(57)【要約】  データセキュリティ装置は、アナログコンポーネントを含む。アナログコンポーネントは、高度なエントロピーをもって内部的に動作する。この高度のエントロピーは、外部の駆動信号に応答するコンポーネント間の相互作用に存する。このアナログコンポーネント内の相互作用は、アナログコンポーネントのデジタルシミュレーションが非実用的なるのに十分な高いレベルのエントロピーを有する。アナログコンポーネントは、デジタルシミュレーションを実用的に実行できないため、これをデジタルクローン不能と呼ぶ。データセキュリティ装置は、平文データを暗号文へと暗号化し、及び／またはデータを暗号文から平文へと復号化することによりデータを処理する。平文と暗号文の間の変換の一部が、アナログコンポーネントを用いる。アナログコンポーネントはデジタルクローン不能である（つまり、デジタルシミュレーションを実用的に実行できない）ため、アナログコンポーネントを用いる変換プロセスの一部では、アナログコンポーネント自体の保有または同じ署名を持つ別のアナログコンポーネントの保有が必要となる。【選択図】図１４Ａ
2020525863.tif 000002
【特許請求の範囲】
【請求項１】
第１電極信号線とそれぞれ電気的に接続されている第１電極と、
前記第１電極上にある液晶セルと、
前記液晶セル上にあり前記第１電極に対向する１個以上の第２電極と、
前記液晶セルに光入力を伝達するよう構成された入力導波路と、
前記液晶セルの光出力を感知するよう構成されたセンサと、
を備える装置。
【請求項２】
前記液晶セルの光出力を前記センサに伝達する出力導波路を更に備える請求項１に記載の装置。
【請求項３】
第１の方向に第１の寸法値を有する前記第１電極のうちの第１のものと、
前記第１の方向に第２の寸法値を有する前記第１電極のうちの第２のものと、
を更に含み、
前記第１の寸法値は、前記第２の寸法値とは異なる、
請求項１に記載の装置。
【請求項４】
前記液晶セルと接触し、不規則な分子配列を有するポリイミド層を更に備える請求項１に記載の装置。
【請求項５】
アナログコンポーネントと、
長さ｜Ｍ｜のデジタルデータＭを取得することと、デジタルキーストリーム
【数１】
2020525863.tif 000070
を決定することと、Ｍの最初の｜Ｍ｜ビットにつき暗号文
【数２】
2020525863.tif 000071
を計算することとを含む所与の動作を実行するように適合された制御回路と、
を備える装置であって、
Ｎはノンスであり、
Ｋ１及びＫ２は鍵であり、
Ｅ１Ｋ１（Ｎ）はＫ１を用いてＮを暗号化したものであり、
Ｅ２Ｋ２（Ｎ）はＫ２を用いてＮを暗号化したものであり、
Ａは前記アナログコンポーネントであり、
【数３】
2020525863.tif 000072
はＫ１を用いて
【数４】
2020525863.tif 000073
を暗号化したものであり、
【数５】
2020525863.tif 000074
は、
Ｅ１Ｋ１（Ｎ）を用いてアナログコンポーネント入力Ａｉを取得することと、
前記アナログコンポーネント入力Ａｉに基づいて、前記アナログコンポーネントＡからアナログコンポーネント出力Ａｏを取得することと、
前記アナログコンポーネント出力Ａｏのデジタル表現を取得することと、
【数６】
2020525863.tif 000075
を前記デジタル表現に基づくものとすることと、
によって決定される、
装置。
【請求項６】
前記アナログコンポーネントＡは、第１の側に第１電極を有し、第２の側に第２電極を有する液晶セルを含み、
前記制御回路は、Ｅ１Ｋ１（Ｎ）を用いて前記第１電極を駆動し、
前記アナログコンポーネント出力Ａｏは、前記制御回路によって駆動された前記液晶セルの光出力を感知することにより決定される、
請求項５に記載の装置。
【発明の詳細な説明】
【技術分野】
【０００１】
（関連出願への相互参照）
本出願は、２０１７年６月９日に出願された米国仮特許出願第６２ ／５１７，５３３号からの優先権の利益を主張するものであり、参照のため、その全体を本明細書に組み込んでいる。
【図面の簡単な説明】
【０００２】
図面は、以下の説明のより良い理解を提供するために含められており、本明細書に組み込まれてその一部を構成する。これらの図面は、本開示の例示的な実施形態を示し、発明の詳細な説明とともに、本開示の原理を説明するものである。
【０００３】
【図１Ａ】第１層を示す、アナログコンポーネント１００の第１のサブコンポーネント１０５の例示的な実施形態を示す。
【０００４】
【図１Ｂ】図１Ａに示す例の断面図である。
【図１Ｃ】図１Ａに示す例の断面図である。
【図１Ｄ】図１Ａに示す例の断面図である。
【図１Ｅ】図１Ａに示す例の断面図である。
【図１Ｆ】図１Ａに示す例の断面図である。
【０００５】
【図２Ａ】例示的な実施形態の第２層を示す。
【０００６】
【図２Ｂ】図２Ａに示す例の断面図である。
【図２Ｃ】図２Ａに示す例の断面図である。
【図２Ｄ】図２Ａに示す例の断面図である。
【図２Ｅ】図２Ａに示す例の断面図である。
【図２Ｆ】図２Ａに示す例の断面図である。
【０００７】
【図３Ａ】例示的な実施形態の第３層を示す。
【０００８】
【図３Ｂ】図３Ａに示す例の断面図である。
【図３Ｃ】図３Ａに示す例の断面図である。
【図３Ｄ】図３Ａに示す例の断面図である。
【図３Ｅ】図３Ａに示す例の断面図である。
【図３Ｆ】図３Ａに示す例の断面図である。
【０００９】
【図４Ａ】例示的な実施形態の第４層を示す。
【００１０】
【図４Ｂ】図４Ａに示す例の断面図である。
【図４Ｃ】図４Ａに示す例の断面図である。
【図４Ｄ】図４Ａに示す例の断面図である。
【図４Ｅ】図４Ａに示す例の断面図である。
【図４Ｆ】図４Ａに示す例の断面図である。
【００１１】
【図５Ａ】例示的な実施形態の第４層を示す。
【００１２】
【図５Ｂ】図５Ａに示す例の断面図である。
【図５Ｃ】図５Ａに示す例の断面図である。
【図５Ｄ】図５Ａに示す例の断面図である。
【図５Ｅ】図５Ａに示す例の断面図である。
【図５Ｆ】図５Ａに示す例の断面図である。
【００１３】
【図６Ａ】例示的な実施形態の第４層を示す。
【００１４】
【図６Ｂ】図６Ａに示す例の断面図である。
【図６Ｃ】図６Ａに示す例の断面図である。
【図６Ｄ】図６Ａに示す例の断面図である。
【図６Ｅ】図６Ａに示す例の断面図である。
【図６Ｆ】図６Ａに示す例の断面図である。
【００１５】
【図７Ａ】例示的な実施形態の第４層を示す。
【００１６】
【図７Ｂ】図７Ａに示す例の断面図である。
【図７Ｃ】図７Ａに示す例の断面図である。
【図７Ｄ】図７Ａに示す例の断面図である。
【図７Ｅ】図７Ａに示す例の断面図である。
【図７Ｆ】図７Ａに示す例の断面図である。
【００１７】
【図８Ａ】例示的な実施形態の第４層を示す。
【００１８】
【図８Ｂ】図８Ａに示す例の断面図である。
【図８Ｃ】図８Ａに示す例の断面図である。
【図８Ｄ】図８Ａに示す例の断面図である。
【図８Ｅ】図８Ａに示す例の断面図である。
【図８Ｆ】図８Ａに示す例の断面図である。
【００１９】
【図９Ａ】例示的な実施形態の第４層を示す。
【００２０】
【図９Ｂ】図９Ａに示す例の断面図である。
【図９Ｃ】図９Ａに示す例の断面図である。
【図９Ｄ】図９Ａに示す例の断面図である。
【図９Ｅ】図９Ａに示す例の断面図である。
【図９Ｆ】図９Ａに示す例の断面図である。
【００２１】
【図１０Ａ】例示的な実施形態の第４層を示す。
【００２２】
【図１０Ｂ】図１０Ａに示す例の断面図である。
【図１０Ｃ】図１０Ａに示す例の断面図である。
【図１０Ｄ】図１０Ａに示す例の断面図である。
【図１０Ｅ】図１０Ａに示す例の断面図である。
【図１０Ｆ】図１０Ａに示す例の断面図である。
【００２３】
【図１１Ａ】例示的な実施形態の第４層を示す。
【００２４】
【図１１Ｂ】図１１Ａに示す例の断面図である。
【図１１Ｃ】図１１Ａに示す例の断面図である。
【図１１Ｄ】図１１Ａに示す例の断面図である。
【図１１Ｅ】図１１Ａに示す例の断面図である。
【図１１Ｆ】図１１Ａに示す例の断面図である。
【００２５】
【図１２Ａ】アナログコンポーネント１００の第２のサブコンポーネント１０７の底面図の例示的な実施形態を示す。
【００２６】
【図１２Ｂ】図１２Ａに示す例の断面を示す。
【００２７】
【図１３Ａ】第１のサブコンポーネント１０５及び第２のサブコンポーネント１０７を含めて組み立てられたアナログコンポーネント１００の例示的な実施形態の上面図を示す。
【００２８】
【図１３Ｂ】図１３Ａに示されている例示的な実施形態の断面を示す。
【図１３Ｃ】図１３Ａに示されている例示的な実施形態の断面を示す。
【００２９】
【図１４Ａ】アナログコンポーネント１００として組み立てられた、図１１Ｆと同様の例示的な実施形態を示す。
【００３０】
【図１４Ｂ】アナログコンポーネント１００として組み立てられた、図１１Ｅと同様の例示的な実施形態を示す。
【００３１】
【図１５】例示的な動作を説明するため、第１電極信号線１２０を示す。
【００３２】
【図１６】例示的な動作を説明するため、第１電極信号線１２０及び第１電極３２０を示す。
【００３３】
【図１７】例示的な動作に係る液晶セル１６００の内部上面図を示す。
【００３４】
【図１８】他の例示的な動作に係る液晶セル１６００の内部上面図を示す。
【００３５】
【図１９Ａ】暗号化の動作を実行するためのデータセキュリティ装置２０００を示す。
【００３６】
【図１９Ｂ】復号化の動作を実行するためのデータセキュリティ装置２０００を示す。
【００３７】
【図２０】データセキュリティ装置２０００における制御回路２１００とアナログコンポーネント１００との間の関係を示す。
【００３８】
【図２１】制御回路２１００における例示的な実施形態に係る暗号化の動作のフローを示す。
【００３９】
【図２２】制御回路２１００における例示的な実施形態に係る復号化の動作のフローを示す。
【００４０】
【図２３】１６ラウンド換字転置ネットワークである例示的なブロック暗号Ｅ１の全体構造を示し、更にブロック暗号の変種Ｅ２を示す。
【００４１】
【図２４】認証付き暗号化（ＡＥ）スキームの動作を示す。
【００４２】
【図２５】例示的な実施形態に係るブロック暗号を用いた関数ＥＫの構造を示す。
【００４３】
【図２６】例示的な実施形態に係る暗号化の動作のカウンタモードを示す。
【００４４】
【図２７】例示的な実施形態に係る動作のメッセージ認証コードモードを示す。
【００４５】
【図２８】例示的な実施形態に係る全体的なＡＥＡ暗号化モードを示す。
【発明を実施するための形態】
【００４６】
データセキュリティ装置は、アナログコンポーネントを含む。このアナログコンポーネントは、高度なエントロピーを伴って内部的に動作する。この高度のエントロピーは、外部の駆動信号に応答する内部のコンポーネント間の相互作用に存する。このアナログコンポーネント内部の相互作用は、このアナログコンポーネントのデジタルシミュレーションが非実用的となるのに十分な高いレベルのエントロピーを有する。以下説明するアナログコンポーネントは、デジタルシミュレーションを実用的に実行できないため、デジタルクローン不能と呼ぶ。
【００４７】
以下説明するアナログコンポーネントは、入力を受け取り、この入力に基づいて出力を生成する。２個のアナログコンポーネントが同様に作られている場合、同一の入力に応答して同じ出力を生成する。アナログコンポーネントが入力から出力を生成する手法を、アナログコンポーネントの署名と呼ぶ。
【００４８】
データセキュリティ装置は、平文データを暗号文に暗号化すること、及び／又はデータを暗号文から平文に復号化することによってデータを処理する。平文と暗号文との間の変換の一部が、アナログコンポーネントを用いる。アナログコンポーネントはデジタルクローン不能である（つまり、デジタルシミュレーションを実用的に実行できない）ため、アナログコンポーネントを使用する変換過程の一部では、当該アナログコンポーネント自体の保有、または同一の署名を有する他のアナログコンポーネントの保有が必要となる。
