage of SDES one or more times, and at least kth (1 ≦≦ k ≦ L−1, k is an integer) and the (k + 1) th DES arithmetic circuit can perform the pipeline operation.
[0096]
Furthermore, the encryption device according to the present embodiment realizes encryption processing or decryption processing by TDES by looping the SDES processing that performs the above-described pipeline operation a plurality of times. By doing so, encryption processing and decryption processing by TDES are realized without increasing the circuit scale, and processing by higher speed SDES is realized.
[0097]
In addition, the cryptographic apparatus according to the present embodiment does not perform the key generation process, holds the key generated in advance by the above-described key generation process, and applies it to the process of each stage of the SDES. As a result, it is not necessary to perform key generation processing during the pipeline operation, so that the pipeline processing can be speeded up.
[0098]
4.1 Block configuration
In the following, a cryptographic apparatus that is composed of 2 (L = 2) stages of DES arithmetic circuits and performs a pipeline operation will be described. However, it has three or more stages (L ≧ 3) of DES arithmetic circuits. A pipeline operation may be performed.
[0099]
FIG. 16 is a block diagram of the encryption device according to this embodiment.
[0100]
The encryption device 200 in the present embodiment includes DES arithmetic circuits (first and second encryption processing circuits) 210 and 220 having the same configuration. Each of the DES arithmetic circuits 210 and 220 performs one-stage processing (given arithmetic processing) such as non-linear transformation of SDES and exclusive OR operation shown in FIG. When performing encryption processing or decryption processing in (M + N) (M and N are positive integers) stages, the DES arithmetic circuits 210 and 220 perform M stages of arithmetic processes and N stages of arithmetic processes, respectively. It can be carried out. When performing 16 stages of processing by SDES, it is desirable to perform 8 stages (M = N = 8) in order to perform high-speed processing by pipeline operation. The encryption device 200 will be described as performing eight steps.
[0101]
A prolog circuit 230 is connected to the DES arithmetic circuit 210. Based on the output from the prologue circuit 230, the DES arithmetic circuit 210 performs the processing of the first to eighth stages of the SDES shown in FIG. 2 and outputs intermediate conversion data. An input latch circuit 240 is connected to the prologue circuit 230. Input latch circuit 240 latches input data in units of data blocks. The prologue circuit 230 can perform an initial transposition process on the 64-bit data input to the input latch circuit 240. Alternatively, the prologue circuit may perform an initial transposition process on the exclusive OR operation result of the 64-bit data input to the input latch circuit 240 and the intermediate conversion data generated by the DES operation circuit 210. it can.
[0102]
An epilogue circuit 250 is connected to the DES arithmetic circuit 220. Based on the intermediate conversion data generated by the DES operation circuit 210, the DES operation circuit 220 performs processing of each of the 9th to 16th stages of the SDES shown in FIG. 2, and converts the converted data (final conversion data). Output. The epilogue circuit 250 can perform a final transposition process on the conversion data generated by the DES operation circuit 220. Alternatively, the epilogue circuit 250 can perform an exclusive OR operation on the conversion data generated by the DES operation circuit 220 and the intermediate conversion data generated by the DES operation circuit 210.
[0103]
The encryption device 200 includes first and second key output circuits 260 and 270 that output keys of each stage of the SDES to the DES operation circuits 210 and 220. Here, the number of key output circuits is not limited to two, and may not be the same as the number of DES arithmetic circuits.
[0104]
In the case of performing the encryption process, the first key output circuit 260, depending on the number of stages processed by the DES arithmetic circuit 210, has a key K for each of the first to eighth stages of the SDES shown in FIG. ₁ ~ K ₈ Is output. The second key output circuit 270 corresponds to the key K of each of the ninth to sixteenth stages of the SDES shown in FIG. 2 according to the number of stages processed by the DES arithmetic circuit 220. ₉ ~ K ₁₆ Is output.
[0105]
When performing the decryption process, the first key output circuit 260 sends the key K of each stage from the first stage to the eighth stage of SDES to the DES arithmetic circuit 220. ₁ ~ K ₈ Are output in the reverse order to the encryption processing. The second key output circuit 270 provides a key K for each of the ninth to sixteenth stages of the SDES with respect to the DES arithmetic circuit 210. ₉ ~ K ₁₆ Are output in the reverse order to the encryption processing.
[0106]
Keys K output from the first and second key output circuits 260 and 270, respectively ₁ ~ K ₁₆ Is supplied from the key set selection circuit 280.
[0107]
The key set selection circuit 280 includes a TDES key box 282 and an SDES key box 284. The TDES key box 282 holds a plurality of sets of TDES keys generated in advance by the key generation process described above. The TDES key has as many SDES keys as the number of loops. The SDES key has 16 levels of keys. The SDES key box 284 holds a plurality of sets of SDES keys generated in advance by the key generation process described above.
[0108]
When performing encryption processing or decryption processing by TDES, the key set selection circuit 280 selects one set from a plurality of TDES key sets held in the TDES key box 282, and sets 16 according to the number of SDES loops. The keys for the stages are output to the first and second key output circuits 260 and 270.
