メッセージエンコーディング

公開鍵暗号スキームで用いられる暗号化のためのメッセージエンコーディング方法 (Message-Encoding Methods for Encryption) である (IEEE P1363a)．

暗号化対象メッセージに対して暗号化する前にエンコードを行い，復号後にデコードが行われる．

EME1

パラメータ
- ハッシュ関数 Hash (出力長 $hLen$ オクテット)
- マスク生成関数 G (MGF1)
Encode
- 入力：
  $l$：　メッセージ表現 (出力データ) の最大ビット長 (少なくとも $16 hLen + 8$)
  $M$：　長さ $mLen$ のオクテット列 ($mLen \le \lfloor (l/8) - 2 hLen - 1\rfloor$)
  $P$：　長さ $pLen$ オクテットのエンコードパラメータ (空でもよい)
- 出力：
  $f$：　最大 $l$ ビットの整数 $(f \ge 0)$ のメッセージ表現
  ”error”：エラー出力
1. $P$ の長さが選択したハッシュ関数の入力制限長を超えた場合は，“error”を出力し終了．
2. $oLen = \lfloor l/8 \rfloor$，$seedLen = hLen$ とする． $mLen \gt oLen - hLen - seedLen - 1$ ならば，"error" を出力し終了．
3. $S$ を $oLen - mLen - hLen - seedLen - 1$ 個のゼロからなるオクテット列とする．また，$T$ を 16進数 $01$ の単一オクテットとする．
4. $M' = S\ ||\ T\ ||\ M$.
5. $cHash$ $=$ Hash $(P)$.
6. $DB = cHash\ ||\ M'$.
  $DB$ の長さは，$oLen - seedLen$ オクテットである．
7. 長さ $seedLen$ のランダムなオクテット列 $seed$ を生成する．
8. $dbMask$ $=$ G$(seed, oLen - seedLen)$.
9. $maskedDB = DB \oplus dbMask$.
10. $seedMask$ $=$ G$(maskedDB, seedLen)$.
11. $maskedSeed = seed \oplus seedMask$.
12. $EM = maskedSeed\ ||\ maskedDB$.
13. $f$ $=$ OS2IP$(EM)$.
14. $f$ を出力する．
Decode
- 入力：
  $l$：　メッセージ表現の最大ビット長 (少なくとも $16 hLen + 8$)
  $f$：　メッセージ表現の整数 $(f \ge 0)$
  $P$：　長さ $pLen$ オクテットのエンコードパラメータ (空でもよい)
- 出力：
  $M$：　メッセージのオクテット列
  ”error”：エラー出力
1. $P$ の長さが選択したハッシュ関数の入力制限長を超えた場合は，“error”を出力し終了．
2. $oLen = \lfloor l/8 \rfloor$，$seedLen = hLen$ とする． $oLen \lt seedLen + hLen + 1$ ならば，"error" を出力し終了．
3. $cHash$ $=$ Hash$(P)$.
4. $EM$ $=$ I2OSP$(f)$.
  $EM$ は $oLen + 1$ オクテットである．I2OSP がエラーの場合，"error" を出力し終了．
5. $X$ を $EM$ の最左オクテットとする．次の $seedLen$ オクテットを $maskedSeed$ とする．残るオクテット列を $maskedDB$ とする．
6. $seedMask$ $=$ G$(maskedDB, seedLen)$.
7. $seed = maskedSeed \oplus seedMask$.
8. $dbMask$ $=$ G$(seed, oLen - seedLen)$.
9. $DB = maskedDB \oplus dbMask$.
10. $DB$ から最初の $hLen$ オクテットを除いたものを $M'$ とする．
11. $M'$ の最も左側の非ゼロのオクテットを $T$ とする．
12. $DB$ の最初の $hLen$ オクテットを $cHash$ と比較する．等しくないか $X \ne 00$ (16進数) であるか，$T \ne 01$ (16進数) であれば，"error" を出力し終了． $PS$ と $M$ を分離するための $'01'$ がない場合は，デコードエラーとして処理終了．
13. $T$ とその左側のすべてのオクテットを $M'$ から取り除き，$M$ とする．
14. $M$ を出力する．