【００４９】
種々の例示的な実施形態において、所与のアナログコンポーネントまたは所与のアナログコンポーネントセットの署名は、製造プロセスを調整することにより修正される。以下説明するように、この調整は容易かつ安価に行われる。他の例示的な実施形態では、署名は、アナログコンポーネントの製造工程外で修正される。
【００５０】
以下説明するデータセキュリティ装置は、送信中のデータにも静止データと等しく適用可能なスループット暗号化及び復号化システムである。
【００５１】
発明者は、高性能デジタルクラスタを用いた場合、わずか１サイクルのデータの復号化にも２年間の処理が必要であることを、シミュレーションの研究を通じて見出した。次のサイクルのデータには更に２年間を要することになる。これが、以下で敷衍する上記の高レベルのエントロピーの機能である。その上、量子コンピューティングも、アナログコンポーネントの機能をデジタルシミュレートすることの非実用性を軽減するものとは考えられていない。
【００５２】
このデータセキュリティ装置は、一般に、アナログコンポーネントと駆動コンポーネントを有する。はじめにアナログコンポーネントを説明し、その後、駆動コンポーネントを説明する。
【００５３】
アナログコンポーネント
図１Ａないし１８は、データセキュリティ装置で使用するためのアナログコンポーネント１００の例示的な実施形態を表す。この例示的な実施形態は、本発明の概念の原理を教示するために提供される教示的な実施形態である。当業者は多くの修正、改変、変更、改善及び代替を行い得るものであり、それらはすべて、本明細書に記載の本発明の概念の範囲内にあるとみなされる。本発明の概念の境界は、添付の特許請求の範囲に記載されたところによる。加えて、特に反対の断りがない限り、図１Ａないし図１３Ｃに示す構造を構築するため、利用可能な機器と選択された材料の詳細に従って、任意の既知の製造技術が用いられる。
【００５４】
図１Ａないし１Ｆは、以下においてアナログコンポーネント１００と呼ぶ装置を部分的に示す。これらの図において、第１のサブコンポーネント１０５は、第１の基板１１０上に構築されている状態で示されている。この例示的な実施形態では、第１の基板１１０はシリコンオンインシュレータ基板である。他の例示的な実施形態では、導電性材料で作られた任意の構造を付加する前に、誘電体層が設けられる。第１の基板１１０は、導電性の幾つかのパッド１３０を含む。パッド１３０の幾つかは、同じく導電性である第１電極信号線１２０と一体である。これらの図は、１６個の第１電極信号線１２０を示している。他の例示的な実施形態では、第１電極信号線１２０の数は６４個あるいは１２８個である。ここで、「第１」という用語は、製造の順序を意味するものではなく、これらの信号線を後述する他の信号線と区別するためにのみ用いている。
【００５５】
図２Ａないし２Ｆは、図１Ａないし１Ｆに描かれた配置上の第１の誘電体層２１０を部分的に示す。信号線ビア２２０は導電性材料で充填され、第１電極信号線１２０を延長する。パッド１３０は、パッド延長部２３０によって同様に延長される。例示的な実施形態は、１６個の信号線ビア２２０を有しており、１個が第１電極信号線１２０のいずれかに対応する。図２Ｃは、信号線ビア２２０が第１電極信号線１２０と直接接触しているところを示す。この配置は厳密には必要ではなく、他の中間コンポーネントが介在していてもよい。
【００５６】
図３Ａないし３Ｆは、アナログコンポーネント１００の第１サブコンポーネント１０５の第３層を部分的に示す。第３層は、導電体で形成された接地面３５０、導電体で形成された第１電極３２０及び絶縁体で形成された第２の誘電体層３１０を含む。パッド延長部２３０により延長されたパッド１３０の幾つかは、接地面３５０に電気的に接続されているため接地されているパッド３３０である。
【００５７】
図３Ａに示す例示的な実施形態では、接地面３５０が、第１電極３２０が形成される内部領域を定めている。図３Ａに示す例示的な実施形態では、第１電極３２０は、内部領域の一方の側にすべて形成され、内部領域の他方の側には電極がない。
【００５８】
図３Ａはまた、第１電極３２０が行及び列をなして形成されていることを示す。第１電極３２０の長さは、図３Ｅに示す断面のように、行ごとに寸法が異なる。第１電極３２０の幅及び深さは、図３Ｄに示す断面のように、各列が均一である。図３Ａを参照すると、異なる行の任意の所与の２つの電極に関して、電極の第１のものは第１の方向に第１の寸法値を有し、電極の第２のものは、同じ第１の方向（すなわち、図３Ｅに示す断面に沿った方向）に第２の寸法値を有し、第１の寸法値は第２の寸法値と異なる、ということができる。換言すれば、第１電極３２０の長さ、幅又は深さは多様である。
【００５９】
図３Ａないし３Ｆに示す例では、第１電極３２０は、図面の下端に最も近い行から始まって、行ごとに長さが２倍になっている。寸法の他の変形も可能であり、本発明の概念の範囲内における代替的な例示的実施形態を構成する。
【００６０】
図３Ｃでは、第１電極３２０は、第１電極信号線１２０とそれぞれ電気的に接続されている。ここで、「電気的に接続」とは、電荷が導体の経路に沿って移動できることを意味する。図３Ｃの例示的な実施形態では、導体の経路は、信号線ビア２２０内に形成された導電性材料を含む。信号線ビア２２０は、厳密にはすべての例示的な実施形態において存在する必要はない。他の例示的な実施形態では、第１電極３２０は、第１電極信号線１２０と一体に形成される。更に他の例示的な実施形態では、第１電極３２０及び第１電極信号線１２０は、所与の実装における工学的要件に応じ、追加的な層、線及びビアによって電気的に接続される。
【００６１】
図３Ｃでは、パッド延長部２３０は、以前に形成された層からのパッド延長部２３０上に形成される。読者は、この例示的な実施形態では、所望のアクセス及び試験を容易にするため、パッド１３０に各層が構築されることを理解するであろう。パッド延長部２３０は、不要であれば、特定のパッド１３０から省略されてもよい。
【００６２】
図４Ａないし４Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第４層を部分的に示す。この層では、第１のクラッド層４１０及び幾つかの接地面ポスト４５０が、第３層上に形成される。図４Ｄは、接地面ポスト４５０が接地面３５０と電気的に接続されていることを断面で示す。
【００６３】
図４Ｃ及び４Ｅは、第１電極３２０が第１のクラッド層４１０の直下にあることを示す。
【００６４】
図５Ａないし５Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第５層を部分的に示しており、入力導波路５６１、出力導波路５６４、及び導波路スペーサ５６０を含む多くの要素が、導波路材料で形成されている。他の例示的な実施形態における出力導波路５６４の数は、１６個以上である。図５Ａないし５Ｆの例示的な実施形態では、５６４の数は、第１電極３２０の列の数に一致している。ここでは、第１電極３２０は４列に形成されており、４個の出力導波路５６４がある。
【００６５】
図５Ａでは、入力導波路５６１は、後述する液晶セルを収容する領域の一端に沿って配置されている。出力導波路５６４は、液晶セルを収容する領域の他端で、入力導波路５６１の反対側に配置される。入力導波路５６１が位置する領域の端を入力端と呼び、出力導波路５６４が位置する領域の端を出力端と呼んでもよい。図５Ｅは、第１のサブコンポーネント１０５の、入力導波路５６１を通る断面を示すものであり、入力導波路５６１はこの図の左側にある。図５Ｆは、第１のサブコンポーネント１０５の、図の右側に向かって出力導波路５６４の１つを通る断面を示す。
【００６６】
図５Ｅは、第１電極３２０の１つが部分的に入力導波路５６１の下にあることを示すが、他の例示的な実施形態では、導波路のいずれの下にも第１電極３２０がない。
【００６７】
導波路スペーサ５６０の数、位置、及びサイズは変更されてもよい。この例示的な実施形態における液晶セルを収容する領域の左側及び右側に沿ったスペーサは、その後のセルの側壁の形成を容易にする。
【００６８】
図６Ａないし６Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第６層を部分的に示している。ここには、第３の誘電体層６１０が、第１のサブコンポーネント１０５の特定の部分に形成されるが、他の部分には形成されずまたはそこから除去され、また、ここには、接地面ポスト延長部６５０が形成される。センサ空洞部６６０は、図６Ａ、６Ｂ及び６Ｆに示すように、第３の誘電体層６１０内に形成される。
【００６９】
図６Ｆは、出力導波路５６４のうちの例示のものを通過した光出力を受信するように配置された、センサ空洞部６６０のうちの例示のものを示す。
【００７０】
図７Ａないし７Ｆは、センサ信号線７２０が形成される、第１のサブコンポーネント１０５の第７層を部分的に示す。センサ信号線７２０は、パッド延長部２３０を介してパッド１３０とそれぞれ電気的に接続される。更に、接地面ポスト延長部６５０の１つに、接地面ポスト追加延長部７５０が構築される。図７Ｂは、接地面ポスト追加延長部７５０が、この特定の接地面ポストを、図７Ｄに示す接地面ポスト延長部６５０のうちの２つよりも高く持ち上げているのを示す。これが、後述するセンサの組み立てにおける接地のために提供される簡便な実装の詳細である。他の実装も、本発明の概念の範囲内である。
【００７１】
図８Ａないし８Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第８層を部分的に示しており、ここには、第４の誘電体層８１０及びセンサ信号線ビア８２０が形成されている。センサ信号線ビア８２０には導電性材料が充填され、センサ信号線７２０を延長する。第４の誘電体層８１０は、第１のサブコンポーネント１０５の特定の部分には形成されないか、又はそこから除去される。
【００７２】
図９Ａないし９Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第９層を部分的に示しており、ここには、第１ポリイミド層９１０が、少なくとも、液晶セルを収容する領域に形成される。第１のポリイミド層９１０は、少なくとも、センサ空洞部６６０内には形成されないか、又はそこから除去される。
【００７３】
図１０Ａないし１０Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第１０層を部分的に示しており、ここには、導電性エポキシ１０５０が接地面ポスト延長部６５０上に設けられ、また、ここには、ガスケット材１０７０が導波路スペーサ５６０、入力導波路５６１及び出力導波路５６４の付近に設けられている。
【００７４】
図１１Ａないし１１Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第１１層を部分的に示しており、ここには、センサセンブリ１１６０がセンサ空洞部６６０上に設けられている。センサセンブリ１１６０は、センサハウジング１１６１及び１つ以上のセンサ１１６４を含む。センサハウジング１１６１は、図１１Ｂに描かれている他の導体を経由し、センサセンブリ接地線１１５０を介して接地面３５０に接地されている。
【００７５】
図１１Ａないし１１Ｆにおいて、それぞれの出力導波路５６４は、センサ空洞部６６０のうちの対応するものと、当該センサ空洞部６６０上に位置する、センサ１１６４のうちの対応するものとを有する。センサ１１６４の入力及び出力は、センサ信号線７２０に電気的に接続される。
【００７６】
例として、図１１Ｆに、出力導波路５６４の１つを断面で示す。この出力導波路は、液晶セルから光入力を受信するように配置されている。この出力導波路はまた、センサ空洞部６６０のうちの対応するものに光出力を伝達するように配置されている。センサ１１６４のうちの対応するものは、センサ空洞部６６０のうちの１つの上に配置されて感知を行い、その結果はセンサ信号線７２０を経由して出力される。出力導波路は、液晶セルの光出力をセンサに伝達する。