[0109]
Each unit of the encryption device 200 is controlled by the control circuit 290. The control circuit 290 can perform control of switching between encryption processing and decryption processing, control of CBC mode, or control of switching between SDES and TDES in the encryption device 200 having the above-described configuration based on various input control signals. It has become.
[0110]
The xRST signal is a reset signal. When the xRST signal becomes active, the state of each unit constituting the encryption device 200 becomes the initial state.
[0111]
The xCLR signal is a clear signal. When the xCLR signal becomes active, for example, the register states of the DES arithmetic circuits 210 and 220 are reset.
[0112]
The DES_WAIT signal is a wait signal. When the DES_WAIT signal becomes active, the processing of the DES arithmetic circuits 210 and 220 is interrupted. The DES_WAIT signal is generated in accordance with the state of the FIFO that latches the output of the epilogue circuit 250, for example.
[0113]
The EX_OR signal is a CBC mode control signal. When the EX_OR signal becomes active, encryption processing and decryption processing are performed in the CBC mode. Therefore, the prologue circuit 230 can output the operation data generated in the CBC mode or the input data from the input latch circuit 240 to the DES operation circuit 210 according to the EX_OR signal. The epilogue circuit 250 outputs operation data generated in the CBC mode or output data from the DES operation circuit 220 in response to the EX_OR signal.
[0114]
In the CBC mode, in the initialization state, the prologue circuit 230 performs an exclusive OR operation with the input data using the initialization vector IV, and the value of the input data is directly subjected to encryption processing or decryption processing. I am trying not to break it. Similarly, in the initialization state, the epilogue circuit 250 performs an exclusive OR operation with the output data of the DES operation circuit 220 using the initialization vector IV.
[0115]
The EN_xDE signal is an encryption / decryption switching signal. When the EN_xDE signal becomes active, the prologue circuit 230, the DES operation circuits 210 and 220, and the epilogue circuit 250 perform the respective encryption processes shown in FIG. The first and second key output circuits 260 and 270 output the keys of the respective stages in the order of encryption processing.
[0116]
The TRIPLE signal is a SDES-TDES switching signal. When the TRIPLE signal becomes active, TDES encryption or decryption is performed. The TRIPLE signal can be switched based on, for example, the sector number of a hard disk device that stores data to be encrypted or decrypted. In this case, data encrypted by SDES by the sector and data encrypted by TDES can be mixed, making it more difficult to decipher the key and greatly improving confidentiality.
[0117]
The TRI_COUNT signal is a TDES loop count signal. The number of SDES loops by TDES is specified by the TRI_COUNT signal. In response to the TRI_COUNT signal, the key set selection circuit 280 selects one set from a plurality of held keys. Such a TRI_COUNT signal is generated in the control circuit 290.
[0118]
The KEY_NUMBER signal is a SDES stage count signal. The number of stages of SDES is designated by the KEY_NUMBER signal, and a key corresponding to each stage is selected.
[0119]
The KEY_SEL signal is a key selection signal. By the KEY_SEL signal, one set is selected from a plurality of sets of keys stored in the TDES key box 282 or the SDES key box 284 in advance by the key set selection circuit 280.
[0120]
4.2 Outline of operation
Next, an outline of the operation of the encryption device 200 in the present embodiment will be described.
[0121]
FIG. 17 schematically shows the flow of SDES encryption processing in the encryption apparatus 200. However, the same parts as those of the encryption device 200 shown in FIG.
[0122]
In this case, the DES arithmetic circuit 210 performs the first stage processing of the SDES shown in FIG. 2 for the nth data block. This processing result is looped seven times, and the DES arithmetic circuit 210 performs the first to eighth steps of SDES. At this time, the first key output circuit 260 supplies a key corresponding to each stage in accordance with the KEY_NUMBER signal. As a result, the DES operation circuit 210 outputs the results up to the eighth stage of SDES as the nth intermediate conversion data.
[0123]
The DES arithmetic circuit 220 performs the ninth stage processing of the SDES shown in FIG. 2 for the nth intermediate conversion data. This processing result is looped seven times, and the DES arithmetic circuit 220 performs the 9th to 16th stages of SDES. At this time, the second key output circuit 270 supplies a key corresponding to each stage in accordance with the KEY_NUMBER signal. As a result, the DES operation circuit 220 outputs the results up to the 16th stage of SDES as the nth conversion data.
[0124]
The prologue circuit 230 causes the DES arithmetic circuit 210 to generate the nth intermediate conversion data based on the (n−1) th intermediate conversion data and the input data of the nth data block.
[0125]
More specifically, the prologue circuit 230 outputs operation data obtained by performing initial transposition processing on input data of the nth data block to the DES operation circuit 210. In this case, the target of the transposition processing is the input data of the input latch circuit 240 when the SES CBC mode (the given first mode) is not used, and the SDES CBC mode (the given first mode). ) Is an exclusive OR operation result of the input data and the (n-1) -th intermediate conversion data of the previous data block. In the CBC mode, the input data is transposed on the exclusive OR operation result with the initialization vector IV at the time of initialization.
[0126]