EME2

任意の長さ $l$ のメッセージ表現を生成する．但し，エンコードできるメッセージの長さ $l$ に依存した制約がある．

パラメータ
- ハッシュ関数 Hash (出力長 $hLen$ オクテット)
- マスク生成関数 G (ハッシュ関数 Hash を用いた MGF1)
- 乱数種のオクテット長 $seedLen \ge 0$ (代表的には $hLen$)
Encode
- 入力：
  $l$：　メッセージ表現の最大ビット長 (少なくとも $8 seedLen + 1$)
  $rBits$：　ハッシュ値のビット長
  $M$：　メッセージのオクテット列 (長さ $mLen \le \lfloor (l+7)/8 \rfloor - seedLen - 1$)
  $P$：　オクテット列のエンコードパラメータ (空でもよい)
- 出力：
  $f$：　メッセージ表現の最大 $l$ ビットの整数 $(f \ge 0)$
  $r$：　最大 $8 hLen$ ビットのハッシュ値の整数 $(r \ge 0)$
  ”error”：エラー出力
1. $P$ の長さに $\lfloor (l+7)/8 \rfloor$ を足したものが選択したハッシュ関数の入力制限長を超えた場合は，“error”を出力し終了．
2. $oLen = \lfloor (l+7)/8 \rfloor$，$seedLen = oLen - mLen$，$rLen = \lceil rBits/8 \rceil$，$t = 8 rLen - rBIts$ とする．
  $mLen \gt oLen - seedLen - 1$ ならば，“error”を出力し終了．
3. $S$ を $oLen - mLen - seedLen - 1$ 個のゼロからなるオクテット列とする．また，$T$ を値 $01$ を持つ 1 オクテットとする．
4. $M' = S\ ||\ T\ ||\ M$.
5. 長さ $seedLen$ オクテットの乱数列 $seed$ を生成する．
6. $EM = M'\ ||\ seed$.
7. $DB = EM\ ||\ P$.
8. $H$ $=$ Hash$(DB)$
  $DB$ にハッシュ関数 Hash を適用し，長さ $hLen$ のオクテッ列 $H$ を得る．
9. $H$ にマスク生成関数 G を適用し，長さ $rLen$ のオクテッ列 $T$ を得る．
10. $T$ の最も左側の $t$ ビットをゼロに設定する．
11. $f$ $=$ OS2IP$(EM)$ ($EM$ を整数 $f$ に変換)
12. $r$ $=$ OS2IP$(T)$ ($T$ を整数 $r$ に変換)
13. $f$ と $r$ を出力する．
Decode
- 入力：
  $l$：　メッセージ表現の最大ビット長 (少なくとも $8 seedLen + 1$)
  $rBits$：　ハッシュ値のビット長
  $f$：　メッセージ表現 $(f \ge 0)$
  $P$：　オクテット列のエンコードパラメータ (空でもよい)
- 出力：
  $M$：　メッセージのオクテット列 (長さ $mLen \le \lfloor l/8 \rfloor - seedLen - 1$)
  $r$：　最大 $8 hLen$ ビットのハッシュ値の整数 $(r \ge 0)$
  ”error”：エラー出力
1. $P$ の長さに $\lfloor l/8 \rfloor$ を足したものが選択したハッシュ関数の入力制限長を超えた場合は，“error”を出力し終了．
2. $oLen = \lfloor l/8 \rfloor$，$rLen = \lceil rBits/8 \rceil$，$t = 8 rLen - rBIts$.
  $oLen \lt seedLen + hLen + 1$ ならば，“error”を出力し終了．
3. $EM$ $=$ I2OSP$(f)$ ($f$ を長さ $oLen$ のオクテット列 $EM$ に変換)
  I2OSP がエラーの場合，“error”を出力し終了．
4. $EM$ の最も右側の $seedLen$ オクテットを除いたものを $M'$ とする．
5. $T$ を $M'$ の最も左側からのゼロでない最初のオクテットとする． $T$ が 16進値で $01$ でない場合“error”を出力し終了．
6. $M'$ から $T$ およびその左側のゼロオクテットを取り除いたものを $M$ とする．
7. $DB = EM\ ||\ P$.
8. $H$ $=$ Hash$(DB)$
  $DB$ にハッシュ関数 Hash を適用し，長さ $hLen$ のオクテッ列 $H$ を得る．
9. $H$ にマスク生成関数 G を適用し，長さ $rLen$ のオクテッ列 $T$ を得る．
10. $T$ の最も左側の $t$ ビットをゼロに設定する．
11. $r$ $=$ OS2IP$(T)$ ($T$ を整数 $r$ に変換)
12. メッセージ $M$ とハッシュ値 $r$ を出力する．