【００７７】
図１２Ａ及び１２Ｂは、第１の基板１１０の第２のサブコンポーネント１０７を示す。図１２Ｂは、図１２Ａに描かれた第２のサブコンポーネント１０７を達成するための、第２の基板１５１０上の３層の構築物を示す。第１層として、第２電極１４２０が第２基板１５１０上に形成される。この例示的な実施形態では、第２電極１４２０は唯一の電極として形成され、実質的に第２基板１５１０のすべてを覆う。
【００７８】
第２層として、第２クラッド層１３１０が、第２電極接地ポスト延長部１２５０の位置を除く第２電極１４２０上に形成される。第２電極接地ポスト延長部１２５０は、第２電極１４２０と電気的に接続される。
【００７９】
第３層として、第２電極接地ポスト延長部１２５０が第２クラッド層１３１０を通って延長される点を除き、第２ポリイミド層１２１０が、第２クラッド層１３１０上に形成される。
【００８０】
図１３Ａないし図１３Ｃは、アナログコンポーネント１００を形成する第１のサブコンポーネント１０５と第２のサブコンポーネント１０７との組み合わせを示す。
【００８１】
第１のサブコンポーネント１０５と第２のサブコンポーネント１０７を組み立てる前に、ポリイミド層はラビングと呼ばれる前処理を受ける。例示的な実施形態では、ポリイミド層は手で擦られるが、他のラビングの工程も本発明の概念の範囲内である。ラビングは、ポリイミド層に分子配列を付与するものである。代替的な例示的実施形態のひとつにおいては、分子配列が不規則な分子配列となるように、複数のポリイミド層が擦られる。換言すれば、第１のポリイミド層９１０及び第２のポリイミド層１２１０の一方または両方が１つ以上の方向に擦られ、これにより、アナログコンポーネント１００の機能を予測またはモデル化することの困難性が増大する。
【００８２】
図１３Ｂに示すように、接地面ポスト延長部６５０は、導電性エポキシ１０５０によって第２電極接地ポスト延長部１２５０と接合される。第２のサブコンポーネント１０７が第１のサブコンポーネント１０５に取り付けられると、第２のポリイミド層１２１０が、ガスケット材１０７０を圧縮及び変形させる。圧縮及び変形したガスケット材１０７０は、入力導波路５６１の両側面、出力導波路５６４の両側面及び導波路スペーサ５６０の１側面を押圧して、液晶セルの空洞を取り囲む側壁を提供する。
【００８３】
液晶セル１６００を形成する液晶材料で充填された状態の空洞を、図１４Ａ及び図１４Ｂに示す。図１４Ａでは、センサ空洞部６６０のうちの例示のものが、例えば、出力導波路５６４のうちの１つからセンサ１１６４にうちの１つへの光の伝送を促進する光学オイルにより充填されている状態を示している。
【００８４】
液晶材料の空洞への挿入は、任意の従来の方法、例えば、その目的のために開けその後恒久的に閉じるポート（図示せず）を通して誘導される真空を用いて行われる。
【００８５】
第１電極３２０が、第１電極信号線１２０とそれぞれ電気的に接続されていることを先に指摘した。図１４Ｂは、液晶セル１６００がこの第１電極３２０の上にあることを示す。第１電極３２０の左端及び右端には部分的にのみ液晶セル１６００がその上にあるが、液晶セル１６００は、第１電極３２０上にある。
【００８６】
図１４Ｂはまた、液晶セル１６００上の第２電極１４２０を示す。図１４Ｂに示す例は、液晶セル１６００全体の上にある唯一の第２電極を含む。他の例示的な実施形態では、複数の第２電極が提供される。唯一のまたは２個以上の第２電極が提供されるかにかかわらず、第２電極は、図１４Ｂに描かれた態様で第１電極３２０に対向する必要がある。換言すれば、第１電極３２０と第２電極１４２０との間に電荷が形成され液晶材料内の結晶の配向が液晶セル１６００内で変化することができるよう、第１及び第２電極は、液晶セル１６００の反対側にある。
【００８７】
アナログコンポーネント１００を、第１のサブコンポーネント１０５及び第２のサブコンポーネント１０７に関連して教示した。他の例示的な実施形態では、アナログコンポーネント１００は、それぞれのサブコンポーネント上に、異なる層を伴って形成される。他の例示的な実施形態では、層は結合及び／または再配置される。
【００８８】
アナログコンポーネントの動作
動作においては、例示的な実施形態ではコヒーレント光入力である光入力が、入力導波路５６１に導入される。入力導波路５６１は、光信号を液晶セル１６００に伝達する。第１電極信号線１２０に通電されると、第１電極３２０と第２電極１４２０との間の電荷により、液晶セル１６００内の結晶の配向が変化する。液晶セル１６００を通る光入力の通過は、結晶の配向によって影響を受ける。結晶は、予測不可能な態様で拡散、強め合う干渉及び弱め合う干渉を惹き起こす。
【００８９】
出力導波路５６４は、液晶セル１６００の光出力を、どのようなものであれ受信し、これをセンサ空洞部６６０に伝達する。出力は、出力導波路ごとに異なる。出力導波路５６４を通って運ばれる液晶セル１６００の光出力は、センサ空洞部６６０内の光学オイルに入り、この媒体を介して、センサ１１６４に伝達される。
【００９０】
こうしてセンサ１１６４は、液晶セル１６００の光出力を感知する。
【００９１】
図１４Ａ及び１４Ｂの例示的な実施形態は、特定のセンサセンブリ１１６０に依存して多くの手法で変更され得る。図１４Ａ及び１４Ｂの例示的な実施形態は、センサセンブリ１１６０が、アナログコンポーネント１００の製造工程の終わりまたは終わり近くで別個のデバイスとして設置される実装を教示する。この実装の結果は、出力導波路５６４の出力とセンサ１１６４への入力との間の角度である。光学オイルは、出力がセンサ１１６４に到達するのを助けるために用いられる。この分野に精通している者は、センサ空洞６６０内の角度のある反射面の使用などの代替案を想到するであろう。
【００９２】
センサ１１６４は、他の例示的な実施形態では、アナログコンポーネント１００の一体的な構造として製造され、液晶セル１６００の光出力が出力導波路５６４を通過し、方向を変えることなくセンサ１１６４に直接進むように配向される。
【００９３】
別の例示的な実施形態では、液晶セル１６００の光出力は、出力導波路５６４によって、突き合わせ結合された光ファイバへと運ばれ、これによりセンサ１１６４への出力が提供される。
【００９４】
他の例示的な実施形態では、センサセンブリ１１６０はオフチップである。センサ１１６４をオンチップにすることには、アナログコンポーネント１００がリバースエンジニアリングに対し、より耐性を有するという利点がある。上記の議論は、一般的に、第１電極信号線にそれぞれ電気的に接続されている第１電極と、第１電極上の液晶セルと、液晶セル上にあり第１電極に対向する１個以上の第２電極と、液晶セルへの光入力を伝達するように構成された入力導波路と、液晶セルの光出力を感知するように構成されたセンサとを有する装置を説明した。この装置はまた、液晶セルの光出力をセンサに伝達するように構成された出力導波路を有する。
【００９５】
図１４Ｂが示すように、第１電極３２０のうちの描かれたものの各々は、第１の方向（この例では図の左から右）に異なる寸法値（この例では長さ）を有する。第１電極３２０間の寸法のこれらの差は、第１電極３２０と第２電極１４２０との間に供給される電荷、及び、これに対応する、液晶セル１６００内の結晶の配向への効果がより無秩序になり、したがって解析及びリバースエンジニアリングに対し、より耐性を有するようになる、という利点を有する。
【００９６】
図３Ａに戻ると、第１電極３２０の配置は、所与のアナログコンポーネント１００の特定の署名の態様と考えることができる。同一の署名を有するアナログコンポーネント１００の２つの例は同一の動作、あるいは、後述する平文と暗号文との間の変換を行う目的で相互運用性を実現するのに十分な程度、同一に近い動作を行う。署名が一致しないアナログコンポーネント１００の２つの例は、相互運用ができない。
【００９７】
上記の単純化された例により説明したアナログコンポーネント１００は、異なる署名を得るために容易に変更できるいくつかの観点を有する。既に述べたように、第１電極３２０の配置はそのような観点の１つである。所与のデバイスの署名という観点で変更を加えるには、製造工程において、第１電極３２０を提供するマスクを変更するだけでよい。所与の第１電極３２０の位置、長さ、幅及び形状は、マスクを変えることにより容易に変えられる。このようなアナログコンポーネントの異なる署名を得るために変更できる他の観点としては、第1ポリイミド層９１０及び／または第２ポリイミド層１２１０のポリイミドの擦りの変更、液晶セル１６００を充填する材料に適用される配合の変更、入力導波路５６１及び出力導波路５６４を構築するために用いられる特定の材料の変更が含まれる。
【００９８】
様々な例示的な実施形態において、温度コントローラ（図示せず）は、液晶セル１６００内の材料の温度を調整して、様々な環境で一貫した動作を実現する。アナログコンポーネント１００の異なる署名を得るために変えることができる別の観点は、液晶セル１６００が調整される温度である。
【００９９】
相互運用に適した１個以上のアナログコンポーネントの組を得るために、あるいは他と相互運用できないアナログコンポーネントを得るため、前述の観点の組み合わせが変更される。
【０１００】
動作中、定常的な光入力が入力導波路５６１に導入される。液晶セル１６００の出力は、センサ１１６４により検知される。アナログコンポーネント１００へのアナログコンポーネント入力Ａｉは、第１電極信号線を介して提供されてもよい。アナログコンポーネント入力Ａｉは、バイナリ値またはビットの連続である。
【０１０１】
図１５に部分的に示す例示的な実施形態では、アナログコンポーネント１００は、１２０−０から１２０−Ｆまで個別に番号付けされた１６個の第１電極信号線１２０を有する。第１電極信号線１２０がそれぞれの第１電極３２０と電気的に接続されているため、これらの第１電極信号線１２０からの信号が第１電極３２０に伝わる。図１６に部分的に示す例示的な実施形態では、アナログコンポーネント１００は１６個の第１電極３２０を有する。第１電極３２０には、３２０−０から３２０−Ｆまで個別に番号が付けられている。第１電極信号線１２０−０は第１電極３２０−０に電気的に接続されており、以下も同様である。
【０１０２】
アナログコンポーネント入力Ａｉは、この例示的な実施形態では同時に１６ビット、アナログコンポーネント１００に入力される。例えばクロックの制御下で、ビットストリームの次の１６ビットのうちのそれぞれの値が、第1電極信号線１２０のうちのそれぞれのものの駆動に用いられる。例えば、第０ビットの値が1の場合、第１電極信号線１２０−０が駆動される。例えば、第１ビットの値が０の場合、第１電極信号線１２０−１は駆動されず、第Ｆビットに至るまで同様に駆動される。第１電極信号線１２０のうちのある特定のものを駆動すると、第１電極３２０のうちの対応するものに電荷が導入される。したがって、特定のサイクルにおいて、アナログコンポーネント入力Ａｉとして用いられる１６ビットのビットストリームの値に従って、ある特定の第１電極３２０に電荷が導入され、他の第１電極３２０には電荷が導入されない。
【０１０３】
第１電極３２０はすべて、少なくとも１つの第２電極１４２０に対向しているため、第１電極３２０の所与の１つに電荷が現れると、液晶セル１６００内の液晶材料の結晶が影響を受ける。
【０１０４】
図１７は、１６ビットのアナログコンポーネント入力Ａｉとして“０１１０００００１００１００００”を第１電極信号線１２０に印加したシミュレーション結果の例を示す。ここで、最上位ビット（左側）が線１２０−０の駆動に用いられており、最下位ビット（右側）が線１２０−Ｆの駆動に用いられている。この例では、線１２０−１、１２０−２、１２０−８及び１２０−Ｂが駆動される。対応する電極３２０−１、３２０−２、３２０−８及び３２０−Ｂが通電され、液晶セル１６００内の結晶の配向に影響を及ぼす。図１７では、電荷によって乱されていない場合の液晶セル１６００内の結晶を、図面の上部から下部の方向に縦に配置された四角柱によって表している。図面では、結晶は、電荷によって完全に移動すると、紙面裏から表に向かう方向に再整列し、電荷が存在するが結晶を完全に再配向するには不十分な場合は、中間的な位置をとる。