The epilogue circuit 250 performs a final transposition process corresponding to the initial transposition process performed by the prologue circuit 230 on the nth conversion data output from the DES operation circuit 220.
[0127]
The encryption device 200 according to the present embodiment performs a pipeline operation by the DES operation circuits 210 and 220 in order to generate conversion data by (M + N) (M = N = 8) stages of processing.
[0128]
FIG. 18 is a diagram for explaining the pipeline operation.
[0129]
Assume that the input data is divided into blocks, and encryption processing is performed in order from the first data block. In this case, at the first timing, the DES arithmetic circuit 210 generates the nth intermediate conversion data for the nth data block, and the DES arithmetic circuit 220 is the (n−1) th data block that is the previous data block. The (n-1) th conversion data is generated based on the intermediate conversion data. Then, at the second timing next to the next first timing, the DES arithmetic circuit 210 converts the (n + 1) -th intermediate conversion data for the (n + 1) -th data block that is the next block of the n-th data block. The DES operation circuit 220 generates the nth conversion data based on the nth intermediate conversion data generated by the DES operation circuit 210 at the first timing.
[0130]
By such a pipeline operation, if the first and second timings are one cycle of a given clock, conversion data encrypted by SDES can be generated for each clock. Therefore, the circuit scale can be reduced and the processing speed can be increased.
[0131]
In the CBC mode, if the processing result of the 16th stage of SDES is reflected in the input of the next data block, the processing speed of the DES arithmetic circuit 210 is reduced. Therefore, by using the processing result of the eighth stage of SDES ((n-1) th intermediate conversion data), it is possible to increase the confidentiality of the key and prevent the processing speed from decreasing.
[0132]
FIG. 19 schematically shows the flow of the SDES decryption process in the encryption device 200. However, the same parts as those of the encryption apparatus 200 shown in FIG.
[0133]
In this case, the DES arithmetic circuit 210 performs the first stage processing of the SDES shown in FIG. 2 for the nth data block. This processing result is looped seven times, and the DES arithmetic circuit 210 performs the first to eighth steps of SDES. At this time, the second key output circuit 270 supplies keys corresponding to the respective stages in reverse order to the encryption processing in accordance with the KEY_NUMBER signal. As a result, the DES operation circuit 210 outputs the results up to the eighth stage of SDES as the nth intermediate conversion data.
[0134]
The DES arithmetic circuit 220 performs the ninth stage processing of the SDES shown in FIG. 2 for the nth intermediate conversion data. This processing result is looped seven times, and the DES arithmetic circuit 220 performs the 9th to 16th stages of SDES. At this time, the first key output circuit 260 supplies keys corresponding to the respective stages in reverse order to the encryption processing in accordance with the KEY_NUMBER signal. As a result, the DES operation circuit 220 outputs the results up to the 16th stage of SDES as the nth conversion data.
[0135]
The prologue circuit 230 outputs operation data obtained by performing initial transposition processing on the input data of the nth data block input from the input latch circuit 240 to the DES operation circuit 210.
[0136]
The epilogue circuit 250 outputs operation data generated based on the nth conversion data and the (n-1) th intermediate conversion data of the previous data block as a decoded signal.
[0137]
More specifically, the epilogue circuit 250 performs final transposition processing corresponding to the initial transposition processing performed by the prologue circuit 230 on the nth conversion data output from the DES arithmetic circuit 220. If the data subjected to the final transposition processing is not in the SDES CBC mode (given first mode), it is output as converted data as it is, and the data in the SDES CBC mode (given first mode) is output. In this case, an exclusive OR operation is performed with respect to the (n-1) th intermediate conversion data of the previous data block and output as conversion data. In the CBC mode, the data subjected to the transposition process is subjected to an exclusive OR operation with the initialization vector IV at the time of initialization.
[0138]
Even in this case, the decoding process can be performed by the pipeline operation as shown in FIG.
[0139]
FIG. 20 schematically shows the flow of TDES encryption processing in the encryption apparatus 200. However, the same parts as those of the encryption apparatus 200 shown in FIG.
[0140]
The prologue circuit 230 outputs operation data obtained by performing the initial transposition processing on the nth data block to the DES operation circuit 210. At this time, prior to outputting the (n + 1) th data block of the next data block, the calculation result output from the epilogue circuit 250 is used to loop twice. In the case of the TDES CBC mode (a given second mode), when the SDES is input for the n-th data block for the first time, the previous (n−1) -th data block is The result of the exclusive OR operation performed between the operation results is the transposition processing target. Even in the TDES CBC mode, the initialization vector IV is applied at the time of initialization.
[0141]
The epilogue circuit 250 performs a final transposition process corresponding to the initial transposition process performed by the prologue circuit 230 on the nth conversion data output from the DES operation circuit 220.
[0142]
FIG. 21 schematically shows a flow of TDES decryption processing in the encryption device 200. However, the same parts as those of the encryption device 200 shown in FIG.