EME3

任意の長さ $l$ のメッセージ表現を生成する．エンコードできるメッセージの長さに制約は無い (または，非常に大きな値)．

パラメータ
- ハッシュ関数 Hash (出力長 $hLen$ オクテット)
- マスク生成関数 G (ハッシュ関数 Hash を用いた MGF1)
- メッセージと乱数種を結合する次のどちらかの方法
  - 鍵導出関数 (KDF2) を用いたストリーム暗号
  - 鍵導出関数 (KDF2) を用いた共通鍵暗号
Encode
- 入力：
  $l$：　メッセージ表現の最大ビット長
  $rBits$：　ハッシュ値のビット長
  $M$：　長さ $mLen$ のオクテット列 (メッセージ)
  $P$：　長さ $pLen$ オクテットのエンコードパラメータ (空でもよい)
- 出力：
  $f$：　メッセージ表現の最大 $l$ ビットの整数 $(f \ge 0)$
  $r$：　最大 $rBits$ ビットのハッシュ値の整数 $(r \ge 0)$
  $C$：　暗号化メッセージのオクテット列
  ”error”：エラー出力
1. $mLen$ が選択した鍵導出関数の出力長または暗号化スキームの平文長の制限を超えている場合，または $mLen + pLen + \lfloor l/8 \rfloor$ がハッシュ関数の入力長制限を越えている場合，"error" を出力し終了．
2. $seedLen = \lfloor l/8 \rfloor$，$rLen = \lceil rBits/8 \rceil$，$t = 8 rLen - rBits$.
3. 長さ $seedLen$ オクテットの乱数列 $seed$ を生成する．
4. 鍵導出関数を用いたストリーム暗号により乱数種とメッセージを結合する場合，
  1. 鍵導出関数を用いて $seed$ より長さ $mLen$ のオクテット列 $mask$ を生成する．
  2. $C = M \oplus mask$.
5. 鍵導出関数を用いた共通鍵暗号により乱数種とメッセージを結合する場合，
  1. 鍵導出関数を用いて$seed$ より共通鍵暗号用の鍵 $K$ を生成する．
  2. 共通鍵暗号と鍵 $K$ を用いて $M$ を暗号化し，暗号メッセージ $C$ を生成する．
6. $DB = M\ ||\ seed\ ||\ C\ ||\ P$.
  $DB$ の長さがハッシュ関数の入力制限長を越える場合は，"error" を出力し終了．
7. $H$ $=$ Hash$(DB)$
  $DB$ にハッシュ関数 Hash を適用し，長さ $hLen$ のオクテッ列 $H$ を得る．
8. $H$ にマスク生成関数 G を適用し，長さ $rLen$ のオクテッ列 $T$ を得る．
9. $T$ の最も左側の $t$ ビットをゼロに設定する．
10. $f$ $=$ OS2IP$(seed)$ ($seed$ を整数 $f$ に変換)
11. $r$ $=$ OS2IP$(T)$ ($T$ を整数 $r$ に変換)
12. $f$，$r$，および $C$ を出力する．
Decode
- 入力：
  $l$：　メッセージ表現の最大ビット長
  $rBits$：　ハッシュ値のビット長
  $f$：　メッセージ表現の整数 $f \ge 0$
  $C$：　長さ $cLen$ の暗号化メッセージのオクテット列
  $P$：　長さ $pLen$ オクテットのエンコードパラメータ (空でもよい)
- 出力：
  $M$：　メッセージのオクテット列
  $r$：　ハッシュ値の整数 $r \ge 04 (最大ビット長 $8 hLen$)
  ”error”：エラー出力
1. $cLen$ が選択した鍵導出関数の出力長または暗号化スキームの暗号文長の制限を超えている場合，"error" を出力し終了．
2. $seedLen = \lfloor l/8 \rfloor$，$rLen = \lceil rBits/8 \rceil$，$t = 8 rLen - rBIts$.
3. $f$ $=$ I2OSP$(seed)$ (整数 $f$ を長さ $seedLen$ のオクテット列 $seed$ に変換).
  I2OSP がエラーの場合，"error" を出力し終了．
4. 鍵導出関数を用いたストリーム暗号により乱数種とメッセージを結合する場合，
  1. 鍵導出関数を用いて $seed$ より長さ $cLen$ のオクテット列 $mask$ を生成する．
  2. $M = C \oplus mask$.
5. 鍵導出関数を用いた共通鍵暗号により乱数種とメッセージを結合する場合，
  1. 鍵導出関数を用いて $seed$ より共通鍵暗号用の鍵 $K$ を生成する．
  2. 共通鍵暗号と鍵 $K$ を用いて $C$ を復号し，$M$ を生成する．復号処理がエラーの場合は，“error” を出力し終了．
6. $DB = M\ ||\ seed\ ||\ C\ ||\ P$.
  $DB$ の長さがハッシュ関数の入力制限長を越える場合は，"error" を出力し終了．
7. $H$ $=$ Hash$(DB)$
  $DB$ にハッシュ関数 Hash を適用し，長さ $hLen$ のオクテッ列 $H$ を得る．
8. $H$ にマスク生成関数 G を適用し，長さ $rLen$ のオクテッ列 $T$ を得る．
9. $T$ の最も左側の $t$ ビットをゼロに設定する．
10. $r$ $=$ OS2IP$(T)$ ($T$ を整数 $r$ に変換)
11. $M$ と $r$ を出力する．