【０１０５】
図１８は、図１７に類似しているが、アナログコンポーネント入力Ａｉの１６ビットが“１０１１１１１０１１１１００１１１”である。電極３２０−０、３２０−２から３２０−５、３２０−７から３２０−Ａ及び３２０−Ｄから３２０−Ｆに電荷が導入される。このシミュレーション結果では、破線の楕円で囲まれた領域に、結晶がいずれの第１電極３２０の直下にもない場合であっても近くの電極３２０−０、３２０−２、３２０−Ｄ及び３２０−Ｆの電荷からの影響を受けている結晶が含まれている。これらのシミュレートされた結晶は、ほぼ完全に再配向している。ここで、電極３２０−５と３２０−６の間の領域を比較すると、これら２つの電極の間の結晶は、近くの電荷の影響を受けるが、完全な再配向に達する程度ではない。
【０１０６】
入力導波路５６１に導入された光は、出力導波路５６４に、図１７及び図１８の例で異なった態様で通過し、その結果、センサ１１６４で感知される値はそれぞれの場合で異なる。
【０１０７】
第１電極３２０の長さを異ならせることにより、入力導波路５６１を通して導入された光と液晶セル１６００内の多数の結晶との間の内部相互作用のエントロピーが増大する。
【０１０８】
液晶セル１６００の全部よりも少ない部分（図１７及び図１８の右側に描かれた半分）に沿って第１電極３２０を形成することによっても、エントロピーを増大させ、アナログコンポーネント１００のデジタル複製不能性に寄与する。
【０１０９】
上記の例示的な実施形態におけるアナログコンポーネント入力Ａｉには、一度に１６ビットが取り込まれている。４個のセンサ１１６４はそれぞれ、光の１６個の変動を検出するのに十分な感度を有する。つまり、各センサは、４ビットにエンコード可能な値を出力できる。４個のセンサ１１６４のそれぞれの出力からエンコードされた４ビットは、全部で１６ビットである。これら４つの４ビットのセットは連結され、１６ビットのアナログコンポーネント出力Ａｏとなる。
【０１１０】
上述の例では、アナログコンポーネント１００の第１電極信号線１２０の駆動にビットストリームを用いた。一度に１６ビットが取り込まれるこのビットストリームが、より一般的にいえば、アナログコンポーネント入力Ａｉである。
【０１１１】
上述の例では、１６ビットのアナログコンポーネント出力Ａｏは、液晶セル１６００内の結晶がアナログコンポーネント入力Ａｉによって影響を受けた後にセンサ１１６４が感知したところによって決定された。つまり、アナログコンポーネントの出力Ａｏは、アナログコンポーネントの入力Ａｉに基づいていた。後述の適切な制御回路を用いて、アナログコンポーネント入力Ａｉに基づき、アナログコンポーネント１００からアナログコンポーネント出力Ａｏを繰り返し取得して、任意の長さのビットストリームを１６ビット単位で処理することができる。
【０１１２】
上述の例示的な実施形態では、１６本の第１電極信号線１２０、１６本の第１電極３２０、４本の出力導波路５６４、及び４本のセンサ１１６４を用いたが、これらの数量は、本発明の概念を読者に教示するために用いたものである。
【０１１３】
他の例示的な実施形態におけるアナログコンポーネント１００の設計では、２５６個の第１電極信号線１２０を使用することにより２５６ビット単位のビットストリームを処理する。この例を、以下では２５６ビットチップと呼ぶ。これらの第１電極信号線１２０は、２５６個の第１電極３２０のうちの対応するものとそれぞれ接続されている。これらの第１電極３２０は、図１８のように４列に配置されるが、各列に６４個の第１電極３２０を有する。この２５６ビットチップの例示的な実施形態は、６４個の出力導波路５６４を有し、これらの出力導波路５６４のそれぞれは、液晶セル１６００の光出力を、６４個のセンサ１１６４のうちの対応するものに伝達する。センサ１１６４は４ビット値を出力し、これが連結され、２５６ビットのアナログコンポーネント出力Ａｏが提供される。
【０１１４】
直前の段落で説明した２５６ビットチップと同様の、更に別の例示的な実施形態では、３２個のみの出力導波路５６４が形成され、３２個のみのセンサ１１６４が提供される。ただし、この例では、各センサは８ビット値を出力するのに十分な感度を有する。３２個の８ビット値を連結して、２５６ビットのアナログコンポーネント出力Ａｏを提供する。２５６ビットチップと同様の、さらに別の例示的な実施形態では、第１電極３２０は、より多いまたはより少ない行及び列に配列される。他の例示的な実施形態では、出力導波路５６４の位置は、エントロピーを最大化するように設定される。読者は、本稿に記載されている本発明の概念から逸脱することなく、更に他の変形を想到し得る。
【０１１５】
以上の説明は、第１電極信号線１２０が駆動されたときに、どの第１電極３２０に電荷が導入されるかを、第１電極信号線１２０と第１電極３２０との間の相互接続がどのように決定するかを説明したものである。第１電極信号線１２０と第１電極３２０との間の接続パターンを変更すると、アナログコンポーネント１００の異なる署名が生じる。したがって、アナログコンポーネント１００の構成を変更できる幾つかの手法に加えて、第１電極信号線１２０と第１電極３２０との間の接続の構成を変更することもできる。１つの例示的な実施形態では、第１電極信号線１２０と第１電極３２０との間の接続を簡便に変更できるように、追加的な相互接続層が設けられる。
【０１１６】
駆動コンポーネント
アナログコンポーネント１００は、例えば、図１９Ａ及び図１９Ｂに一般的に示されるデータセキュリティ装置２０００の一部として有用である。図１９Ａでは、データセキュリティ装置２０００は平文メッセージＭを受信し、これをデジタルデータＭとも呼ぶ。ここで「平文」という語は、平文メッセージＭが人により読み取り可能なメッセージを表すことを要するということを意味するものではない。平文メッセージＭは、暗号化される前のビットの組を表す。様々な例示的な実施形態の平文メッセージＭは、いくつかの他の工程によって事前に暗号化され、他の例示的な実施形態では、他の工程によって事前に暗号化されていないデータである。
【０１１７】
暗号化工程により、データセキュリティ装置２０００は、平文メッセージＭを暗号文Ｃに変換する。図１９Ｂでは、データセキュリティ装置２０００は暗号文Ｃを受信する。復号化工程により、データセキュリティ装置２０００は、暗号文Ｃを、図１９Ａで最初に入力された平文メッセージＭと一致する平文メッセージＭへと復元する。
【０１１８】
図１９Ａ及び１９Ｂは極めて単純化されているが、アナログコンポーネント１００が用いられる環境の一般的な観念を提供している。図１９Ａ及び図１９Ｂに示されるデータセキュリティ装置２０００は一例としては、同じデータセキュリティ装置２０００であるが、少なくとも１つのアナログコンポーネント１００を使用して暗号化または復号化を実行する。他の例では、図１９Ａのデータセキュリティ装置２０００は、通信リンクを介して図１９Ｂのデータセキュリティ装置２０００から分離されており、例示的な実施形態では、図１９Ｂのデータセキュリティ装置２０００から離れている。この後者の例では、図１９Ａ及び図１９Ｂのそれぞれにおけるデータセキュリティ装置２０００の署名が一致する必要があり、そのようでなければ、一方に入力された平文メッセージＭが、他方から出力された平文メッセージＭに一致しない。
【０１１９】
図２０は、図１９Ａ以降のデータセキュリティ装置２０００の例示的な実施形態をより詳細に示す。データセキュリティ装置２０００は、制御回路２１００及びアナログコンポーネント１００を含む。制御回路２１００は、データセキュリティ装置２０００の外部から平文メッセージＭを受信し、暗号文Ｃをデータセキュリティ装置２０００の外部に出力する。平文メッセージＭの暗号文Ｃへの処理の一部に、アナログコンポーネント１００が用いられる。
【０１２０】
１つの例示的な実施形態において、制御回路２１００は、特定用途向け集積回路（ＡＳＩＣ）として実装される。
【０１２１】
他の例示的な実施形態では、制御回路２１００は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）として実装される。 ＡＳＩＣは製造前に構成される一方、ＦＰＧＡはＡＳＩＣの記述に用いられるものと同様のハードウェア記述言語（ＨＤＬ）を用いて製造後に構成可能な集積回路である。
【０１２２】
ＨＤＬは、ＦＰＧＡの挙動を定義し、ＦＰＧＡをプログラムして、定義済みの機能を実行する構造を有するようにする。つまり、ＦＰＧＡの構造はＨＤＬによって定義され、プログラムされたＦＰＧＡを、ＡＳＩＣのように構造的に固有の電子回路とする。
【０１２３】
ＦＰＧＡの構造と、これをプログラムするのに用いられるＨＤＬとの関係（及び同様に、ＡＳＩＣの構造とその製造を定義するのに用いられるＨＤＬとの関係）は、ここで、定義済みの様々な動作を実行するように構成（あるいは改造）された回路として表し直される。「定義済みの動作」とは、ＨＤＬ（またはＶｅｒｉｌｏｇやＶＨＤＬなどの他の定義言語）で具体化された動作である。
【０１２４】
例示的な実施形態では、制御回路２１００はセキュアＦＰＧＡである。
【０１２５】
図２１は、制御回路２１００による暗号化のための定義済みの動作の実施形態を示す。この実施形態は、平文メッセージＭが特定のアナログコンポーネント１００にとって適切な単位で順次処理されることを想定している。例えば、図１Ａないし４２に示すアナログコンポーネント１００の場合、適切な単位は１６ビットである。２５６ビットの例示的な実施形態の場合、この単位は２５６ビットである。以下では、適切なサイズの単位を一般にチャンクと呼ぶ。
【０１２６】
次に、図２１で用いられる記号を説明する。
【０１２７】
図２１では、平文メッセージＭは長さ｜Ｍ｜を有し、ｍ個のチャンクＭｉに分割される。ここでｉ＝１，Ｋ，ｍである。記号Ｍｉは、平文メッセージＭのｉ番目のチャンクを表す。
【０１２８】
図２１は、キーストリームＳの概念を含んでおり、これをデジタルキーストリームＳとも呼ぶ。キーストリームはｍ個のチャンクＳｉで生成される。ここで、ｉ＝１，Ｋ，ｍである。Ｓｉは、それぞれのＭｉについて生成される。
【０１２９】
暗号文Ｃは、Ｃｉ＝Ｍｉ  ＸＯＲ  Ｓｉとすることにより、ｍ個のチャンクＣｉで生成される。ここでｉ＝１，Ｋ，ｍである。
【０１３０】
Ｎはノンスである。Ｋ１及びＫ２は２５６ビットの鍵である。
【数１】
2020525863.tif 000003
は、ノンスＮとｉの和より1少ない、Ｋ１を用いた暗号化の結果である。
【数２】
2020525863.tif 000004
は、ノンスＮとｉの和より1少ない、Ｋ２を用いた暗号化の結果である。
【０１３１】
アナログコンポーネントは、１６ビットバージョン、２５６ビットバージョン、または別の例示的な実施形態のいずれであっても、Ａとして表す。アナログコンポーネント入力はＡｉであり、アナログコンポーネント出力はＡｏである。
【０１３２】
上記を踏まえ、関数ＥＫは
【数３】
2020525863.tif 000005
として与えられる。ここで、ｘはビットの組である。上記の式では、先の式において、
【数４】
2020525863.tif 000006
の項は、
【数５】
2020525863.tif 000007
を、アナログコンポーネントＡを駆動するアナログコンポーネント入力Ａｉとして用いた結果を意味すると解釈できる。この結果が、Ａｏであるともいえる。
【０１３３】
ＥＫ（ｘ）の定義を用いて、キーストリームＳを、
【数６】
2020525863.tif 000008
と簡潔に与えることができる。ここで、２本の縦線は連結操作を示す。同様に、暗号文Ｃは、Ｍの最初の｜Ｍ｜ビットにつき
【数７】