[0143]
The prologue circuit 230 outputs the operation data obtained by performing the initial transposition on the nth data block to the DES operation circuit 210. At this time, prior to outputting the next (n + 1) th data block, the calculation result output from the epilogue circuit 250 is used to loop twice.
[0144]
The epilogue circuit 250 performs a final transposition process corresponding to the initial transposition process performed by the prologue circuit 230 on the nth conversion data output from the DES operation circuit 220. In the case of the output of the third loop of SDES, the data subjected to the transposition processing is output as converted data. At this time, if it is not the TDES CBC mode (given second mode), it is output as converted data as it is, and if it is the TDES CBC mode (given second mode), the data block of the previous data block is output. An exclusive OR operation is performed on the input data of the (n−1) th data block and output. In the CBC mode, the data subjected to the transposition process is subjected to an exclusive OR operation with the initialization vector IV at the time of initialization.
[0145]
In this way, encryption processing and decryption processing by TDES can be performed by utilizing the processing circuit of SDES, and an increase in circuit scale can be avoided.
[0146]
Even if the DES operation circuit (encryption processing circuit) is configured to perform SDES encryption processing or decryption processing with a configuration of three or more stages, the SDES processing circuit is also diverted to perform encryption processing and decryption by TDES. Processing can be performed.
[0147]
For example, when the SES CBC mode encryption processing is performed by the first to third encryption processing circuits shown in FIG. 22A, converted data is generated by a pipeline operation as shown in FIG. Further, for example, when the SES CBC mode decryption processing is performed by the first to third cryptographic processing circuits shown in FIG. 23A, the cryptographic processing is performed by the pipeline operation as shown in FIG. Data can be decrypted.
[0148]
Further, for example, when performing encryption processing in the CBC mode of SDES by the first to fourth encryption processing circuits shown in FIG. 24A, converted data is generated by a pipeline operation as shown in FIG. . Also, for example, when the SES CBC mode decryption processing is performed by the first to fourth cryptographic processing circuits shown in FIG. 25A, the cryptographic processing is performed by the pipeline operation as shown in FIG. Data can be decrypted.
[0149]
By repeating the SDES processing circuit that performs high-speed processing of such a plurality of encryption processing circuits by pipeline operation three times as described above, encryption processing and decryption processing by TDES can be performed, which increases the circuit scale. It can be avoided.
[0150]
4.3 Multiple key sets
The encryption device 200 holds a plurality of sets of keys generated in advance by the key generation process in the key box. Then, using one set selected by the key selection signal KEY_SEL, SDES encryption processing and decryption processing can be performed. In the case of TDES, a key set can be selected for each SDES process.
[0151]
FIG. 26 shows an outline of the configuration of an encryption device that performs key selection processing.
[0152]
However, the same parts as those of the encryption apparatus 200 shown in FIG.
[0153]
In the encryption device 200, the DES arithmetic circuits 210 and 220 perform the first to 16th stages of the SDES shown in FIG. 2 on the input data to generate converted data. Keys necessary for processing in each stage of the DES arithmetic circuits 210 and 220 are supplied from the key set selection circuit 280.
[0154]
The key set selection circuit 280 holds the 16-stage keys generated from the plurality of common secret keys KEY_A, KEY_B,..., KEY_N by the key generation unit 300 in advance. Then, any one key set is selected by the key selection signal KEY_SEL, and is supplied to each stage of the DES arithmetic circuits 210 and 220 as selection keys KEY_N1, KEY_N2,..., KEY_N16.
[0155]
As described above, since a plurality of key sets are held in advance and keys are supplied from any one key set selected by the key selection signal KEY_SEL, even if one key is decrypted, other keys are Since the key can be used, the encryption strength of the encryption device can be maintained. In addition, by configuring the key set to be switched based on the sector number or the like, it becomes more difficult to decrypt the key, and the confidentiality can be easily improved without changing the algorithm. Further, in the case of the present embodiment, compared to the case where the key generation process is performed simultaneously with the encryption process (decryption process), it is possible to reduce the circuit scale and speed up the process by the pipeline operation.
[0156]
FIG. 27 is a diagram for explaining the key set selection circuit 280 of the encryption device 200.
[0157]
However, the same parts as those of the encryption apparatus 200 shown in FIG.
[0158]
The key set selection circuit 280 of the encryption device 200 according to the present embodiment includes a TDES key box 282 that holds first to pth TDES key sets for TDES (p is an integer of 2 or more), and first to first SDES keys. QS (q is an integer of 2 or more) SDES key box 284 that holds a plurality of key sets, and selects one key set in each box according to TRIPLE signal, TRI_COUNT signal, and key selection signal KEY_SEL To do. Then, the first to eighth stage keys for encryption processing are output to the first key output circuit 260, and the ninth to 16th stage keys are output to the second key output circuit 270.
[0159]