2020525863.tif 000009
と簡潔に与えることができる。
【０１３４】
図２１の処理は、何らかの平文メッセージＭが暗号化されるとき開始される。カウンタはｓ２１１０で初期化される。ビットの最初のチャンクＭｉはｓ２１２０で取得される。チャンクが短すぎる場合、チャンクを作成するのに十分な値となるよう桁が埋められる。チャンクの桁が埋められると、埋められた桁は後で破棄され、暗号文Ｃには含まれない。
【０１３５】
処理はｓ２１３０に続き、ノンスＮとｉの和よりも１少ない和がＥ１Ｋ１で暗号化される。その結果は、ｓ２１４０でアナログコンポーネント１００の第１電極信号線１２０を駆動するために用いられ、特定の第１電極３２０に電荷が導入され、これにより液晶セル１６００内の液晶の配向を変える。センサ１１６４の出力はデジタル形式で表現され、Ａｏとして得られる。これを
【数８】
2020525863.tif 000010
と記してもよい。換言すれば、
【数９】
2020525863.tif 000011
はアナログコンポーネント出力のデジタル表現に基づく。
【０１３６】
ｓ２１５０では、その結果はＫ１を使用して再び暗号化され、
【数１０】
2020525863.tif 000012
となる。
【０１３７】
ｓ２１３０からｓ２１５０の処理で、第１の暗号化及び鍵Ｋ１を採り入れている。実際のところ、ここでは第１の暗号化を２回用いている。1回はＮ＋ｉ−１でアナログコンポーネント入力を生成し、もう1回はアナログコンポーネント出力で用いている。この第１の暗号化は、例示的な実施形態ではブロック暗号化である。ｓ２１６０の処理では、第２の暗号化と、鍵Ｋ１とは異なる鍵Ｋ２を用いている。例示的な実施形態では、第２の暗号化もまたブロック暗号化である。ｓ２１６０では、Ｎ＋ｉ−１で第２の暗号化が実行され、（Ｅ２Ｋ２（Ｎ＝Ｉ−１）が得られる。
【０１３８】
ｓ２１７０では、ＸＯＲ演算が実行されて、Ｓｉが得られる。
【０１３９】
ｓ２１８０では、ＭｉとＳｉでＸＯＲ演算が実行され、Ｃｉが得られる。
【０１４０】
ｓ２１９０で、Ｍのうちが処理するチャンクＭｉが残っている場合、処理はｓ２１９５に続いてｓ２１２０で続行される。ｓ２１９５でカウンタをインクリメントすると、処理が次のチャンクＭｉに進むことを助ける。一方、処理するチャンクが残っていない場合、埋められた桁を破棄する点を除いて、暗号化は終了する。
【０１４１】
図２２は、復号化における制御回路２１００の定義済みの動作を示す。
【０１４２】
図２２は、２つの例外を除いて図２１と同一である。 ｓ２２２０では、平文メッセージＭのチャンクの代わりに、暗号文ＣのチャンクＣｉが取得される。ｓ２２８０では、ＣｉとＳｉでＸＯＲ演算が実行され、Ｍｉが得られる。
【０１４３】
暗号化工程では
【数１１】
2020525863.tif 000013
が用いられ、復号化工程では、
【数１２】
2020525863.tif 000014
が用いられ、Ｃに代入して
【数１３】
2020525863.tif 000015
と書き直すことができ、Ｍが得られる、という事実のため、図２１に示す暗号化工程と図２２に示す復号化工程との間の類似性が一部にある。したがって、入力として平文メッセージＭを用いるか、代わりに暗号文Ｃを用いるかによって、暗号化を実行する同一の制御回路２１００を、復号化の実行に用いることもできる。暗号文と平文の間の変換のための動作の制御は、機能を失うことなく、汎用マイクロプロセッサによって実装されたソフトウェアモジュールまたはロジックで、同様に、実用的に具体化できる。
【０１４４】
制御回路２１００の追加の観点を提供して、データセキュリティ装置２０００のセキュリティを改善することができる。
【０１４５】
詳細な実装
制御回路２１００の定義済みの動作のより詳細な実装を、例示的な実施形態に沿ってここで述べる。この例示的な実施形態においては、認証付き暗号化（ＡＥ）の特定のタイプとしての、アナログコンポーネントでの認証付き暗号化（ＡＥＡ）を、より詳細な動作が実装する。
【０１４６】
例示的な実施形態では、ブロック暗号Ｅ１は、図２３による換字転置ネットワークである。ブロック暗号Ｅ１は、２５６ビットのブロック長及び２５６ビットの鍵サイズを有する。入力として２５６ビットの平文Ｘと２５６ビットの鍵ｋを受け入れ、対応する２５６ビットの暗号文Ｙ＝Ｅ１ｋ（ｘ）を生成する。
【０１４７】
ブロック暗号Ｅ２は、デジタルコンポーネントのみに依存するベースラインレベルのセキュリティを確立するために用いられる。この例では、ブロック暗号Ｅ２はＥ１の変種として設計されており、その全体構造も図２３に示すとおりである。これは、ブロック長２５６ビット、鍵サイズ２５６ビットの換字転置ネットワークである。入力として２５６ビットの平文Ｘと２５６ビットのマスター鍵ｋを受け入れ、対応する２５６ビットの暗号文Ｙ＝Ｅ２ｋ（ｘ）を生成する。
【０１４８】
例示的な実施形態では、Ｅ２は、グローバルＳＰＮ構造とラウンド変換及び鍵スケジュールの構造の両方をＥ１と共有する。ただし、置換層、拡散層、及びラウンド鍵配送の各コンポーネントは、Ｅ１のそれとは異なる。
【０１４９】
置換層：異なる非線形８ビットＳボックスが用いられる。
【０１５０】
拡散層：異なる３２×３２ＭＤＳ行列が用いられる。
【０１５１】
鍵の追加：異なる２５６ビットのラウンド定数を用いて、マスター鍵からサブ鍵を導出する。
【０１５２】
例示的な実施形態において、Ｅ１及びＥ２は、ブロック暗号ＳＨＡＲＫに類似したフルＭＤＳ拡散層を有する換字転置ネットワークである（Ｖｉｎｃｅｎｔ Ｒｉｊｍｅｎ、Ｊｏａｎ  Ｄａｅｍｅｎ、Ｂａｒｔ  Ｐｒｅｎｅｅｌ  Ａｎｔｏｏｎ  Ｂｏｓｓｅｌａｅｒｓ  Ｅｒｉｋ  Ｄｅ  Ｗｉｎ：Ｔｈｅ  ｃｉｐｈｅｒ  ＳＨＡＲＫ。ＦＳＥ  １９９６、ＬＮＣＳ  １０３９、ｐｐ．９９−１１１）。ＡＥＳとは異なり、各ラウンドの状態全体にＭＤＳ行列を適用し、また１列だけではない。実装効率という面では多少重くなるが、これは非常に迅速な拡散（わずか１ラウンドでフル拡散に到達する）につながり、数ラウンドにわたって暗号解析特性が大幅に速く減退する。下表に、Ｅ１／Ｅ２とＳＨＡＲＫ及びＡＥＳの両方との比較を示す。
【表１】
2020525863.tif 000016
【０１５３】
ＡＥＡ
ＡＥＡは、本発明の概念による認証付き暗号化（ＡＥ）のためのモードであり、ブロック暗号Ｅ１及びＥ２、ならびに２５６ビット入力を２５６ビット出力にマッピングするアナログコンポーネントＡを利用する。ＡＥＡモードでは、アナログコンポーネントＡが厳密に全単射であるとは想定しておらず、全単射の不完全性が許容される。ただし、コンポーネントＡは決定論的関数であり、これは、入力が等しいと出力が等しくなることを意味する。
【０１５４】
ＡＥ
認証付き暗号化（ＡＥ）スキームの１つの目標は、機密性と真正性／完全性を同時に提供することである。これは、ブロック暗号などの暗号化アルゴリズムと、メッセージ認証コード（ＭＡＣ）などの真正性及び完全性メカニズムを組み合わせることで実現できる。
【０１５５】
メッセージ及び鍵を入力すると直ちに、ＡＥアルゴリズムは、対応する暗号文及び認証タグを出力する。復号化の間、この認証タグが検証される。検証に成功すると直ちに、平文が返される。これ以外の場合、失敗が通知され、平文は復元されない。基本的な概念は、鍵の所有者のみが有効な認証タグを生成でき、暗号文またはタグ（またはその両方）の輸送中に変更されれば、高い確率で検証が失敗する、ということである。
【０１５６】
ブロック暗号動作モードと同様、多くのＡＥスキームは更に入力としてノンスをとる（一度限り用いられる番号であり、公開されるが同じ鍵で繰り返されない）。ノンスの入力は、特定のメッセージの暗号化と復号化において同一でなければならない。
【０１５７】
動作を図２４に示す。これは、ノンスに基づく認証付き暗号化を示すものである。送信者は、ノンスＮ、暗号文Ｃ及びタグＴを送信する。ノンスＮは、同一の鍵の下の単一のメッセージに用いられるだけである。
【０１５８】
インターフェース
認証付き暗号化のＡＥＡ動作モードは、入力として以下を受け取る。
１．２５６ビットの秘密鍵Ｋ１と２５６ビットの秘密鍵Ｋ２を含む５１２ビットの秘密鍵Ｋ。すなわち、Ｋ＝（Ｋ１，Ｋ２）；
ｉ）  鍵Ｋ１は、例えば、ＡＳＩＣチップ上で、アナログコンポーネントＡと緊密に統合される。
ｉｉ）鍵Ｋ２は、認証付き暗号化のベースラインレベルのセキュリティを確立する目的で、アナログコンポーネントＡを含むハードウェアモジュールの外部、たとえば、ＦＰＧＡ上あるいはユーザーソフトウェア内に配置できる。
２．２５６ビットのノンスＮ（１回限り用いられる番号）;
３．長さが
【数１４】
2020525863.tif 000017
ビットである、メッセージ入力Ｍ
【０１５９】
暗号化及び認証に用いられる場合、メッセージ入力と同じ長さの暗号文を、長さ２５６ビットの認証タグＴとともに出力する。
【数１５】
2020525863.tif 000018
復号化及び検証に用いられる場合、検証成功を表すシンボル「Ｓ」とともに回復した平文を出力し、またはメッセージをまったく出力せず、検証失敗を表す「Ｆ」を出力する。
【数１６】
2020525863.tif 000019
ノンス入力は公開されていることを想定されるものであるが、（Ｋ，Ｎ）の任意の組み合わせは1回限り用いられるという意味で一意である必要がある。２５６ビットより短いノンスは、ゼロが埋め込まれて２５６ビットの文字列とされる。一般に、１個の鍵に対して最大２ｔ個のメッセージブロックの処理が必要な場合、誕生日のパラドックスにより、ノンスは２ｔビット長である必要がある。
【０１６０】
以下では、様々なビルディングブロックを定義し、最後にＡＥＡ暗号化、復号化／検証アルゴリズムを定義する。
【０１６１】
ＣＴＲモード
ビルディングブロックＣＴＲ（Ｎ，Ｋ，Ｍ）は、２５６ビットのノンスＮ、５１２ビットの鍵Ｋ、及びメッセージ入力Ｍ（長さ
【数１７】
2020525863.tif 000020
ビット）を取り込み、以下を経て、等しい長さの暗号文Ｃを生成する。
【数１８】
2020525863.tif 000021
【数１９】
2020525863.tif 000022
ｒｅｔｕｒｎ  Ｃ
ここで、関数
【数２０】
2020525863.tif 000023
は、
【数２１】
2020525863.tif 000024
と定義される。関数ＥＫ（Ｍ）の動作及びこの関数を用いたＣＴＲモードの暗号化を、図３３及び図３２にそれぞれ示す。
【０１６２】
ＣＢＣ−ＭＡＣ
ビルディングブロックＣＢＣ（Ｋ，Ｍ）は、５１２ビットの鍵Ｋ及びメッセージ入力Ｍ（長さ
【数２２】
2020525863.tif 000025
ビット、かつ２５６ビットの倍数）を取り込み、ＣＢＣモードのメッセージの最後のブロックを暗号化したものを返す。
【数２３】
2020525863.tif 000026
【０１６３】
ここで、ＥＫ（Ｍ）は、ＣＴＲ暗号化において上述したように定義される。関数ＥＫに基づくこのＭＡＣアルゴリズムを図３４に示す。
【０１６４】
パディング
パディングアルゴリズム
【数２４】
2020525863.tif 000027
は、入力として。長さ
【数２５】
2020525863.tif 000028
２１２８ビットのメッセージＭ及び２５６ビットの鍵Ｌ１及びＬ２を取り込む。次のように、長さt・２５６、t≧１のビット文字列を返す。
ｉｆ  ｜Ｍ｜ｉｓ  ａ  ｍｕｌｔｉｐｌｅ  ｏｆ  ２５６：
【数２６】
2020525863.tif 000029
ｅｌｓｅ
【数２７】
2020525863.tif 000030
ここで、ＸＯＲＰＡＤ（Ｍ，Ｌ）は、２個のビット文字列Ｍ及びＬの短い方の列を、長い方の列の終わりにＸＯＲし、結果を返す。
【０１６５】
メッセージ認証コード（ＭＡＣ）アルゴリズム
ＭＡＣアルゴリズムＭＡＣ（ｔ，Ｋ，Ｍ）は、入力として、２５６ビットの整数ｔ、５１２ビットの鍵Ｋ、及び長さ
【数２８】
2020525863.tif 000031
ビットのメッセージＭを取り込む。以下のように認証タグを返す。
【数２９】
2020525863.tif 000032
ここで、
【数３０】
2020525863.tif 000033
は、整数tの２５６ビットバイナリ表現を示す。
ＡＥＡ−ＥＮＣＲＹＰＴ：暗号化とタグ生成
【０１６６】
ＡＥＡ認証付き暗号化アルゴリズムＡＥＡ−ＥＮＣＲＹＰＴ（Ｋ，Ｎ，Ｍ）は、５１２ビットの鍵Ｋ、２５６ビットのノンスＮ及び長さ
【数３１】
2020525863.tif 000034
ビットのメッセージＭを取り込む。以下のように、暗号文Ｃ及び２５６ビットのタグＴを返す。
【数３２】
2020525863.tif 000035
【０１６７】
２つのＭＡＣ呼び出しに異なる定数（整数ｔ）を使用することにより、ノンスと暗号文ブロックの処理の間での適切なドメインの分離が保証される。
【０１６８】
暗号文は常に平文と等しい長さを有することに留意されたい。ＡＥＡアルゴリズムの全体的な動作を図３５に示す。
【０１６９】
ＡＥＡ−ＶＥＲＩＦＹ：復号化とタグ検証
ＡＥＡ復号化及び検証アルゴリズム
【数３３】
2020525863.tif 000036
（Ｍ，｛Ｓ，Ｆ｝）は、入力として５１２ビットの鍵Ｋ、２５６ビットのノンスＮ、暗号文Ｃ及び２５６ビットのタグＴを取り込む。認証タグを検証し、成功すると、復号化されたメッセージおよび成功を表す記号「Ｓ」（上記のキーストリームSと混同しないこと）を返す。失敗を確認すると直ちに、空のメッセージと記号「Ｆ」を返す。
【数３４】
2020525863.tif 000037
【０１７０】
設計の理論的根拠とセキュリティ分析
カウンタモード暗号化ルーチンＥＫ（Ｍ）を
【数３５】
2020525863.tif 000038
と定義する目的は、アナログコンポーネントＡの入力と出力の両方をブロック暗号呼び出しによりマスクすることである。更に、Ｅ１とＥ２を両方とも強度に保守的に設計されたブロック暗号として、結果のカウンターキーストリームの再構築には、ＭをＥ２と並行して暗号化し、結果をＸＯＲ演算することにより、混合されたＥ１アナログ部分とＥ２の両方を暗号化分析する必要がある。
【０１７１】
ＡＥＡ認証付きモードの動作の全体的な構成は、ＥＡＸ設計と同じではない（Ｍ．Ｂｅｌｌａｒｅ、Ｐ．Ｒｏｇａｗａｙ及びＤ．Ｗａｇｎｅｒ、“Ａ  Ｃｏｎｖｅｎｔｉｏｎａｌ  Ａｕｔｈｅｎｔｉｃａｔｅｄ−Ｅｎｃｒｙｐｔｉｏｎ  Ｍｏｄｅ”２００３年を参照）。ＥＡＸは、カウンターモード暗号化において、ＡＥＡのＥ１／Ａ／Ｅ２設計の代わりに、通常のブロック暗号呼び出しを用いる。また、ＡＥＡのＭＡＣ設計はＯＭＡＣとは異なる。２個の鍵Ｌ１とＬ２の差異は、有限体
【数３６】
2020525863.tif 000039
で繰り返される二重化によってＬから導出されるのではなく、その代わりに、Ｌを鍵として用い、異なる定数をブロック暗号Ｅ１で暗号化することにより導出される。これは、大きな有限体で二重化するにはかなりの実装リソースが必要になるのに対し、追加のブロック暗号呼び出しでは既に実装された暗号を用いることができるためである。
【０１７２】
ＡＥＡは、ブロック暗号Ｅ１及びＥ２のフォワード実装を使用し、これらの逆関数を用いない。これにより、実装特性、特にハードウェアの実装特性が更に向上する。
【０１７３】
ＡＥＡモードの動作は、ＥＡＸの証明可能なセキュリティ特性から利益を得る。認証付き暗号化の動作モードとして、プライバシーと真正性という２つのセキュリティ概念が重要となる。プライバシーとは平文の機密性を指し、真正性とは偽造攻撃に対するセキュリティを指す。
【０１７４】
ＥＡＸの著者らは、これら２つのセキュリティ概念について、σｎビット以下のメッセージブロック（おそらく多くのクエリにわたって）をクエリする攻撃者のアドバンテージが以下のように制限されることを証明している。
【数３７】
2020525863.tif 000040
ここで、τはタグの長さを示す。アドバンテージは
【数３８】
2020525863.tif 000041
となるにつれ１に近づくので、バウンド（限界）はいずれも基本的にバースデイバウンド（限界）である。ＡＥＡの場合、ｎ＝τ＝２５６であるため、同じ鍵に対して暗号化されているのが２１２８ブロック以下である場合、モードは安全であると見なされる。ＡＥＡのＭＡＣアルゴリズムは、ＯＭＡＣのセキュリティ証明の要件を充足する。つまり、Ｌがランダムであるときは、Ｌ１とＬ２は常に独立したランダム値である。
【０１７５】
ＡＥＡとＥＡＸとの更に別の相違は、必ずしも全単射ではないアナログコンポーネントＡを用いていることに関係する。しかしながら、ＥＡＸのセキュリティ分析では、実際には、完全なブロック暗号を要約し、ランダムなｎビットからｎビットへの関数を想定している。上述のセキュリティ限界は、ランダム関数であるとの仮定を用いて導出される。これは、Ａの非全単射性が２５６ビットから２５６ビットへのランダムな関数の衝突確率すなわち１／２２５６とほぼ等しく、ブロック暗号Ｅ１が安全な擬似ランダム順列であること、あるいは、ブロック暗号Ｅ２が安全な擬似ランダム順列であることのいずれかであれば、セキュリティ限界は等しくＡＥＡに適用されることを意味する。
【０１７６】
Ｅ１及びＥ２は両方とも安全な擬似ランダム順列になるように設計されているため、ＥＡＸのセキュリティ限界はＡＥＡにも適用される。
【０１７７】
最後に、ＡＥＡに適用可能なＥＡＸの証明可能なセキュリティ分析は、ノンスを重視する攻撃者を想定しているため、ノンスが繰り返されるときに保証は行われない。このため、ＡＥＡでは一意のノンスが用いられる。
【０１７８】
部分的危殆化の分析
上記のセキュリティ分析は、暗号鍵が危殆化されないと想定される標準モデルに適用されるものであり、攻撃者の目標は、新しい暗号文を復号化するか、あるいは有効な認証タグで新しいメッセージの偽造に成功することである。後者は、次の２つの設定のいずれかである。
実存的な偽造：メッセージの内容を制御せずに、有効な新しいメッセージ／タグの対を導く。
普遍的な偽造：メッセージの内容を完全に制御できる、任意の有効な新しいメッセージ/タグの対を導く。
【０１７９】
鍵が危殆化されていない場合、これらはすべて、以上概説した実証済みのセキュリティ限界に至るまで、不可能である。
【０１８０】
ＥＫ暗号の１つまたは２つの構成要素が危殆化された場合の影響について説明する。以下の定義を想起されたい。
【数３９】
2020525863.tif 000042
【０１８１】
第１のシナリオ（Ｓ１）では、デジタル部分Ｅ２Ｋ２のみが、攻撃者が任意のクエリを計算できる、すなわち、鍵Ｋ２を知っているか否かにかかわらず、その機能を抽出またはシミュレートすることに成功している、という意味で危殆化されている。第２のシナリオ（Ｓ２）では、デジタル的に実装されたすべての機能が攻撃者によって再構築、すなわち、Ｅ１Ｋ１及びＥ２Ｋ２の両方に対する任意のクエリの計算がされ得る。これは、Ｋ１とＫ２の両方の回復が含まれる場合と含まれない場合とを含む。この第２のシナリオは、マスター鍵Ｋ＝（Ｋ１，Ｋ２）全体の危殆化に相当することに注意されたい。
【０１８２】
Ｓ１攻撃に対するセキュリティ
このシナリオでは、攻撃者は、任意の入力ｘについてＥ２Ｋ２（ｘ）を計算できる。セキュリティの目標にとって、これには以下の含意がある。
【０１８３】
機密性：暗号文ブロックＣｉを復号化するためには、攻撃者は、
【数４０】
2020525863.tif 000043
のみならず
【数４１】
2020525863.tif 000044
の知識を必要とするカウンターキーストリーム
【数４２】
2020525863.tif 000045
を計算しなければならない。Ｅ１Ｋ１とＡは危殆化されていないため、Ｓｉについての情報はなく、したがって平文のＭｉについての情報もない。
【０１８４】
偽造：以上概説したように、攻撃者は、Ｅ２Ｋ２の知識のみが与えられた場合、カウンターキーストリームを計算することができない。攻撃者は、自分の選択した平文に対応する正しい暗号文を作成できず、普遍的な偽造は排除される。実存的な偽造の場合、攻撃者はランダムな暗号文（または同じキーを持つ他のクエリから取得した暗号文）の正しいタグを計算しようとする可能性がある。しかしながら、彼が持っていない正しいＣＢＣ−ＭＡＣ暗号を生成するためには、
【数４３】
2020525863.tif 000046
を計算する機能が必要である。
【０１８５】
要約すると、
【数４４】
2020525863.tif 000047
の危殆化はＡＥＡのセキュリティに直接的な影響を及ぼさない。ただし、証明可能なセキュリティ限界は、ランダム関数として振る舞う
【数４５】
2020525863.tif 000048
に依存する。
【０１８６】
Ｓ２攻撃に対するセキュリティ
このシナリオでは、攻撃者は任意の入力xについて
【数４６】
2020525863.tif 000049
の両方を計算することができる。セキュリティの目標にとって、これには以下の含意がある。
【０１８７】
機密性：暗号文ブロックＣｉを復号化するために、攻撃者は
【数４７】
2020525863.tif 000050
のみならず
【数４８】
2020525863.tif 000051
の知識を必要とするカウンターキーストリーム
【数４９】
2020525863.tif 000052
を計算しなければならない。
【数５０】
2020525863.tif 000053
の両方が危殆化している場合、セキュリティは、危殆化されていないコンポーネントＡに完全に依存する。その衝突確率がランダムよりも高い場合、対応する機密性の限界は、衝突確率Ａが
【数５１】
2020525863.tif 000054
に等しいとした場合、
【数５２】
2020525863.tif 000055
まで減少する。
【０１８８】
偽造：（Ｓ１）シナリオのように、現在、実存的な偽造と普遍的な偽造の両方に対するセキュリティは、危殆化されていない唯一のコンポーネントＡに完全に依存している。衝突確率がランダムより高い場合、対応する機密性の限界は、衝突確率Ａが
【数５３】
2020525863.tif 000056
に等しいとした場合、
【数５４】
2020525863.tif 000057
まで減少する。
【０１８９】
要約すると、
【数５５】
2020525863.tif 000058
両方が危殆化しても、ＡＥＡのセキュリティへの影響は直ちには及ばない。ただし、そのセキュリティは、アナログコンポーネントの機能を複製できないこと、及び、衝突の可能性の両方に依存する。
【０１９０】
量子化後のセキュリティ
量子コンピュータ、特にＧｒｏｖｅｒのアルゴリズムを使用して、Ｅ１及びＥ２などの対称暗号化アルゴリズムの鍵を網羅的に検索する問題は、検索空間の平方根に従って高速化され得る。Ｇｒｏｖｅｒのアルゴリズムを用いれば、ｋビットの鍵は、Ｏ（２ｋ）でなくＯ（２ｋ／２）の時間で、力づくで検索できる。Ｅ１とＥ２は２５６ビットの鍵とされているため、１２８ビットの量子化後のセキュリティレベルを引き続き提供する。第２の考慮事項は、完全なブロック暗号の鍵を網羅的に検索するためにＧｒｏｖｅｒのアルゴリズムを実際に実装するのに必要な量子回路のサイズ（量子ビット数）である。最近の研究（Ｍ．Ｇｒａｓｓｌ  ｅｔ  ａｌ．：Ａｐｐｌｙｉｎｇ  Ｇｒｏｖｅｒ‘ｓ  Ａｌｇｏｒｉｔｈｍ  ｔｏ  ＡＥＳ：Ｑｕａｎｔｕｍ  Ｒｅｓｏｕｒｃｅ  Ｅｓｔｉｍａｔｅｓ、ＰＱＣｒｙｐｔｏ  ２０１６）では、ＡＥＳ−２５６を攻撃するには合計６６８１量子ビットの量子回路が必要であると推定されている。時間計算量は、１．４４×２１５１オペレーションと推定されている。Ｅ１とＥ２はより大きな状態サイズで設計されているため、量子攻撃を成功させるには少なくとも上述のリソースが必要となる。
【０１９１】