When performing encryption processing using the EN_xDE signal, the first key output circuit 260 supplies the DES operation circuit 210 with a key corresponding to the processing stage of the SDES specified by the KEY_NUMBER signal. The first key output circuit 260 supplies a key corresponding to the processing stage of the SDES specified by the KEY_NUMBER signal to the DES arithmetic circuit 220 when performing the decryption process.
[0160]
When performing encryption processing using the EN_xDE signal, the second key output circuit 260 supplies the DES arithmetic circuit 220 with a key corresponding to the processing stage of the SDES specified by the KEY_NUMBER signal. The second key output circuit 260 supplies the DES arithmetic circuit 210 with a key corresponding to the processing stage of the SDES specified by the KEY_NUMBER signal when performing the decryption process.
[0161]
4.4 Example of circuit operation flow
FIG. 28 shows an example of a circuit operation flow of the encryption device 200 in the present embodiment.
[0162]
Here, a case will be described in which data to be subjected to encryption processing and decryption processing is stored in a hard disk device and can be switched between TDES and SDES in accordance with the count number of data blocks to be accessed.
[0163]
In the control circuit 290, when input data is input from the input latch circuit 240, the data block count value data_cnt for managing the count number of the data block to be accessed is incremented (step S400). Then, the DES operation circuits 210 and 220 are controlled according to the incremented data block count value data_cnt (step S401). More specifically, when the data block count value data_cnt is a given end value END, the data block count value data_cnt is reset to “0”. When the data block count value data_cnt matches the start data block value of TDES, the TRIPLE signal is activated. Further, when the data block count value data_cnt matches the end data block value of TDES, the TIRPLE signal is made inactive.
[0164]
Next, the control circuit 290 sets the TRI_COUNT signal to “0” (step S402), and sets the KEY_NUMBER signal to “0” (step S403). When the TRI_COUNT signal is set to “0”, this indicates the first processing of SDES in the TDES processing. When the KEY_NUMBER signal is set to “0”, it indicates that the process is the first stage of SDES.
[0165]
Thereafter, processing for one stage of SDES is performed by the DES arithmetic circuit 210 or the DES arithmetic circuit 220 according to the number of stages indicated by the KEY_NUMBER signal (step S404).
[0166]
When the processing of one stage of SDES is completed, it is detected whether or not the KEY_NUMBER signal is “16” (step S405: N). When the SDES is not “16”, the SDES specified by the KEY_NUMBER signal is detected. The number of stages is incremented (step S406), and the DES operation in step S404 is performed again. On the other hand, when the KEY_NUMBER signal is “16” (step S405: Y), it is detected whether the TRIPLE signal is “0” and the TRI_COUNT signal is “2”. When the TRIPLE signal is “0” and the TRI_COUNT signal is not “2” (step S407: N), the SDES loop number indicated by the TRI_COUNT signal is incremented (step S408), and the process returns to step S403 again. Then, the processing of SDES in the next loop is started. Further, when the TRIPLE signal is “0” and the TRI_COUNT signal is “2” (step S407: Y), it is determined that the processing of TDES has ended, and the conversion data is obtained using the processing result of the DES arithmetic circuit 220. Is output.
[0167]
In key selection processing for supplying a key to such encryption processing (decryption processing), the key set selection circuit 280 selects a key set based on the key selection signal KEY_SEL (step S450).
[0168]
More specifically, when the TRIPLE signal is active, the key selection value ks is obtained by the function Function_T based on the key selection signal KEY_SEL and the TRI_COUNT signal. When the TRIPLE signal is inactive, the key selection value ks is obtained by the function Function_S based on the key selection signal KEY_SEL. The function Function_S outputs, for example, a key selection signal KEY_SEL and a key selection value ks by a given bit operation.
[0169]
Then, a key set corresponding to the key selection value ks is selected by the function Function_R (step S451). In the case of TDES, it is selected from a plurality of key sets held in the TDES key box 282. In the case of SDES, it is selected from a plurality of key sets held in the SDES key box 284.
[0170]
A key KEY corresponding to the number of processing stages of SDES indicated by the KEY_NUMBER signal is supplied from the key sets selected by the key set selection circuit 280 in this way (step S452).
5). Data transfer control device
FIG. 29 shows an outline of the configuration of the interface IC in the present embodiment.
[0171]
The interface IC 800 in this embodiment includes a DES processing circuit 810, a memory 812, an interface circuit 814, and a key set selection circuit 820. The DES processing circuit 810 has a function equivalent to that of the encryption device 200 described above. The key set selection circuit 820 has a function equivalent to the key set selection circuit 280 of the encryption device 200 described above. The interface IC 800 controls access data to the external hard disk device 830. More specifically, the interface IC 800 performs encryption processing by SDES or TDES on the digital data written in the memory 812 and writes the digital data to the hard disk device 830 via the interface circuit 814. Further, the interface IC 800 decrypts the storage data read from the hard disk device 830 via the interface circuit 814 into digital data by performing a decoding process using SDES or TDES, and buffers the data in the memory 812.
[0172]
In this way, by applying the above-described encryption device 200 to the interface IC for accessing a large-capacity storage medium such as a hard disk device, high-speed access processing can be performed while maintaining high confidentiality even for large-capacity access data. Can be done.
[0173]
FIG. 30 shows a configuration example of the interface IC in the present embodiment.
[0174]
The interface IC 800 performs access control to an IDE (Integrated Device Electronics) storage 850 of data transferred through the IEEE 1394 serial bus as a general-purpose serial bus. Isochronous transfer or asynchronous transfer is performed on the IEEE 1394 serial bus. Isochronous data for which isochronous transfer is performed is, for example, image data that requires real-time performance. Asynchronous data for which asynchronous transfer is performed is, for example, command data.
[0175]
Data received via the IEEE 1394 serial bus is input to a first DMAC (Direct Memory Access Controller) 866 via the IEEE 1394 physical layer circuit 862 and the IEEE 1394 link layer circuit 864. The first DMAC 866 is a packet memory that is decrypted by the DTCP processing circuit 868 using DTCP (Digital Transmission Content Protection), which is an IEEE 1394 encryption standard, and configured by an SRAM (Static Random Access Memory) via the packet memory interface 870. 872. The packet memory 872 is divided into storage areas for isochronous data and asynchronous data, and further includes a transmission data area and a reception data area for each data. The packet memory interface 870 sorts data to be stored and stores it in a corresponding storage area.
[0176]
The data stored in the packet memory 872 is read by the second DMAC 874 via the packet memory interface 870. The second DMAC 874 is encrypted by SDES or TDES by the DES processing circuit 876. The DES processing circuit 876 can employ the encryption device according to the present embodiment. For example, the DES processing circuit 876 performs encryption using SDES or TDES according to the sector number when writing to the IDE storage 850. The data to be encrypted is only isochronous reception data stored in the isochronous reception data area of the packet memory 872.
[0177]
A cache memory 880 composed of SDRAM (Synchronous DRAM) is connected to the outside of the interface IC 800. The second DMAC 874 stores the data encrypted by the DES processing circuit 876 in the cache memory 880 via the cache memory interface 878. Thereby, the confidentiality of isochronous reception data can be maintained.
[0178]
On the other hand, similarly, the asynchronous reception data in the asynchronous reception data area of the packet memory 872 is decoded by a host (not shown) (for example, CPU), and the command is analyzed.
[0179]
The cache memory 880 has a transmission data storage area and a reception data storage area, and isochronous reception data encrypted by the second DMAC 884 is written in the reception data storage area.
[0180]
Thereafter, the third DMAC 882 reads isochronous reception data from the cache memory 880 and writes it to the IDE storage 850 via the IDE interface 884.
[0181]
By providing the cache memory 880 in this way, isochronous data can be buffered, so that continuity of data transferred at a predetermined transfer rate is ensured even when the IDE storage 850 has access time. Can do.
[0182]
On the other hand, when data is transmitted via the IEEE 1394 serial bus, data is first read from the IDE storage 850 by the third DMAC 882. Data read from the IDE storage 850 is encrypted by SDES or TDES, and is stored in the transmission data area of the cache memory 880 via the cache memory interface 878. The second DMAC 874 reads the data stored in the transmission data area of the cache memory 880, decodes it by the DES processing circuit 876, and stores it in the isochronous transmission data area of the packet memory 872. The first DMAC 866 reads isochronous data stored in the isochronous transmission data area of the packet memory 872. The read isochronous data is encrypted by DTCP by the DTCP processing circuit 868, added with an isochronous header, and output to the IEEE 1394 serial bus.
[0183]
The memory pointer management circuit 886 controls the first and second DMACs 866 and 874. More specifically, the first and second DMACs 866 and 874 each have a read pointer and a write pointer, and the memory pointer management circuit 886 manages both pointers to manage the first and second DMACs 866. , 874 are controlled.
[0184]
The interface IC 800 having such a configuration is controlled by the system controller 888.
[0185]
6). Other
In the above-described embodiment, the case where SDES or TDES is adopted as the encryption method has been described, but the present invention is not limited to this. For example, the encryption method may be AES (Advanced Encryption Standard). AES is a successor common key encryption method of DES.
[0186]
FIG. 31 shows an example of a functional block diagram of an encryption apparatus that performs AES encryption processing.
[0187]
The input data length is 128 bits, 192 bits, or 256 bits. Input data is first input to the BYTE_SUB unit 900. The BYTE_SUB unit 900 performs bit conversion in units of 8-bit words using SBOX. The data bit-converted by the BYTE_SUB unit 900 is input to the SHIFTROW unit 902. The SHIFTROW unit 902 performs rotation in units of 8-bit words so as to convert data “ABCD” into data “DABC”. The rotated data is input to the MIXCOL unit 904. The MIXCOL unit 904 performs multiplication in units of 8-bit words. The ADDKEY unit 906 performs an exclusive OR operation on the data output from the MIXCOL unit 904 and the key generated using the common secret key.
[0188]
The above process is performed for one stage, and the process returns to the BYTE_SUB unit 900 again by the number of stages determined according to the input data length and the key length. In the final stage, the processing of the MIXCOL unit 904 is omitted.
[0189]