第２の懸念は、動作モード（ＡＥＡ）の量子化後セキュリティである。合成モードとして、そのセキュリティは、基盤となるＣＢＣ及びＣＴＲ動作モードのセキュリティに基づいている。ＣＢＣとＣＴＲはいずれも、暗号化アルゴリズムが従来の方法で実装されている場合は常に、標準のＰＲＦ仮定の下で、量子攻撃者に対してＩＮＤ−ＣＰＡ（選択された平文攻撃で識別できない）セキュリティを提供することがよく知られている。これは、量子攻撃者が通常の暗号化クエリを処理するために量子アルゴリズムを使用できるだけで、特段の量子暗号化クエリを要求しないことを意味する。暗号化アルゴリズムが量子コンピュータにも実装されており、攻撃者が重畳メッセージで量子クエリを要求できる場合、事情は変わる。最近の研究（Ｍ．Ａｎａｎｄ  ｅｔ  ａｌ．：Ｐｏｓｔ−ｑｕａｎｔｕｍ  Ｓｅｃｕｒｉｔｙ  ｏｆ  ｔｈｅ  ＣＢＣ，ＣＦＢ，ＯＦＢ，ＣＴＲ，ａｎｄＸＴＳ  Ｍｏｄｅｓ  ｏｆ  Ｏｐｅｒａｔｉｏｎ，ＰＱＣｒｙｐｔｏ  ２０１６）は、この場合において、基礎となるブロック暗号の標準的な非量子ＰＲＦ仮定は、ＣＴＲでＩＮＤ−ｑＣＰＡを達成するのに十分であるに過ぎず、ＣＢＣでも十分でないことを明らかにしている。 ＣＢＣでＩＮＤ−ｑＣＰＡセキュリティをもたらすには、基礎となるブロック暗号がｑＰＲＦ（量子セキュアＰＲＦ）である必要がある。
【０１９２】
ＡＥＳベースの変種
代替的な実施形態で、ＡＥＡで用いられる専用のブロック暗号Ｅ２及び／またはＥ１は、ＡＥＳベースのブロック暗号構成で置き換えることができる。ＡＥＳは１２８ビットのブロック暗号であるため、Ｆ関数としてＡＥＳ−２５６（鍵は２５６ビット鍵）を用いる平衡Ｆｅｉｓｔｅｌネットワークを用いた２５６ビットのブロック暗号に変換される。２５６ビットの鍵Ｋの下での２５６ビットの入力Ｘから暗号文Ｙへの暗号化は、以下のように与えられる。
【数５６】
2020525863.tif 000059
関数Ｆは
【数５７】
2020525863.tif 000060
と定義され、ラウンド鍵は、
【数５８】
2020525863.tif 000061
と定義される。
【０１９３】
ＡＥＳ−２５６が安全なブロック暗号である場合、Ｄａｉ及びＳｔｅｉｎｂｅｒｇｅｒの結果（Ｙｕａｎｘｉ  Ｄａｉ、Ｊｏｈｎ  Ｓｔｅｉｎｂｅｒｇｅｒ：Ｉｎｄｉｆｆｅｒｎｔｉａｂｉｌｉｔｙ  おｆ  ８−ｒｏｕｎｄ  Ｆｅｉｓｔｅｌ  ｎｅｔｗｏｒｋｓ、ＣＲＹＰＴＯ  ２０１６）は、８ラウンド後のランダム順列からの無差別性を示唆しており、追加のセキュリティマージンのために２ラウンドが追加されている。
【０１９４】
無差別性は非常に強力なセキュリティ概念である。たとえば、バースデイバウンド（２１２８）に至るすべての適応的に選択された平文攻撃に対するセキュリティは、わずか４ラウンド後ですでに達成される（Ｍ．Ｌｕｂｙ，Ｃ．Ｒａｃｋｏｆｆ，Ｈｏｗ  ｔｏ  ｃｏｎｓｔｒｕｃｔ  ｐｓｅｕｄｏｒａｎｄｏｍ  ｐｅｒｍｕｔａｔｉｏｎｓ  ｆｒｏｍ  ｐｓｅｕｄｏ−ｒａｎｄｏｍ  ｆｕｎｃｔｉｏｎｓ，ＳＩＡＭ  Ｊｏｕｒｎａｌ  ｏｎ  Ｃｏｍｐｕｔｉｎｇ，ｖｏｌ．１７，ｎ．２ｐｐ．３７３−３８６，Ａｐｒｉｌ  １９８８）。
【０１９５】
サンプルアプリケーションプログラミングインターフェイス
暗号化：
【数５９】
2020525863.tif 000062
は、ＡＥＡアルゴリズムに従って認証付き暗号化を実装する。入力は次のとおりである。
ｍｓｇ：メッセージ入力、長さ「ｌｅｎ」バイトのバイト単位の文字列。
ｌｅｎ：バイト単位による「ｍｓｇ」の長さ。０とＭＡＸＩＮＴとの間の範囲で指定可能。
ｎｏｎｃｅ：２５６ビット（３２バイト）のノンス。この番号は、キーの有効期間中に一意である必要がある。秘密である必要はなく、異なるキーに対して繰り返すことができる。 ２５６ビットより小さいノンスにはゼロが埋め込まれる。
ｋｅｙ：５１２ビットのマスター鍵。Ｅ１及びＥ２ブロック暗号のＫ１及びＫ２から構成される。
この関数の出力は：
c：暗号文。入力「ｍｓｇ」と同じ長さである。
ｔａｇ：ｍｓｇ、ｋｅｙ及びｎｏｎｃｅに対応する認証タグ。
【０１９６】
復号化及び検証：
【数６０】
2020525863.tif 000063
が、ＡＥＡアルゴリズムに従った復号化とタグ検証を実装する。入力は次のとおりである。
ｃ：暗号文入力、長さ「ｌｅｎ」バイトのバイト単位の文字列。
ｌｅｎ：「ｃ」の長さ。０とＭＡＸＩＮＴとの間の範囲で指定可能。
ｔａｇ：cに対応する認証タグ。
ｎｏｎｃｅ：暗号文の生成に用いられた２５６ビットのノンス。
ｋｅｙ：５１２ビットのマスターキー。Ｅ１及びＥ２ブロック暗号のＫ１及びＫ２から構成される。
この関数の出力は：
ｍｓｇ：検証成功時の平文。入力「ｍｓｇ」と同じ長さである。タグの検証が失敗した場合、この出力は空である。
検証の成功を示すブール値を返す。
【０１９７】
他の特徴及び他の機能は、この技術に精通している者には想到されるものであり、そのような変形は、上記で提供される完全かつ詳細な例に照らして予想されるものである。しかし、そのような変形は、以下の特許請求の範囲及び趣旨の範囲外と見なされるべきものではない。
【０１９８】
（付記）
（付記１）
第１電極信号線とそれぞれ電気的に接続されている第１電極と、
前記第１電極上にある液晶セルと、
前記液晶セル上にあり前記第１電極に対向する１個以上の第２電極と、
前記液晶セルに光入力を伝達するよう構成された入力導波路と、
前記液晶セルの光出力を感知するよう構成されたセンサと、
を備える装置。
【０１９９】
（付記２）
前記液晶セルの光出力を前記センサに伝達する出力導波路を更に備える付記１に記載の装置。
【０２００】
（付記３）
第１の方向に第１の寸法値を有する前記第１電極のうちの第１のものと、
前記第１の方向に第２の寸法値を有する前記第１電極のうちの第２のものと、
を更に含み、
前記第１の寸法値は、前記第２の寸法値とは異なる、
付記１に記載の装置。
【０２０１】
（付記４）
前記液晶セルと接触し、不規則な分子配列を有するポリイミド層を更に備える付記１に記載の装置。
【０２０２】
（付記５）
アナログコンポーネントと、
長さ｜Ｍ｜のデジタルデータＭを取得することと、デジタルキーストリーム
【数６１】
2020525863.tif 000064
を決定することと、Ｍの最初の｜Ｍ｜ビットにつき暗号文
【数６２】
2020525863.tif 000065
を計算することとを含む所与の動作を実行するように適合された制御回路と、
を備える装置であって、
Ｎはノンスであり、
Ｋ１及びＫ２は鍵であり、
Ｅ１Ｋ１（Ｎ）はＫ１を用いてＮを暗号化したものであり、
Ｅ２Ｋ２（Ｎ）はＫ２を用いてＮを暗号化したものであり、
Ａは前記アナログコンポーネントであり、
【数６３】
2020525863.tif 000066
はＫ１を用いて
【数６４】
2020525863.tif 000067
を暗号化したものであり、
【数６５】
2020525863.tif 000068
は、
Ｅ１Ｋ１（Ｎ）を用いてアナログコンポーネント入力Ａｉを取得することと、
前記アナログコンポーネント入力Ａｉに基づいて、前記アナログコンポーネントＡからアナログコンポーネント出力Ａｏを取得することと、
前記アナログコンポーネント出力Ａｏのデジタル表現を取得することと、
【数６５】
2020525863.tif 000069
を前記デジタル表現に基づくものとすることと、
によって決定される、
装置。
【０２０３】
（付記６）
前記アナログコンポーネントＡは、第１の側に第１電極を有し、第２の側に第２電極を有する液晶セルを含み、
前記制御回路は、Ｅ１Ｋ１（Ｎ）を用いて前記第１電極を駆動し、
前記アナログコンポーネント出力Ａｏは、前記制御回路によって駆動された前記液晶セルの光出力を感知することにより決定される、
付記５に記載の装置。
【図１Ａ】
2020525863.tif 000076
【図１Ｂ】
2020525863.tif 000077
【図１Ｃ】
2020525863.tif 000078
【図１Ｄ】
2020525863.tif 000079
【図１Ｅ】
2020525863.tif 000080
【図１Ｆ】
2020525863.tif 000081
【図２Ａ】
2020525863.tif 000082
【図２Ｂ】
2020525863.tif 000083
【図２Ｃ】
2020525863.tif 000084
【図２Ｄ】
2020525863.tif 000085
【図２Ｅ】
2020525863.tif 000086
【図２Ｆ】
2020525863.tif 000087
【図３Ａ】
2020525863.tif 000088
【図３Ｂ】
2020525863.tif 000089
【図３Ｃ】
2020525863.tif 000090
【図３Ｄ】
2020525863.tif 000091
【図３Ｅ】
2020525863.tif 000092
【図３Ｆ】
2020525863.tif 000093
【図４Ａ】
2020525863.tif 000094
【図４Ｂ】
2020525863.tif 000095
【図４Ｃ】
2020525863.tif 000096
【図４Ｄ】
2020525863.tif 000097
【図４Ｅ】
2020525863.tif 000098
【図４Ｆ】
2020525863.tif 000099
【図５Ａ】
2020525863.tif 000100
【図５Ｂ】
2020525863.tif 000101
【図５Ｃ】
2020525863.tif 000102
【図５Ｄ】
2020525863.tif 000103
【図５Ｅ】
2020525863.tif 000104
【図５Ｆ】
2020525863.tif 000105
【図６Ａ】
2020525863.tif 000106
【図６Ｂ】
2020525863.tif 000107
【図６Ｃ】
2020525863.tif 000108
【図６Ｄ】
2020525863.tif 000109
【図６Ｅ】
2020525863.tif 000110
【図６Ｆ】
2020525863.tif 000111
【図７Ａ】
2020525863.tif 000112
【図７Ｂ】
2020525863.tif 000113
【図７Ｃ】
2020525863.tif 000114
【図７Ｄ】
2020525863.tif 000115
【図７Ｅ】
2020525863.tif 000116
【図７Ｆ】
2020525863.tif 000117
【図８Ａ】
2020525863.tif 000118
【図８Ｂ】
2020525863.tif 000119
【図８Ｃ】
2020525863.tif 000120
【図８Ｄ】
2020525863.tif 000121
【図８Ｅ】
2020525863.tif 000122
【図８Ｆ】
2020525863.tif 000123
【図９Ａ】
2020525863.tif 000124
【図９Ｂ】
2020525863.tif 000125
【図９Ｃ】
2020525863.tif 000126
【図９Ｄ】
2020525863.tif 000127
【図９Ｅ】
2020525863.tif 000128
【図９Ｆ】
2020525863.tif 000129
【図１０Ａ】
2020525863.tif 000130
【図１０Ｂ】
2020525863.tif 000131
【図１０Ｃ】
2020525863.tif 000132
【図１０Ｄ】
2020525863.tif 000133
【図１０Ｅ】
2020525863.tif 000134
【図１０Ｆ】
2020525863.tif 000135
【図１１Ａ】
2020525863.tif 000136
【図１１Ｂ】
2020525863.tif 000137
【図１１Ｃ】
2020525863.tif 000138
【図１１Ｄ】
2020525863.tif 000139
【図１１Ｅ】
2020525863.tif 000140
【図１１Ｆ】
2020525863.tif 000141
【図１２Ａ】
2020525863.tif 000142
【図１２Ｂ】
2020525863.tif 000143
【図１３Ａ】
2020525863.tif 000144
【図１３Ｂ】
2020525863.tif 000145
【図１３Ｃ】
2020525863.tif 000146
【図１４Ａ】
2020525863.tif 000147
【図１４Ｂ】
2020525863.tif 000148
【図１５】
2020525863.tif 000149
【図１６】
2020525863.tif 000150
【図１７】
2020525863.tif 000151
【図１８】
2020525863.tif 000152
【図１９Ａ】
2020525863.tif 000153
【図１９Ｂ】
2020525863.tif 000154
【図２０】
2020525863.tif 000155
【図２１】
2020525863.tif 000156
【図２２】
2020525863.tif 000157
【図２３】
2020525863.tif 000158
【図２４】
2020525863.tif 000159
【図２５】
2020525863.tif 000160
【図２６】
2020525863.tif 000161
【図２７】
2020525863.tif 000162
【図２８】
2020525863.tif 000163
【手続補正書】
【提出日】令和2年2月13日(2020.2.13)
【手続補正１】
【補正対象書類名】明細書
【補正対象項目名】０１２５
【補正方法】変更
【補正の内容】
【０１２５】
図２１は、制御回路２１００による暗号化のための定義済みの動作の実施形態を示す。この実施形態は、平文メッセージＭが特定のアナログコンポーネント１００にとって適切な単位で順次処理されることを想定している。例えば、図１Ａないし１８に示すアナログコンポーネント１００の場合、適切な単位は１６ビットである。２５６ビットの例示的な実施形態の場合、この単位は２５６ビットである。以下では、適切なサイズの単位を一般にチャンクと呼ぶ。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】０１２７
【補正方法】変更
【補正の内容】
【０１２７】
図２１では、平文メッセージＭは長さ｜Ｍ｜を有し、ｍ個のチャンクＭｉに分割される。ここでｉ＝１，．．．，ｍである。記号Ｍｉは、平文メッセージＭのｉ番目のチャンクを表す。
【手続補正３】
【補正対象書類名】明細書
【補正対象項目名】０１２８
【補正方法】変更
【補正の内容】
【０１２８】
図２１は、キーストリームＳの概念を含んでおり、これをデジタルキーストリームＳとも呼ぶ。キーストリームはｍ個のチャンクＳｉで生成される。ここで、ｉ＝１，．．．，ｍである。Ｓｉは、それぞれのＭｉについて生成される。
【手続補正４】
【補正対象書類名】明細書
【補正対象項目名】０１２９
【補正方法】変更
【補正の内容】
【０１２９】
暗号文Ｃは、Ｃｉ＝Ｍｉ  ＸＯＲ  Ｓｉとすることにより、ｍ個のチャンクＣｉで生成される。ここでｉ＝１，．．．，ｍである。
【手続補正５】
【補正対象書類名】明細書
【補正対象項目名】０１４６
【補正方法】変更
【補正の内容】
【０１４６】
例示的な実施形態では、ブロック暗号Ｅ１は、図２３による換字転置ネットワークである。ブロック暗号Ｅ１は、２５６ビットのブロック長及び２５６ビットの鍵サイズを有する。入力として２５６ビットの平文Ｘと２５６ビットの鍵Ｋを受け入れ、対応する２５６ビットの暗号文Ｙ＝Ｅ１Ｋ（ｘ）を生成する。
【手続補正６】
【補正対象書類名】明細書
【補正対象項目名】０１４７
【補正方法】変更
【補正の内容】
【０１４７】
ブロック暗号Ｅ２は、デジタルコンポーネントのみに依存するベースラインレベルのセキュリティを確立するために用いられる。この例では、ブロック暗号Ｅ２はＥ１の変種として設計されており、その全体構造も図２３に示すとおりである。これは、ブロック長２５６ビット、鍵サイズ２５６ビットの換字転置ネットワークである。入力として２５６ビットの平文Ｘと２５６ビットのマスター鍵Ｋを受け入れ、対応する２５６ビットの暗号文Ｙ＝Ｅ２Ｋ（ｘ）を生成する。
【手続補正７】
【補正対象書類名】明細書
【補正対象項目名】０１５２
【補正方法】変更
【補正の内容】
【０１５２】
例示的な実施形態において、Ｅ１及びＥ２は、ブロック暗号ＳＨＡＲＫに類似したフルＭＤＳ拡散層を有する換字転置ネットワークである（Ｖｉｎｃｅｎｔ Ｒｉｊｍｅｎ、Ｊｏａｎ  Ｄａｅｍｅｎ、Ｂａｒｔ  Ｐｒｅｎｅｅｌ、Ａｎｔｏｏｎ  Ｂｏｓｓｅｌａｅｒｓ、Ｅｒｉｋ  Ｄｅ  Ｗｉｎ：Ｔｈｅ  ｃｉｐｈｅｒ  ＳＨＡＲＫ。ＦＳＥ  １９９６、ＬＮＣＳ  １０３９、ｐｐ．９９−１１１）。ＡＥＳとは異なり、各ラウンドの状態全体にＭＤＳ行列を適用し、また１列だけではない。実装効率という面では多少重くなるが、これは非常に迅速な拡散（わずか１ラウンドでフル拡散に到達する）につながり、数ラウンドにわたって暗号解析特性が大幅に速く減退する。下表に、Ｅ１／Ｅ２とＳＨＡＲＫ及びＡＥＳの両方との比較を示す。
【表１】
2020525863.tif 000164
【手続補正８】
【補正対象書類名】明細書
【補正対象項目名】０１５９
【補正方法】変更
【補正の内容】
【０１５９】
暗号化及び認証に用いられる場合、メッセージ入力と同じ長さの暗号文を、長さ２５６ビットの認証タグＴとともに出力する。
【数１５】
2020525863.tif 000165
復号化及び検証に用いられる場合、検証成功を表すシンボル”Ｓ”とともに回復した平文を出力し、またはメッセージをまったく出力せず、検証失敗を表す”Ｆ”を出力する。
【数１６】
2020525863.tif 000166
ノンス入力は公開されていることを想定されるものであるが、（Ｋ，Ｎ）の任意の組み合わせは1回限り用いられるという意味で一意である必要がある。２５６ビットより短いノンスは、ゼロが埋め込まれて２５６ビットの文字列とされる。一般に、１個の鍵に対して最大２ｔ個のメッセージブロックの処理が必要な場合、誕生日のパラドックスにより、ノンスは２ｔビット長である必要がある。
【手続補正９】
【補正対象書類名】明細書
【補正対象項目名】０１６１
【補正方法】変更
【補正の内容】
【０１６１】
ＣＴＲモード
ビルディングブロックＣＴＲ（Ｎ，Ｋ，Ｍ）は、２５６ビットのノンスＮ、５１２ビットの鍵Ｋ、及びメッセージ入力Ｍ（長さ
【数１７】
2020525863.tif 000167
ビット）を取り込み、以下を経て、等しい長さの暗号文Ｃを生成する。
【数１８】
2020525863.tif 000168
【数１９】
2020525863.tif 000169
ｒｅｔｕｒｎ  Ｃ
ここで、関数
【数２０】
2020525863.tif 000170
は、
【数２１】
2020525863.tif 000171
と定義される。関数ＥＫ（Ｍ）の動作及びこの関数を用いたＣＴＲモードの暗号化を、図２６及び図２５にそれぞれ示す。
【手続補正１０】
【補正対象書類名】明細書
【補正対象項目名】０１６３
【補正方法】変更
【補正の内容】
【０１６３】
ここで、ＥＫ（Ｍ）は、ＣＴＲ暗号化において上述したように定義される。関数ＥＫに基づくこのＭＡＣアルゴリズムを図２７に示す。
【手続補正１１】
【補正対象書類名】明細書
【補正対象項目名】０１６５
【補正方法】変更
【補正の内容】
【０１６５】
メッセージ認証コード（ＭＡＣ）アルゴリズム
ＭＡＣアルゴリズムＭＡＣ（ｔ，Ｋ，Ｍ）は、入力として、２５６ビットの整数ｔ、５１２ビットの鍵Ｋ、及び長さ
【数２８】
2020525863.tif 000172
ビットのメッセージＭを取り込む。以下のように認証タグを返す。
【数２９】
2020525863.tif 000173
ここで、
【数３０】
2020525863.tif 000174
は、整数tの２５６ビットバイナリ表現を示す。
【手続補正１２】
【補正対象書類名】明細書
【補正対象項目名】０１６６
【補正方法】変更
【補正の内容】
【０１６６】
ＡＥＡ−ＥＮＣＲＹＰＴ：暗号化とタグ生成
ＡＥＡ認証付き暗号化アルゴリズムＡＥＡ−ＥＮＣＲＹＰＴ（Ｋ，Ｎ，Ｍ）は、５１２ビットの鍵Ｋ、２５６ビットのノンスＮ及び長さ
【数３１】
2020525863.tif 000175
ビットのメッセージＭを取り込む。以下のように、暗号文Ｃ及び２５６ビットのタグＴを返す。
【数３２】
2020525863.tif 000176
【手続補正１３】
【補正対象書類名】明細書
【補正対象項目名】０１６８
【補正方法】変更
【補正の内容】
【０１６８】
暗号文は常に平文と等しい長さを有することに留意されたい。ＡＥＡアルゴリズムの全体的な動作を図２８に示す。
【手続補正１４】
【補正対象書類名】明細書
【補正対象項目名】０１６９
【補正方法】変更
【補正の内容】
【０１６９】
ＡＥＡ−ＶＥＲＩＦＹ：復号化とタグ検証
ＡＥＡ復号化及び検証アルゴリズム
【数３３】
2020525863.tif 000177
（Ｍ，｛Ｓ，Ｆ｝）は、入力として５１２ビットの鍵Ｋ、２５６ビットのノンスＮ、暗号文Ｃ及び２５６ビットのタグＴを取り込む。認証タグを検証し、成功すると、復号化されたメッセージおよび成功を表す記号”Ｓ”（上記のキーストリームＳと混同しないこと）を返す。失敗を確認すると直ちに、空のメッセージと記号”Ｆ”を返す。
【数３４】
2020525863.tif 000178
【手続補正１５】
【補正対象書類名】明細書
【補正対象項目名】０１７４
【補正方法】変更
【補正の内容】
【０１７４】
ＥＡＸの著者らは、これら２つのセキュリティ概念について、σｎビット以下のメッセージブロック（おそらく多くのクエリにわたって）をクエリする攻撃者のアドバンテージが以下のように制限されることを証明している。
【数３７】
2020525863.tif 000179
ここで、τはタグの長さを示す。アドバンテージは
【数３８】
2020525863.tif 000180
となるにつれ１に近づくので、バウンド（限界）はいずれも基本的にバースデイバウンド（限界）である。ＡＥＡの場合、ｎ＝τ＝２５６であるため、同じ鍵に対して暗号化されているのが２１２８ブロック以下である場合、モードは安全であると見なされる。ＡＥＡのＭＡＣアルゴリズムは、ＯＭＡＣのセキュリティ証明の要件を充足する。つまり、Ｌがランダムであるときは、Ｌ１とＬ２は常に独立したランダム値である。
【手続補正１６】
【補正対象書類名】明細書
【補正対象項目名】０１８７
【補正方法】変更
【補正の内容】
【０１８７】
機密性：暗号文ブロックＣｉを復号化するために、攻撃者は
【数４７】
2020525863.tif 000181
のみならず
【数４８】
2020525863.tif 000182
の知識を必要とするカウンターキーストリーム
【数４９】
2020525863.tif 000183
を計算しなければならない。
【数５０】
2020525863.tif 000184
の両方が危殆化している場合、セキュリティは、危殆化されていないコンポーネントＡに完全に依存する。その衝突確率がランダムよりも高い場合、対応する機密性の限界は、衝突確率Ａが
【数５１】
2020525863.tif 000185
に等しいとした場合、
【数５２】
2020525863.tif 000186
まで減少する。
【手続補正１７】
【補正対象書類名】明細書
【補正対象項目名】０１８８
【補正方法】変更
【補正の内容】
【０１８８】
偽造：（Ｓ１）シナリオのように、現在、実存的な偽造と普遍的な偽造の両方に対するセキュリティは、危殆化されていない唯一のコンポーネントＡに完全に依存している。衝突確率がランダムより高い場合、対応する機密性の限界は、衝突確率Ａが
【数５３】
2020525863.tif 000187
に等しいとした場合、
【数５４】
2020525863.tif 000188
まで減少する。
【国際調査報告】
2020525863.tif 000189
2020525863.tif 000190
2020525863.tif 000191