On the other hand, the common secret key is input to the KEY_EXPANSION unit 908, and a key for each stage is generated. The key of each stage is supplied to the ADDKEY unit 906.
[0190]
For such AES, similarly to the above-described embodiment, at least two arithmetic circuits that perform encryption processing on input data are provided, and each of them is looped by a given number of stages, and these are pipeline-operated. Can do. In this case as well, a key can be generated from the common secret key and sequentially supplied to the arithmetic circuit according to the number of stages.
[0191]
In addition, this invention is not limited to embodiment mentioned above, A various deformation | transformation implementation is possible within the range of the summary of this invention.
[0192]
In the above-described embodiment, the TDES that loops the SDES three times has been described. However, the SDES may be looped twice or four times or more by appropriately switching the keys to be applied.
[0193]
Furthermore, although the above-described data transfer control device has been described by taking an example of an interface of an IEEE1394 standard serial bus, the present invention is not limited to this. For example, the present invention can also be applied to a serial bus interface of USB (USB 1.1, USB 2.0, etc.) standard.
[Brief description of the drawings]
FIG. 1 is a functional block diagram of a cryptographic device that performs cryptographic processing using SDES.
FIG. 2 is a processing flowchart of an encryption processing unit.
FIG. 3 is a diagram for explaining initial transposition;
FIG. 4 is a functional block diagram of nonlinear conversion.
FIG. 5 is a diagram for explaining enlarged transposition;
FIG. 6 is a diagram for explaining compression substitution conversion performed in SBOX.
FIG. 7 is a diagram for explaining transposition performed in nonlinear transformation.
FIG. 8 is a diagram for explaining final transposition;
FIG. 9 is a processing flow diagram of a key generation processing unit.
FIG. 10 is a diagram for explaining selective transposition;
FIG. 11 is a diagram for explaining the number of cyclic shifts.
FIG. 12 is a diagram for explaining compression transposition;
FIG. 13 is a functional block diagram of a decoding device that performs a decoding process using SDES.
FIG. 14 is a functional block diagram of encryption processing and decryption processing in CBC mode.
FIG. 15 is a functional block diagram showing an outline of a processing flow of TDES.
FIG. 16 is a block configuration diagram of an encryption device according to the present embodiment.
FIG. 17 is an explanatory diagram schematically showing the flow of SDES encryption processing in the encryption device according to the present embodiment.
FIG. 18 is an explanatory diagram of a pipeline operation of the encryption device according to the present embodiment.
FIG. 19 is an explanatory diagram schematically showing a flow of SDES decryption processing of the encryption device according to the present embodiment.
FIG. 20 is an explanatory diagram schematically showing a flow of TDES encryption processing in the encryption device according to the present embodiment.
FIG. 21 is an explanatory diagram schematically illustrating a flow of TDES decryption processing of the encryption device according to the present embodiment.
FIG. 22A is a block diagram of a three-stage DES arithmetic circuit. FIG. 22B is an explanatory diagram regarding the pipeline operation of the encryption processing of the DES arithmetic circuit configured in three stages.
FIG. 23A is a block diagram of a three-stage DES arithmetic circuit. FIG. 23B is an explanatory diagram of the pipeline operation of the decoding process of the three-stage DES arithmetic circuit.
FIG. 24A is a block diagram of a four-stage DES arithmetic circuit. FIG. 24B is an explanatory diagram of the pipeline operation of the encryption process of the DES arithmetic circuit configured in four stages.
FIG. 25A is a block diagram of a four-stage DES arithmetic circuit. FIG. 25B is an explanatory diagram of the pipeline operation of the decoding process of the DES arithmetic circuit configured in four stages.
FIG. 26 is a block diagram illustrating an outline of a configuration of an encryption device that performs key selection processing;
FIG. 27 is an explanatory diagram of a key set selection circuit of the encryption device according to the present embodiment.
FIG. 28 is a diagram illustrating an example of a circuit operation flow of the encryption device according to the present embodiment.
FIG. 29 is a block diagram showing an outline of a configuration of an interface IC in the present embodiment.
FIG. 30 is a functional block diagram showing a configuration example of an interface IC in the present embodiment.
FIG. 31 is a block diagram illustrating an outline of a configuration of an encryption device that performs AES encryption processing;
[Explanation of symbols]
10 Cryptographic device
12 Cryptographic processing part
14, 74, 80 Key generation processing unit
70 Decoding device
72, 90 Decoding processing unit
82, 100, 102, 104 DES operation unit
84, 94 registers
92 DES ^-1 Calculation unit
200 Cryptographic device
210 DES arithmetic circuit (first cryptographic processing circuit)
220 DES arithmetic circuit (second cryptographic processing circuit)
230 Prologue circuit
240 Input latch circuit
250 epilogue circuit
260 First key output circuit
270 Second key output circuit
280, 820 Key set selection circuit
282 TDES key box
284 SDES key box
290 Control circuit
300 Key generator
810, 876 DES processing circuit
812 memory
814 interface circuit
830 Hard disk device
850 IDE storage
862 IEEE 1394 Physical Layer Circuit
864 IEEE 1394 link layer circuit
866 first DMAC
868 DTCP processing circuit
870 packet memory interface
872 packet memory
874 Second DMAC
878 Cache memory interface
880 cache memory
882 Third DMAC
884 IDE interface
886 Memory pointer management circuit
888 system controller

Claims

For input data divided into a plurality of data blocks, the key generated by the common key encryption method is changed each time, and a given calculation process is performed (M + N) (M and N are positive integers) times, and the data An encryption device that performs encryption processing including processing for generating conversion data for each block,
A first cryptographic processing circuit that generates the nth intermediate conversion data by performing the given arithmetic processing M times based on input data of an nth (n is an integer of 2 or more) data block;
A second cryptographic processing circuit for generating the nth conversion data by performing the given arithmetic processing N times based on the nth intermediate conversion data;
Including
In the first timing,
The first encryption processing circuit generates the nth intermediate conversion data based on the input data of the nth data block, and the second encryption processing circuit generates (n-1) th intermediate conversion data. (N-1) th conversion data is generated based on
In the second timing after the first timing,
The first encryption processing circuit generates (n + 1) th intermediate conversion data based on input data of the (n + 1) th data block, and the second encryption processing circuit converts the nth intermediate conversion data into the nth intermediate conversion data. And generating the nth conversion data based on
After the input data of the nth data block is supplied, the data corresponding to the output from the second cryptographic processing circuit is returned to the first cryptographic processing circuit a given number of times, and then the first The cryptographic processing circuit performs arithmetic processing on input data of the (n + 1) th data block.

In claim 1,
The first cryptographic processing circuit includes:
When encryption processing is performed in a given first mode, nth intermediate conversion data is generated based on the (n-1) th intermediate conversion data and the input data of the nth data block. A cryptographic device characterized by the above.

In claim 2,
The n-th intermediate conversion data is
An encryption device generated based on operation data obtained by performing an exclusive OR operation between the (n-1) -th intermediate conversion data and input data of the n-th data block.

In any one of Claims 1 thru | or 3,
When performing decryption in a given first mode:
An encryption apparatus that outputs operation data generated based on the n-th conversion data and the (n-1) -th intermediate conversion data as a decrypted signal.

In claim 4,
The calculation data is
An encryption apparatus, wherein the data is an exclusive OR operation between the n-th converted data and the (n-1) -th intermediate converted data.

In claim 1,
When performing cryptographic processing in a given second mode:
Based on the nth conversion data obtained by looping the processing by the first and second cryptographic processing circuits one or more times and the input data of the (n + 1) th data block, the (n + 1) th An encryption device for generating conversion data of

In claim 6,
The input data of the (n + 1) th data block is
An encryption apparatus, wherein the encryption data is an exclusive OR operation with the n-th conversion data.

In claim 1, 6 or 7,
When performing decryption in a given second mode:
Arithmetic data generated based on the nth conversion data generated by looping the first and second cryptographic processing circuits one or more times and the input data of the (n-1) th data block Is output as a decrypted signal.

In claim 8,
The calculation data is
An encryption apparatus, which is an exclusive OR operation result of data generated based on the nth conversion data and input data of the (n-1) th data block.

In any one of Claims 1 thru | or 9,
The first cryptographic processing circuit includes:
DES encryption process is repeated 8 times,
The second cryptographic processing circuit includes:
An encryption apparatus, wherein the encryption process of each stage of DES is repeated eight times.

In claim 10,
A first key output circuit for outputting a key corresponding to each stage of DES performed in the first cryptographic processing circuit;
A second key output circuit for outputting a key corresponding to each stage of DES performed in the second cryptographic processing circuit;
Including
In cryptographic processing,
The first key output circuit outputs eight keys one by one for processing of each stage of DES performed by the first encryption processing circuit,
The second key output circuit outputs eight keys one by one for processing of each stage of DES performed by the second encryption processing circuit,
In the decryption process,
The first key output circuit outputs eight keys one by one in reverse order to the case of encryption processing, for processing of each stage of DES performed by the second encryption processing circuit,
The second key output circuit outputs eight keys one by one in reverse order to the case of encryption processing for processing of each stage of DES performed by the first encryption processing circuit. Cryptographic device.

In claim 11,
A key selection circuit for holding a plurality of sets of DES keys and selecting any one set based on a given key selection signal;
The first and second key output circuits are:
An encryption apparatus that outputs a set of DES keys selected based on the given key selection signal.

An encryption device that performs cryptographic processing including processing for performing a given arithmetic processing multiple times by changing a key generated by a common key encryption method each time for input data divided into a plurality of data blocks,
Including first to L-th (L is an integer of 2 or more) cryptographic processing circuits that perform the given arithmetic processing one or more times,
In the first timing,
The k-th (1 ≦ k ≦ L−1, k is an integer) cipher processing circuit processes the n-th (n is an integer of 2 or more) data block, and the (k + 1) -th cipher processing circuit is , Process the (n-1) th data block,
In the second timing after the first timing,
The kth cryptographic processing circuit processes the (n + 1) th data block, and the (k + 1) th cryptographic processing circuit uses the processing result of the kth cryptographic processing circuit at the first timing. Process
After the input data of the nth data block is supplied, the data corresponding to the output from the Lth cryptographic processing circuit is returned to the first cryptographic processing circuit a given number of times, and then the first The cryptographic processing circuit performs arithmetic processing on input data of the (n + 1) th data block.

A memory for storing isochronous data;
An interface circuit for accessing a given externally connected storage device;
The encryption device according to any one of claims 1 to 13, wherein encryption processing or decryption processing is performed on isochronous data transferred between the memory and the interface circuit;
A data transfer control device comprising: