秘話 技術

ウィキペディア

秘話

出典: フリー百科事典『ウィキペディア（Wikipedia）』 (2023/04/22 00:06 UTC 版)

技術

デジタル方式

アナログスクランブラーの多くはスクランブル後の信号にも元の音声の強弱の情報などが残ってしまう。それに対し、音声信号を符号化した後に暗号化を行いデジタル信号として伝送するデジタル方式の秘話装置ではほぼホワイトノイズのような信号になり、残留了解度が問題になることは少ない。またデジタル方式では暗号強度の高い様々な暗号化方式が使用できるため高い秘話性が得られる。デジタル方式の秘話装置では、音声符号化により音声信号をビット列に変換した後にストリーム暗号を用いて暗号化する方式が一般的である。

デジタル方式の問題点はアナログ方式と比べ広いバンド幅が必要になることである。電話などアナログ音声用の通信回線の帯域幅は通常3kHz程度しかなく、音声信号をPCMのような単純な符号化方法でデジタル化した場合に必要な帯域幅はこれよりずっと大きい。デジタル方式の音声暗号化装置は、広い帯域の特別な通信回線を使いそのままデジタル信号を送る広帯域方式と、圧縮率の高い音声符号化方式を用いてビットレートを下げた後アナログ電話回線と同程度の帯域幅でデジタル信号を送る狭帯域方式の二つの方式が並行して開発されてきた。1970年代までは音声符号化技術が未熟だったため、狭帯域方式では音声がロボットのような声になってしまう問題があった。現在では音声符号化方式と変調方式の進歩により狭帯域方式でも問題ない音質が得られるようになっている。

音声符号化

CELPデコーダの構成例

音声をPCM符号化のような単純な方式でデジタル化すると、複雑な変調方式を使わない限り必要な帯域幅が元の音声信号より大幅に増えてしまう。そのため、最初期のデジタル音声暗号化装置であるSIGSALYの時代から音声信号を低いビットレートでデジタル化する音声符号化技術の研究が盛んに行われてきた。

音声波形はかなり早い振動成分を含むが、波形の性質を決める咽喉と口腔、鼻腔、舌、唇などの調音器官の動きはそれと比べると比較的緩やかであり、それらを適切にパラメータ化することができれば必要なデータを大幅に減らすことができる。実際、秘話通信で使われる多くの音声符号化方式では、人間の声を音源である声帯の音の特性や有声・無声の区別の情報と、調音器官（声道）の共鳴による周波数選択特性とでモデル化することで、単純なPCM符号化のビットレートの10分の1から100分の1程度に情報を圧縮できる。

このような考え方を最初に取り入れたものが1939年にベル研究所の技術者のホーマー・ダッドリーが発表したボコーダー（Vocoder、Voice Coderの略）と呼ばれるものである。これは、音声の周波数スペクトルを複数のチャネルに分けバンドパスフィルタで分析し、声帯の音の基本周期（ピッチ）や有声・無声の区別と共に送り、受信側でそれらの情報を使い音声を合成するものだった。その後様々な方式のボコーダーが考案されたため、この方式はそれらと区別するためチャネルボコーダーとも呼ばれる。

ベル研究所で開発された世界最初の音声暗号化装置であるSIGSALYでは、このチャネルボコーダーからの12チャネル分のアナログ出力を20mS単位で標本化すると共に6段階に対数量子化した。これを2進数に換算すると音声信号を1550bps程度に圧縮できたことになる。単純なアナログ回路だけで適切な音声の分析と合成を行うことは難しく、この頃のチャネルボコーダの音質は極めて悪かった。チャネルボコーダからの合成音はしばしばドナルドダックのような声、あるいはロボットのような声と表現される。

1960年代になるとデジタル信号処理の基礎研究が開始され、1966年頃に板倉文忠と斉藤収三により線形予測符号化方式が考案された。この方式では線形予測法を用いて音声の周波数スペクトルを表現するフィルタの係数を求める。1970年代頃にはこれを応用した機器が作られるようになり、現在でも多くの音声符号化方式でこの技術が使われている。

1985年にはCELP符号化方式が発表された。この方式は声道に相当する合成フィルターとして線形予測フィルターを、声帯に相当する音源として適応型と固定型のコードブックを使用する。有声音のような繰り返しの多い波形は適応型コードブックで効率的にパラメータ化し、線形予測と適応型コードブックで符号化できなかった残差信号の符号化には固定型コードブックを使用する。「合成による分析」の手法を用い、音声波形を再合成し聴感補正を行った後の信号と元の信号とを比較することで、コードブックから誤差が最小になるものを探索する。合成による分析は音質の向上に大きく貢献しているがその反面大きな計算量が必要で、計算量を減らすためにACELPのような多くの派生方式が考案された。 これらの方式は比較的低いビットレート (4.8-16 kbps) でも良好な音質が得られるため、携帯電話やVoIPなど多くの分野で使われている。 CELP方式を用いた音声符号化方式は、ITU-T G.723.1 (5.3 kbps), G.729 (8 kbps), G.722.2 (6.6-23.85 kbps), 及び携帯電話用のAMR（GSM/W-CDMA用）, AMR-WB（W-CDMA用、AMRのワイドバンド版）, EVRC（CDMA2000用）, VMR-WB（CDMA2000用のワイドバンド版）, SMV（CDMA2000用）, PDC-EFR（PDC用）など多数ある。

さらに低いビットレートが必要な場合は、分析合成符号化、あるいは単純にボコーダーと呼ばれる方式が用いられる。これはチャネルボコーダの考え方にデジタル信号処理の技術を組み合わせたもので、声帯-声道モデルを元に人間の音声を分析してパラメータ化し符号化を行う。CELPが音声の波形が同じになるように分析を行うのに対し、この方式では聴感上同じ音声に聞こえるように符号化と復号を行う。CELPのような音声波形を意識した符号化方式は音声信号を比較的良い音質で符号化できるが、ビットレートが4kbps以下になると音声波形の再現が十分にできず音質が悪化する 。 それに対し多くの分析合成符号化方式は、1.2〜4kbps程度で音声を符号化でき、方式によっては0.6kbps (600bps) 程度でも了解可能な音声の符号化ができる。分析合成符号化は低いビットレートでの符号化が必要な無線通信の分野、特に衛星電話や、軍事用戦術無線通信などで音声暗号化のために使われている。

具体的な符号化方式として、主に軍事用・政府用に使われたLPC-10e (2.4kbps)、その代替として使われているMELPや改良版のMELPe (enhanced MELP, 2.4kbps/1.2kbps/0.6kbps)、衛星通信などで使われるIMBEとAMBEが知られている。

低ビットレートの音声符号化方式では音声を何らかのモデルに当てはめパラメータ化を行うため、音声信号にバックグラウンドノイズが含まれるとパラメータ化がうまく行えず、音質が悪化する。このような環境での音質の向上のための技術の一つとして、音声強調がある。これは様々なアルゴリズムを用いて音質を改善するための技術で、音声符号化ではバックグラウンドノイズを減らすための技術として用いられる。 軍用の無線機器や携帯電話のような騒音の多い野外で使うことが多い機器では、何らかの音声強調処理を行った後に符号化を行う場合が多い。例えば、携帯電話用の音声符号化方式EVRCや、軍用の暗号化戦術無線通信システムや政府用の暗号化電話のための音声符号化方式として使用されているMELPeでは符号化方式の一部として音声強調の技術が使われている。実際、MELPeは軍用車両のハンヴィー (HMMWV) やCH-47ヘリコプターなどの騒音環境で評価が行われ、それ以前の方式に対して優れた音質であることが分かっている。

暗号化方式

多くの音声暗号化装置ではストリーム暗号による暗号化が行われる。音声符号化技術により音声をデジタル化してビット列に変え、鍵ストリーム生成部が生成した鍵となるビット列と組み合わせることで暗号化されたビット列を作る。鍵ストリーム生成部では秘密鍵から擬似乱数列を生成する。音声のビットストリームと鍵ストリームとの組み合わせ方法としては排他的論理和 (XOR) を使うのが一般的である。受信側では秘密鍵から送信側と同じ鍵ストリームを生成し、受信した暗号化ビット列と再度組み合わせることで元の音声のビット列を復元する。

鍵ストリームの生成方式として、構成が簡単で周期が長い線形帰還シフトレジスタ (LFSR) がよく用いられてきた。しかし線形システムは暗号解読が容易なため、通常は何らかの形で非線形化した方式が用いられる。またAESのようなブロック暗号やSHA-1等のハッシュ関数を応用した鍵ストリーム生成方式もある。

秘密鍵のみを鍵ストリーム生成の初期値として使うと、暗号化の際に毎回同じ鍵ストリームが生成され解読が容易になってしまう。これを避けるため適当な乱数値（初期化ベクトル、IV）を秘密鍵と組み合わせ毎回異なる鍵ストリームを作成するのが一般的である。初期化ベクトルの値はそのまま受信側に送るか計算方法を共有し、受信側でも同じ値を秘密鍵と組み合わせて鍵ストリームを生成し復号を行う。

暗号強度を高めるためには、十分な長さの秘密鍵の使用、秘密鍵の適切な管理、安全性の高い鍵ストリーム生成アルゴリズムの利用、初期化ベクトルの頻繁な更新などが必要である。

PHS

デジタル方式の移動体通信で家庭用コードレスフォンとしても使われるPHS (Personal Handy-phone System) には簡易型の秘話機能が組み込まれている。音声信号は2段階のストリーム暗号により暗号化される。

PHSでの音声符号化にはADPCM方式が使われ、音声は32kbpsのデジタル信号に変換される。ADPCM方式の圧縮率はさほど高くないが、処理が単純で音質も比較的良い。符号化されたデジタル信号はまず10ビットのLFSR（線形帰還シフトレジスタ）の出力との排他的論理和によりスクランブルが行われる。LSFRの初期値としては端末のIDの下10ビットが使用される。このスクランブル結果に対し、続いて端末に入力されている16ビットの秘密鍵を初期値とする16ビットLFSRの出力と排他的論理和をとることで最終的なビット列が得られる。

この方式は鍵長が16ビットと短く、鍵ストリームの生成にも単純な線形帰還シフトレジスタのみが使われている ため解析が容易で、初期化ベクトルも使われていないため、暗号強度は低い。さらに、基地局との秘密鍵のやり取りは特別な暗号化を行うことなく平文で行われる。PHSの秘話機能はアマチュアによる単純な盗み聞きの防止には有効だが、基地局と端末との間でやり取りされるメッセージをモニターすることで第三者が秘密鍵を容易に知ることができるため専門家にとって暗号強度はほとんどない。

また、PHSの後継規格として開発されたXGPやAXGPはPHSの技術と全く異なるLTE (Long Term Evolution) の技術を用いており、暗号化や認証にはLTEと同じ方式が用いられる。

携帯電話

アナログ方式の第1世代携帯電話は特別な秘話機能を持っておらず、音声の変調方式もよく知られたFM方式だったため、盗聴は容易だった。しかしデジタル方式の第2世代携帯電話からは音声暗号化の機能が仕様として組み込まれ、アマチュアが容易に解読できるものではなくなった。

第3世代のCDMA2000方式とW-CDMA方式やそれ以降の世代はより強力な暗号化機能が仕様に含まれている。

ただし、仕様上暗号化機能をサポートしていることと、実際に音声の暗号化が行われることとは異なることに注意する必要がある。秘話通信を行うためには基地局側が秘話機能をサポートしている必要がある。通信事業者のポリシー等により基地局の秘話機能を無効にしている場合、音声の暗号化は行われない。端末側が秘話機能をサポートしない場合や秘話機能を有効にしていない場合も同様である。また、暗号化は通話をしている携帯端末間で行われるのではなく端末と基地局間で行われる。基地局と端末間の暗号化がいくら強力であっても、いったん基地局で復号された音声は通常の固定電話回線と同様に通信事業者の設備内での盗聴が可能である。

携帯電話の暗号化方式の概要

携帯電話の音声暗号化と認証とはペアで行われ、一般に次のような方法で実行される。基地局から定期的にメッセージとして送出される基地局の情報を端末側で判定し、発信や着信の際に端末から基地局側に認証を要請する。これに対し基地局側が乱数（チャレンジと呼ばれる）を端末側に送り、端末側はSIMカードなどに格納された秘密鍵などの端末固有の情報を元に特定の計算を行った結果（レスポンスと呼ばれる）を基地局側に返す。基地局側でも認証センタで管理している端末毎の秘密鍵などを用いて同じ計算を行い、結果が一致すれば実際の接続処理が行われる。このような方式はチャレンジレスポンス認証と呼ばれる。PHSの場合と異なり、秘密鍵自体がメッセージでやり取りされることは無い。

この時認証で用いた乱数と秘密鍵の値を元に端末と基地局の双方で音声暗号化用の秘密鍵が生成される。この値は元となる乱数が異なるため通信毎に異なった値となる。実際に音声通信を行うフェーズでは、この音声暗号化用の秘密鍵を元に生成した疑似乱数ビット列（鍵ストリーム）を用いてストリーム暗号化が行われる。

携帯電話の暗号化方式の詳細

デジタル方式の第2世代携帯電話の初期のものとしてGSMがある。1987年に規格の基本部分が決められ、音声の暗号化のためA5/1と呼ばれる方式が採用され主にヨーロッパで使用された。その後A5/1の暗号強度を落とした派生方式のA5/2も採用され、その他の地域で使用されている。これらの方式には脆弱性があることがわかっており、鍵ストリーム生成のコアとなるアルゴリズムとしてKASUMIを使用するA5/3と呼ばれる方式も2002年に標準として採用された。

A5/1ストリーム暗号は3つのLFSRを使用。各レジスタにはクロックビット（オレンジ色）があり、これらの多数決の結果と自身のクロックビットが等しい場合のみステップが進行する。

A5/1はストリーム暗号の一種で、鍵ストリームの生成には3つの線形帰還シフトレジスタ (LFSR) を組み合わせて使用する。各シフトレジスタにはクロックビットがあり、これらの多数決の結果と自身のクロックビットが等しい場合のみシフトを行わせる。クロックを不規則にすることで単純なLSFRより解読が難しくなる。暗号鍵の長さは64ビットで、同じ鍵ストリームの生成を防ぐためシフトレジスタの初期値には暗号鍵と22ビットのフレーム番号とを用いる。

A5/1のアルゴリズムは非公開だったが、GSMは比較的早い時期から広く使われていたためアルゴリズムの解析やA5/1の解読方法の研究も早い時期から行われた。GSM携帯端末のリバースエンジニアリングにより1999年にアルゴリズムが解析され、一般に公開されていたテストデータにより結果が検証された。2000年には通常のPCを使いリアルタイムで暗号鍵を見つけ出すことができる方法が論文として発表された。またGSMのプロトコル上の脆弱性を利用し最も暗号強度の弱いA5/2を使わせることで秘密鍵を見つけ出す方法も考案されている。

第2世代携帯電話として日本で使われたPDC (Personal Digital Cellular) も、暗号鍵で初期化されたLFSRを使うストリーム暗号が使われた。

第3世代携帯電話であるCDMA2000方式とW-CDMA方式にもそれぞれ音声暗号化方式が定義されている。いずれの方式でもストリーム暗号により暗号化を行う。また両者とも鍵ストリーム生成にブロック暗号を応用したアルゴリズムが最初の標準として採用された。ブロック暗号では線形解読法や差分解読法、高階差分攻撃法などさまざまな解読方法が知られており、それらに対する解読の難しさについての理論的研究も進んでいるため、暗号の解読されにくさの評価が行いやすい。

W-CDMAでは、鍵ストリーム生成のために'f8'と呼ばれる鍵ストリーム生成アルゴリズムが仕様書で定義され、そのコアとなる暗号化アルゴリズムとして、日本で開発されたブロック暗号のKASUMIが標準として登録されている。KASUMIには致命的なものではないがいくつかの脆弱性が見つかったため、SNOW 3Gと呼ばれる暗号化アルゴリズムも2006年に標準として追加された。同じような脆弱性を持たないようアルゴリズムはまったく異なったものが選ばれ、KASUMIがブロック暗号アルゴリズムなのに対し、SNOW 3Gは線形帰還シフトレジスタ (LFSR) を複雑化したストリーム暗号アルゴリズムである。これらで使用する暗号鍵の長さは128ビットで、認証の際にも同じ暗号化アルゴリズムが使用される。鍵ストリーム生成アルゴリズムの入力には暗号鍵以外に、32ビットの暗号シーケンス番号である COUNT-C、5ビット長の無線ベアラ識別子 BEARER、1ビットの方向識別子 DIRECTION があり、同じ鍵ストリームが短期間に繰り返し生成されないような工夫がされている。

CDMA2000方式では、ブロック暗号の128ビットAESがストリーム暗号化の鍵ストリーム生成用に、認証のためにはCAVE (Cellular Authentication and Voice Encryption)、あるいはより新しいAKA (Authentication and Key Agreement) アルゴリズムが使用される。2.5世代携帯電話とも呼ばれたcdmaOneから段階的に発展したCDMA2000方式は過去の規格やアルゴリズムを土台に新しい機能が追加されてきた。AESによるストリーム暗号化やAKAによる認証はそのような拡張機能の1つである。

CAVEアルゴリズムを認証に用いる古典的な方式では、A-Key (Authentication key) と呼ばれる64ビットの秘密鍵（マスターキー）を元にSSD (Shared Secret Data) と呼ばれる128ビットの二次的な鍵を生成し、認証と暗号化に使用する。R-UIMカード（SIMカード）を用いる場合、A-Key、SSD共にカード内に格納され通常外部から読み取ることはできない。これらのパラメータを使った計算もカード内部で行われる。SSD_Aと呼ばれるSSDの上位64ビットが認証、SSD_Bと呼ばれる下位64ビットが暗号化に使われる。暗号化のためにORYXと呼ばれるアルゴリズムが定義されているがあまり使われず、後述のボイスプライバシー (Voice Privacy) と呼ばれる方式が主に使用されてきた。

AKAアルゴリズムを用いる方式はより新しいもので、128ビットの鍵である'K'をマスターキーとして用い、これから生成した64ビットの認証鍵と128ビットの暗号化鍵を用い認証とAESアルゴリズムによる暗号化を行う。音声の暗号化の際には128ビットの暗号化鍵をAESアルゴリズムの入力とする。W-CDMAと同様、同じ鍵ストリームの繰り返しを避けるためシステム時間を基準とした32ビットのカウンタ値など複数のパラメータも暗号化アルゴリズムの入力として与える。

CDMA2000方式では暗号化とは別にボイスプライバシーと呼ばれる傍受しにくくする仕組みも組み込まれている。CDMA2000で使われる通信方式である符号分割多元接続方式（CDMA方式）では端末毎に固有の拡散符号を用いてスペクトラム拡散を行い、受信側では同じ符号を用いて逆拡散を行い元の信号を復元する。通常の通信では端末毎に割り当てられたESN (Electronic Serial Number) と呼ばれるパラメータから拡散符号（パブリックロングコードマスク）を計算し用いる。しかし秘話通信を行う場合は、認証に使われるSSD (Shared Secret Data) から計算した特別な拡散符号（プライベートロングコードマスク）を使用する。ESNは基地局間のメッセージ内で平文でやり取りされ盗聴可能だが、SSDは直接やり取りされないためどのような拡散符号を用いているか盗聴している第三者にはわからない。この場合逆拡散が正しくできないため信号は単なる広帯域のノイズにしか聞こえず、端末からの信号の受信自体が難しくなる。

携帯電話用の新しい通信規格であるLTE (Long Term Evolution) はデータ通信専用の規格で音声データが直接やり取りされることは無いが、音声データをIP (Internet Protocol) 上のパケットデータとしてやり取りすることは可能である。この方式はVoLTE (Voice over LTE) と呼ばれる。LTEでも無線でやり取りされるビット列の暗号化のためにストリーム暗号が用いられる。鍵ストリーム生成に使用される暗号化アルゴリズムとしてW-CDMAの標準の一つでもあるSNOW 3Gと、CDMA2000で使われるAESの2種類が定義されている。鍵ストリーム生成に使用される暗号化鍵の生成には、元の鍵（マスターキー）を元に二次的な鍵、三次的な鍵と順次鍵を生成し階層的に管理する方式が使われている。これは基地局間の切り替わりであるハンドオーバー時や事業者間の切り替わりであるローミング時の鍵生成を高速化し、さらに鍵の1つが危険にさらされた場合の被害を最小にするためである。

携帯電話と盗聴

暗号化されていないという警告が携帯電話に表示されている様子

携帯電話で使われる暗号化方式は、A5/1やA5/2のような古い方式を除けば、一般的な用途には十分な秘話性を持っている。しかし最初に記述した通り、仕様上暗号化機能をサポートしていることが盗聴できないということを意味するわけではない。GSM、CDMA2000、W-CDMA、LTEとも通信仕様の詳細は標準化を行っている3GPPや3GPP2が一般に公開しており誰でも通信プロトコルの詳細を知ることができる。公開情報には暗号化アルゴリズムの仕様の多くも含まれている。基地局や端末が使用している暗号鍵が分からない場合でも、公開されている情報のみから暗号化が行われていない通話の盗聴を行う装置を専門家が作成することは可能である。暗号化が有効な場合でも、通信プロトコルの脆弱性を用い暗号強度の低い暗号を使用するように仕向けることもできる。偽の基地局を端末の近くに用意しそこから本来の基地局と通信を行うことで相手に気づかれずに盗聴する中間者攻撃も考えられている。 さらに、強力な暗号化機能を使用している場合であっても、通信事業者の設備内での復号後の音声の盗聴は可能である。

例えば、アメリカでは犯罪捜査を目的に公的機関による携帯電話の盗聴が日常的に行われている。2012年には前年より24パーセント多い3393件の盗聴が連邦判事や州判事の許可のもとに行われた。アメリカ合衆国連邦裁判所では犯罪調査などを目的とする携帯電話やメールなどの盗聴の統計を"盗聴レポート" (Wiretap Report) の名前で毎年公表している。この盗聴には2001年から行われている暗号解読も含まれる。

また、アメリカ同時多発テロ事件が起こった翌年の2002年以降、ブッシュ大統領の指示によりNSAが令状を取らない大規模な通信傍受を行っていたことも明らかになっている。

NSAはアメリカ国内だけではなく友好国であるドイツのメルケル首相の携帯電話の盗聴を行っていたと言われ、シュピーゲルによると2002年からモニターしていたとされる。さらに、アメリカの政府関係者が得た連絡先の電話番号を利用し世界中の35名のリーダーの携帯電話も盗聴していたことが明らかになっている。

日本でも2000年に施行された通信傍受法に基づき犯罪捜査のための通信傍受が行われている。内容は毎年法務省から国会に報告され、件数や傍受の実施状況、傍受が行われた事件に関して逮捕した人数などが一般にも公開されている。報告内容には携帯電話の傍受も多数含まれる。

Bluetooth

Bluetooth（ブルートゥース）は、2.4GHzを使用するデジタル機器用の近距離無線通信規格の1つである。様々なデバイスでの通信に使用されることを想定しており、機器の種類ごとに策定された多くのプロファイルが定義されている。音声通信の用途にはヘッドセット用のHSP (Headset Profile) やハンズフリー通話のためのHFP (Hands-Free Profile) が標準化されている。

Bluetoothは比較的新しい通信規格であるため認証や暗号化も配慮されており、これらの各アルゴリズムが正しくインプリメントされ適切に使用されていれば一般的な用途には十分なセキュリティが得られる。一番大きな問題点は機器の運用で、認証や暗号化の元になるパスキー（パスワード）としてデフォルト値や短い文字列（"0000"など）を使用していたり、常に近くの機器と接続可能な設定になっていたりすることが多い。このような場合、会話内容の盗聴や外部からの機器の不正な制御が容易にできる。また仕様の自由度が大きく、暗号鍵長やセキュリティモードを機器の製造者が決めることができる問題点もある。暗号鍵長が既定の最大値より短い場合やセキュリティモードが低い場合、盗聴の可能性は高くなる。

Bluetoothの規格は頻繁にバージョンアップされており、それに伴い認証方法や使われる暗号化アルゴリズムにもいくつかのバリエーションがある。セキュリティの強さを示すセキュリティモードとして1から4までが定義され、接続機器のBluetoothバージョンやサポートする機能に応じそのいずれかのモードで動作する。モード1から4の順にセキュリティのレベルが高くなる。モード1は認証や暗号化を全く行わない。最もレベルが高いモード4はBluetoothバージョン2.1で追加されたもので、認証の方式が変わるとともに全てのサービスで暗号化が行われる。ただし接続先の機器のバージョンや機能が低い場合は、相手に合わせたモードが選択される。Bluetoothの最新バージョンであれば必ず強力な暗号化が行れるわけではない。

Bluetoothの通信は、認証と暗号化で使われる秘密鍵の元となるリンクキーの生成（ペアリング）、リンクキーを用いたチャレンジレスポンス認証、認証で使われたリンクキーと乱数値から生成された秘密鍵による通信データの暗号化/復号、の3つのフェーズからなる。

Bluetooth機器同士が通信を行う場合、最初に128ビット長のリンクキーを生成しなければならない。セキュリティモード2と3では16バイト以下の長さのユーザが入力したPIN (Personal Identification Number) と呼ばれるパスキー（パスワード）と内部で生成した乱数を使って相互にチャレンジレスポンス認証を行い共通鍵であるリンクキーを生成する。ペアリングを行ったBluetooth機器どうしの認証と暗号化の鍵は全てリンクキーから派生するため、システム全体のセキュリティの強さはPIN入力に依存する。PIN入力が4ケタ程度の小さい桁数の場合、第三者がPIN入力値を予想することは比較的容易である。もうすこし桁数を増やした場合でも、ペアリングの際に機器間でやり取りされる乱数値と認証の計算結果を傍受し総当たり式で計算を行うことでPIN入力値を調べられる。6ケタまでのPIN値であれば1秒以下、8ケタの場合でも数分でPIN入力値を求めることができる。

セキュリティモード4ではSSP (Secure Simple Pairing) と呼ばれる方式でリンクキーを生成する。この方式ではリンクキー生成に楕円曲線ディフィー・ヘルマン (Elliptic Curve Diffie-Hellman) 鍵交換を用いる。長いPINコードの入力ではなく、鍵から計算された6ケタの数値の入力あるいは表示内容の確認だけでペアリングができる仕様になり、より使いやすくなっている。この数値自体は機器間で直接やり取りされるわけではなく、公開鍵方式の鍵交換の結果を元に計算される。ただし小型のヘッドセットのように文字入力も表示もできない機器ではユーザの確認なしにリンクキーの生成が行われ、セキュリティ強度は弱くなる。

いったんペアリングを行ったBluetooth機器は、通信可能な距離になると自動的に認証と通信を行えるようになる。これらの機器間で通信を行う際、最初にE1と呼ばれるアルゴリズムを用いたチャレンジレスポンス認証でリンクキーが一致することを確認する。認証元の装置が生成した128ビットの乱数値をチャレンジ値として認証先に送り、認証先ではリンクキー、乱数値と自分自身の48ビットBluetoothアドレスからE1アルゴリズムで計算を行いレスポンスとして認証元に送り返す。送り返すのは計算結果となる128ビットのうち上位32ビットで、下位の96ビットは後で通信時の暗号鍵の生成のために使用される。認証先でも同じ計算を行い上位32ビットを比較することで認証を行う。

認証が正常終了し接続先がペアリング済みの機器であることが確認できると、実際に機器間の通信が行われる。通信で使われる暗号鍵は、認証時の計算結果の下96ビット、内部で生成した128ビットの乱数値、128ビットのリンクキー、内部クロックから計算したスロット番号の4つのパラメータから計算する。暗号鍵の長さは8ビットから128ビットまでの可変長で、使用される鍵長はBluetooth機器の製造者が定義できる仕様になっているため、暗号強度は製造者ごとに異なる。

暗号化にはE0と呼ばれるアルゴリズムを用いたストリーム暗号が使われる。E0は25、31、33、39ビット長（合計128ビット）の4つのLFSR（線形帰還シフトレジスタ）と非線形の組み合わせロジックとを用いたもので、生成された疑似乱数ビット列（鍵ストリーム）と信号のビット列とは排他的論理和 (XOR) で結合される。

ヘッドセットプロファイルでは、音声信号が適応デルタ変調の一種であるCVSD (Continuously Variable Slope Delta modulation) でデジタル化され、前記のE0アルゴリズムを用いて暗号化される。また、制御用の信号はシリアルポートプロファイルにより音声信号とは独立して送受信される。機器の制御用のコマンドとして携帯電話やモデムの制御などの用途でよく使われるATコマンドを用いる。ATコマンド自体は非常に多機能で強力なため、不正に利用されるとBluetooth機能を持つ携帯電話などを外部から制御できてしまう問題が知られている。

NSAはBluetooth機器の使用について以下の勧告を行っている。また利用は機密扱いでない用途のみとしている。

• Bluetooth機能は必要な時のみ有効にする。
• 盗聴の危険性を減らすため、低出力のクラス2（操作範囲10メートル以内）あるいはクラス3（操作範囲1メートル以内）のBluetooth機器を使用する。
• 中間者攻撃防止のため、Bluetooth接続中はできるだけ機器間を近づけて使用する。
• 必要な場合のみBluetooth機器を他の機器から見えるように（発見できるように）する。
• 必要な場合のみBluetooth機器を他の機器から最低限必要な時間だけ接続可能にする。
• Bluetooth機器のペアリングは安全な場所で行い、十分に長くランダムなパスキーを使用する。
• Bluetooth機器は安全に保管・管理し、紛失したり盗まれたりした機器はペアリングのリストから削除する。
• ファームウェアが古いBluetooth機器を使用しない。ファイアウォールや最新のアンチウイルスソフトウェアを使用する。

アナログ方式

アナログ方式の秘話装置はアナログスクランブラーとも呼ばれ、アナログ信号の音声信号を加工し聞き取れないよう全く別のアナログ信号に変換する。デジタル方式との違いはアナログ通信回線を使うことで 、内部処理はアナログ処理、デジタル処理のいずれでも構わない。アナログ回路を用いるもの以外に、DSPを用いてデジタルフィルター処理などを行った後に再度アナログ信号に戻すものもある。 一般にデジタル信号の伝送には広い周波数帯域の回線やノイズの少ない高品質の回線が必要とされるのに対し、アナログ信号に変換する秘話装置は音声信号と同じ帯域の無線回線や電話回線で送ることができ、送受信に使う装置もアナログ音声用のものをそのまま流用できることが多い。従来の回線や送受信機をそのまま使え導入が容易だったこともあり、長い間秘話装置の主流はアナログ方式だった。

アナログスクランブラーで用いられるアナログ信号の代表的な操作方法を以下に示す。

• 周波数領域 (frquency domain) で操作（音声周波数の反転、周波数領域毎にブロック分けして入替など）
• 時間領域 (time domain) で操作（時間の反転、時間毎にブロック分けして入替、時間の圧縮/伸長など）
• 周波数領域と時間領域の操作の組み合わせ（周波数と時間でブロック分けして入替など）
• 変換領域 (transform domain) で操作（アダマール変換、フーリエ変換、ウェーブレット変換など）
• その他（振幅反転方式、雑音混入方式など）

音声周波数反転方式に代表される周波数領域の操作は最も古くから知られている方式である。帯域が広がりにくく波形伝送の必要もないため既存の通信装置のほとんどに適応でき、音声の遅延も少ない 。しかしスクランブル後も発話時のリズムがそのまま残ってしまう欠点がある。

時間領域の変換ではいったん音声を何らかの記憶媒体に保存し並べ替えや反転などの操作を行う。発明された当初は音声を磁気媒体に記録した後に複数の固定磁気ヘッドや回転する磁気ヘッドで読みだす必要があったが、デジタルメモリの発達により実現が容易になった。メモリに記憶したサンプル値を20〜60ms単位のブロックにまとめこのブロック単位で置き換えれば帯域幅の広がりはほとんど無視できる。復元した音声信号の音質は周波数領域でのブロック分けと置換の場合より良いとされている。

また、周波数領域と時間領域の操作を同時に行うなど、複数の方式を組み合わせることでさらに複雑なスクランブルが可能になる。最も一般的なのは、音声信号を周波数と時間の2次元のブロックに分解しそれらを時間と周波数の両方で入れ替える方式である。

それ以外に、音声信号を変調して極性を不規則に反転させる方式（振幅反転方式）や、送信側で雑音を加え受信側で雑音を引く方式（雑音混入方式）などが知られている。

なお、周波数領域、時間領域のいずれでも、入れ替えるブロックの数が多ければ多いほど入れ替えのパターンも増えるため第三者による解読が難しくなるが、時間領域の入替の場合にはいったん内部に記憶してから入れ替える必要があり、ブロックの数を増やすほど音声自体の遅延も大きくなりエコーの問題も発生する。そのためあまりブロック数を増やすことはできない。またブロックをあまり高速に入れ替えると必要な周波数帯域が広がってしまい、音声用の通信回線をそのまま流用できるというアナログ方式のメリットが生かせなくなる。 一般的なデジタル方式の暗号化処理では暗号鍵の長さが長くなるほどデータの入れ替えや変換のパターンが多くなり暗号強度が強くなるが、アナログスクランブラーでは入れ替えのパターンがあまり多くない。デジタル方式と比較すると解読は比較的容易なため、基本的に安全ではない。

周波数領域のスクランブラーの例を以下に示す。

Voice Frequency Inversion（音声周波数反転、スペクトル反転）

信号の高い周波数成分を低い周波数に、低い周波数成分を高い周波数に置き換える。

Band Shift、Reentrant Band Shift（バンドシフト）

信号全体の周波数をずらす。

あるいは高い周波数にずらした信号の高域成分を低い周波数に移動させる。

（信号を特定の周波数を基準に2つの周波数ブロックに分け上下を入れ替える操作と等価）

Band Splitting（帯域分割、周波数分割置換）

信号を複数の周波数ブロックに分割した後に特定の規則で入れ替える。

また個々の周波数ブロック内で周波数反転を行うことも多い。

音声のFFT（高速フーリエ変換）を行い係数の並べ替えを行った後に逆FFTを行う方式も帯域分割方式と同様の考え方で、復元した音質が比較的よい。

時間領域のスクランブラーとして以下のような方式が考案されている。

Time Segment Permutation（時間セグメント置換）

信号を時間毎にブロック分けし、それらを特定の規則で入れ替える。

Time Inversion（時間反転）

信号を時間毎にブロック分けし、ブロック内で時間反転を行う。

Speed Wobble（速度変動）

音声の速度を不規則に変動させる。

スクランブラーの評価項目

アナログスクランブラーの有効性を比較するの評価項目として以下のものがある。

• 残留了解度 (Residual Intelligibility)
• 遅延時間 (Encoding Delay)
• 鍵空間 (Key-space)
• バンド幅の拡大 (Bandwidth Expansion)

また、スクランブルした音声を受信側で元に戻した音声信号の音質（了解度や明瞭度）も重要な要素になる。

残留了解度とは評価項目で最も重要なもので、スクランブルした音声をどの程度聞き分けられるかを表す指標である。音声信号はもともと冗長性がかなり高く、人間の聴覚も非常に柔軟性があるため、周波数スペクトルの変換や時間順序の入替を行っても全く聞き取れなくなるわけではない。残留了解度は意味のある単語や文章を用いて聞き取れた割合を0から100までのパーセントで表すもので、評価に使用する単語としては語彙数が限られ冗長性が低いものが扱いやすいため、数値を用いるのが一般的である。0パーセントはホワイトノイズのように全く元の単語が分からない理想の状態で、10パーセントは通常の下限値、30パーセントは中間レベル、50パーセントは高い値でスクランブル後で数値や単語の半数が正しく聞き分けられることを意味する。

遅延時間は音声を入力してからスクランブルした信号が出力されるまでの時間である。例えば、信号をいくつかの時間毎にブロック分けして入れ替える方式の場合、ブロックの時間サイズ×ブロックの数の分だけ装置内部にいったん記憶してから出力する必要があるため、時間サイズとブロック数が大きくなるほど信号が出力されるまでの遅延時間は長くなる。遅延時間があまり長すぎると電話などで双方向のやり取りでスムーズに行えない問題が発生する。

鍵空間はスクランブルに使用可能な鍵の総数である。一般的な暗号化の場合と同様、鍵空間が小さいと方式に関係なく総当たりで鍵を割り出す事が可能になるため、鍵空間はスクランブラーの解読しにくさに関係している。ただし、アナログスクランブラーの場合、鍵空間の広さだけではなく鍵を変えた際にスクランブラー出力も大きく変わることが必要になる。例えば音声周波数をシフトさせる方式の秘話装置を考えた場合、小さな周波数シフト（例えば10Hzや1Hz）を別の鍵とみなせば鍵の総数をいくらでも増やすことができる。しかし実際のスクランブラー出力は周波数シフトの小さな変化ではほとんど変わらないため、実用上の鍵空間は計算上の鍵空間よりずっと小さい。

また実際に使用可能な鍵の総数はスクランブルで使うパラメータのすべての組み合わせの数でないことにも注意する必要がある。パラメータの組み合わせのうち残留了解度の高いもの、つまり元の音声と似たようなスクランブル出力になる組み合わせは実質的に使えない。 例えば、短波帯の無線電話回線で長い間使われたA-3型秘話装置とその後継のA-4型秘話装置は、音声を5つのバンドに分け入れ替えとバンド内での周波数反転とを行う方式だったため、計算上の鍵の総数は 5!×5²=3840 になる。しかし、例えば音声のエネルギーが大きい周波数帯域がスクランブル後も同じ場所に位置していたり、元々隣り合っていた周波数帯域がスクランブル後も隣り合っていたりするような入替パターンは残留了解度が高くなり容易に解読される可能性が高い。個々のバンド幅が広くないためバンド内の周波数反転の効果もあまり大きくない。そのため実際に使える鍵の総数は12程度で 計算上の数よりずっと小さかった。

バンド幅の拡大もアナログスクランブラーの方式を評価する際の重要な評価項目である。一般に、音声信号をスクランブルすると信号の時間軸や周波数軸上で不連続になるためバンド幅が拡大する。スクランブルを効率よく高速に行うほど不連続性が高くなるためバンド幅が拡大しやすくなる。バンド幅の拡大が大きくなると、音声信号を前提とした通常の電話回線/無線回線を利用した場合に音声の一部が伝送できずに音質が悪化する。またバンド幅の拡大が大きすぎる場合は通常の通信回線の利用ができないためアナログ方式のメリットが生かせない。

音声周波数反転

音声周波数反転 (Voice Frequency Inversion) 法、あるいはスペクトル反転法は、その名の通り音声の周波数スペクトルを反転させる秘話方式である。この方式の秘話装置は単純にインバータと呼ばれる場合もある。

電話回線で一般的に扱われる0.3kHzから3.4kHzまでの音声信号の場合、例えば0.3kHzの周波数成分は3.4kHzに、3.4kHzの周波数成分は0.3kHzに変換することで周波数スペクトルの形を変え聞き取りにくくする。復調は受信側で同じ操作を行って再度反転させれば元の周波数スペクトルに戻る。

周波数反転は混合器とローパスフィルタから成る比較的単純なアナログ回路で実現できる。先ほどの周波数の場合であれば、基準となるキャリア周波数（反転周波数）3.7kHzの信号で音声信号を変調することでキャリア周波数に対する和の周波数成分（キャリア周波数＋音声周波数）と差の周波数成分（キャリア周波数－音声周波数）とを発生させる。その後ローパスフィルターで差の周波数成分のみを取り出せば、音声信号の0.3kHzの周波数成分は3.7kHz-0.3kHz=3.4kHzに、3.4kHzの周波数成分は3.7kHz-3.4kHz=0.3kHzに変換できる。

簡単な回路で実現できるため最も古くから使われている秘話方式で、短波帯の国際無線電話用として1920年代から使われた。多くの国の警察無線でもデジタル化以前の通信機で長く使われ、日本のアナログ式コードレス電話の盗聴防止機能としても使われた。

古典的な音声周波数反転法は暗号鍵の概念が無いため、第三者が同じ装置を持っていれば容易に復元でき、暗号強度はほとんどない。また、トレーニングを行えば周波数が反転された状態でも会話内容を理解することができる。音声の中で比較的エネルギーの大きい1kHz〜2kHz付近の成分が周波数反転後も大きく変化しないためだと言われ、過去の実験によれば4時間程度のトレーニングで周波数が反転した状態でも互いに会話ができるようになった。

秘話性をより高めるために、反転周波数を別の周波数に変えたり時間と共に変化させる方式を併用する場合がある。この方式は音声周波数反転と周波数のシフトとの組み合わせとみなす事もできる。

最も単純な方法は、複数の反転周波数をあらかじめ決めておき暗号鍵のように使う方法だが、多くの無線回線や電話回線では利用できる帯域幅が3kHz程度に制限されているため反転周波数を大きく変えると音声信号がこの帯域幅をはみ出し音質が悪化する。有効な反転周波数の範囲は限定される。さらに、反転周波数のわずかな違いは音声の了解度に大きな影響を与えないため、各反転周波数の差はできるだけ大きくしないといけない。これらの要因により実際に選択可能な反転周波数はごくわずかで、この方式は暗号強度の向上にあまり役立たない。 例えば、1930年代に日本陸軍で試作された秘密有線電話機である特二号電話秘密装置が反転周波数切替方式を採用していたが、選択できた反転周波数は2.3kHz、2.8kHz、3.3kHzの3種類しかなく、通常の音声周波数反転方式の電話機の秘密度をわずかに強化したものにすぎなかった。

さらに複雑な方法として、反転周波数を時間と共にランダムに変化させるローリングコード (Rolling Code) 方式がある。これは選択された暗号鍵から疑似乱数を生成し、その値により複数の反転周波数の中から1つを選び切り替えていく方法で、反転周波数が固定している方式と比べると反転周波数の変化を盗聴者が予測しにくいため秘話性が向上する。暗号鍵と疑似乱数の生成アルゴリズムを知っている正当な受信者は同じ疑似乱数を送信側と同期して生成することで正しく元の音声に戻すことができる。

反転周波数の変化のさせ方としては、ある反転周波数から次の反転周波数へと非連続に変化させる周波数ホッピングと、周波数を連続的に変化させていく周波数スイープとがある。周波数スイープでは秘話出力も連続的に変化するため、反転周波数の切り替え速度を早くしてもバンド幅の拡大が比較的少なく、音質が劣化しにくい。

ただし、ローリングコードのような複雑な方式を採用した場合でも、スペクトルが反転しているだけで復調前の信号には音声固有の冗長性がそのまま残っている。音声信号の統計的な性質や音声スペクトルの変化の連続性などを利用することで、暗号鍵や疑似乱数が分からなくても元の音声信号に近い信号を信号処理により再現することが可能で、ローリングコードによる秘話性の向上は限定されたものである。

バンドシフト

バンドシフト (Band Shift) 法、周波数シフト法、あるいは周波数推移法とは、音声信号全体を一定の周波数だけ移動させる秘話方法である。この方式単体では秘話性が高くないため、通常は音声周波数反転など他の秘話方式と組み合わせて使われる。

一般の無線回線や電話回線では帯域幅が決まっており、単純に周波数のシフトのみを行うと音声成分の一部が帯域外にはみ出し失われるため音質が悪化する。これを避けるため、はみ出した周波数成分が高域の成分であれば低域側に、低域の場合は高域側に移動させることが多い。このような方式は特にリエントラントバンドシフト (Reentrant Band Shift) と呼ばれる。これは特定の周波数を基準に音声信号を上側と下側の2つの帯域に分割しそれらを入れ替える操作に等しく、分割の基準となる周波数を変化させてもバンド幅が広がらず元の音声成分が失われない。

秘話性を高めるためには、音声周波数反転の場合と同様、基準となる周波数を時間と共にランダムに変化させるローリングコード (Rolling Code) が使われる。このような手法の秘話方式はVSB（Variable Split-Band、可変帯域分割）方式とも呼ばれる。

第二次世界大戦末期、ドイツで秘話研究を行っていたフォイヤーシュタイン研究所 (Laboratorium Feuerstein) で開発中だった秘話装置にはこの方式が使われた。装置は音声信号をボコーダーで複数の信号の組み合わせに変え、その出力に3段階のリエントラントバンドシフトを行うものだった。シフト周波数をローレンツSZ-42暗号機の出力で時間と共にランダムに変化させるローリングコード方式も用いられた。

帯域分割

帯域分割 (Band Splitting) 法、あるいは周波数分割置換法とは、信号を複数の周波数ブロックに分割した後に特定の規則で入れ替える秘話方法である。例えば、0.3kHzから3.3kHzの音声信号を0.6kHzの幅の5つのブロックに分解し、0.3-0.9kHzのブロックを2.7-3.3kHzに移動させるなど、それぞれを別の周波数に移動させる。また分割したブロック内で周波数反転を行うことも多い。入れ替えのしかたや周波数反転の有無を時間と共にランダムに変化させるローリングコード方式により秘話性を高めることもよくおこなわれる。

音声信号を複数の周波数ブロックに分割する方法として、アナログ回路を使用する場合は通常のバンドパスフィルタが使用される。デジタルシグナルプロセッサなどが利用できる場合には折り返し雑音が発生しない直交ミラーフィルタなどが用いられる。

1937年にベル研究所で開発され短波帯の無線電話回線で長い間使用されたA-3型秘話装置やその後継のA-4型秘話装置にはこの帯域分割法が採用され、ローリングコード方式により20秒ごとに置換のしかたを変化させていた。周波数ブロックの数は5ブロックで、ブロック内の周波数反転も併用された。A-3やA-4の入れ替え方法の総数は計算上 5!×5²=3840 あるが、秘話性が高い組み合わせはこれよりはるかに少なく12程度にすぎなかった。 秘話性が高いかどうかは、置換された音声信号を実際に聞いてみて残留了解度を測定することで判断でき、以下のような事実が分かっている。

• 隣り合った周波数ブロックが置換後もそのままだと残留了解度が高い（秘話性が低い）
• 置換後の周波数ブロック位置が元の位置から離れているほど残留了解度が低い（秘話性が高い）

実際に使用する置換パターンではこれらの事実を考慮する必要がある。置換後の周波数ブロック全体が元の位置からどの程度離れているかは、各ブロックの置換後の移動距離の全ブロック平均として定義されるシフトファクター (shift factor) を計算することで求められる。

秘話性を高めるためには、シフトファクターができるだけ大きくなるような置換を行う。また隣り合った周波数ブロックが置換後は離れるのが望ましい。置換のパターンが常に同じだと解読はとても容易なので、ローリングコード方式を採用し音質の劣化が起らない範囲でできるだけ頻繁に置換のパターンを変更する必要がある。

アナログフィルタ使用時、その特性の制限から分割できる周波数ブロック数には限度がある。周波数の分割数が少ない場合、周波数ブロックを置換する組み合わせの数が少なくなる。実際に秘話装置として実用になる秘話性が高い組み合わせはさらに少ない。そのため、分割数が少ない帯域分割法は十分な暗号強度を持たない。 実際、アメリカ政府高官用の国際電話回線で使われたA-3は、第二次世界大戦が始まるとドイツにより24時間体制で盗聴されていたことが分かっている。

この方式の応用として、離散フーリエ変換 (DFT) を用いてフーリエ係数を求め、係数の置換を行った後に逆DFTでアナログ信号に戻す方式がある。DFT/逆DFTによる時間遅延が発生するが、比較的音質が良く 80〜90程度の分割が容易に実現できる。係数の置換パターンを決める際に秘話性の低い組み合わせをできるだけ除外するのは周波数ブロックの分割数が少ない場合と同様である。

時間セグメント置換

時間セグメント置換 (Time Segment Permutation, Time Element Scrambling) は特定の長さの音声信号を複数の時間ブロック（セグメント）に分け、置き換えを行う秘話方法である。音声に含まれる周波数成分は時間と共に連続的に変化していくが、セグメントの置き換えを行うことでこの連続性が無くなり聞き取りにくくなる。この方式ではいったん音声を何らかの記憶媒体に保存し、書き込みとは別の順序でセグメント単位に読みだすことで置換を行う。一般的には特定の長さ（フレーム長）の音声信号に対して置換を行う。周波数領域でのスクランブルと異なり、この方式では必ず音声の遅延が発生する。また送信側と受信側とが同じ置換を行うためにタイミング同期の手段が必要になる。復号後の音質は帯域分割の置換方法より良いとされるが、秘話性はあまり高くない。

この方式は第二次世界大戦中に多くの国で研究が行われ、アメリカの戦術通信用秘話装置SIGJIPなどで使われた。当時は複数の読み取りヘッドを持った複雑な磁気記録装置が必要だったが、現在では音声信号をデジタル信号に変換しデジタルメモリに記憶させて読みだせばよいため、容易に実現できるようになった。

この方式では、セグメントの長さや1フレームあたりのセグメントの数、音声の遅延時間はすべてトレードオフの関係にある。セグメントの長さが短かすぎると波形の連続性が崩れて帯域幅が広がり音質が悪化するためあまり短くできない。しかし長すぎる場合は1セグメント内の情報が多くなり秘話性が低下する。置換の単位となるフレーム全体の長さはセグメント長と1フレームあたりのセグメント数が増えるほど長くなる。音声の遅延が増えるためスムーズな会話ができなくなる。音声の遅延を減らすためにセグメント数を少なくすると置換の組み合わせも少なくなるため十分な暗号強度が得られない。遅延時間や音質のバランスを考慮し、1フレームあたりのセグメント長は帯域幅の広がりがほとんど無視できる20〜60mS程度、1フレームのセグメント数は8から10程度が選ばれる。各セグメントの置換方法が常に同じだと解読は容易なので、置換方法を時間的に変化させることが多い。

セグメント数として8を選んだ場合、置換の組み合わせは計算上 8!=40320 通りあるが、全ての組み合わせが実際に使えるわけではない。秘話性は置換の仕方により変化し、元の音声波形とあまり大きく違わない組み合わせは使用できない。スクランブル後の信号の残留了解度の予測は難しい場合があり、ヒアリングテストにより残留了解度が低くなるような組み合わせを選択する。 また、複数の置換方法を切り替えて使う場合、ある置換方法でスクランブルした出力を別の置換方法で復号した場合の残留了解度が低くなるようにする必要がある。

時間セグメント置換の方式は、大きく分けてホッピングウィンドウ (Hopping Window) 方式とスライディングウィンドウ (Sliding Window) 方式の2種類がある。ホッピングウィンドウは音声信号を一定の時間長のフレームに切り出し、それぞれのフレームの内部でセグメントの置換を行った後に送出する方式である。スライディングウィンドウではセグメント単位で連続的に処理を行う方式で、音声信号を1セグメントずつ読み込みながら過去の1セグメントのいずれかを選んで出力していく。

ホッピングウィンドウ方式は最も単純で素直な方式である。システム全体の遅延時間も容易に計算できる。送信側でのフレーム単位のスクランブルのためにフレーム長分の遅れが発生し、受信側でもフレーム単位で元の音声信号に戻すため同じ時間遅延する。1フレームのセグメント数を n、セグメント長を T とすれば、システム全体では必ず 2nT の遅延時間が発生する。1フレームを8のセグメントに分けセグメント長として50mSを選んだ場合、送信から受信までのシステム全体の遅延時間は0.8秒となる。これは会話中に遅延に気が付く程度に大きな時間と言える。

スライディングウィンドウ方式の遅延時間の計算はもっと複雑になる。送出するセグメントとして任意のものを選べる場合、どのようにセグメントを選ぶかにより遅延時間が変わり、いつまでも送出されないセグメントが生じえるため受信側で無限に近い長さのバッファが必要になってしまう。このような問題を避けるため、セグメントの最大遅延時間を設定し制御を行う。セグメント長を T、最大遅延時間に相当するセグメント数を k とし、この時間に達したもっとも古いセグメントは直ちに送出されるよう制御を行うと、この方式の遅延時間は (k+1)T になる。スライディングウィンドウ方式ではホッピングウィンドウ方式と比較し遅延時間をほぼ半分にできる。受信する側では送信側と同期して送出されるセグメントを受け取り元の信号を再構成する必要があるが、この方式では過去に送出されたセグメントの情報が同期と再構成のために必要で、途中から受信を始める場合に同期をとるのが難しいという問題点がある。

時間・周波数スクランブル

周波数領域、時間領域のいずれのスクランブル方式でも、単体では残留了解度を十分に下げられない。秘話性を高める一つの方法は、周波数領域のスクランブルと時間領域のスクランブルとを組み合わせることである。この方式は時間・周波数スクランブルや二次元スクランブル (Two-Dimensional Scramble) と呼ばれる。 周波数スクランブルで音声の周波数スペクトルの形を変えると共に、周波数スクランブルだけでは残ってしまう音声のリズムを時間スクランブルで分散させることにより秘話性を高める。この方式は、例えば第二次大戦中にソビエトで開発されスターリングラード攻防戦の頃にモスクワ-トビリシ間の無線電話などで使用された秘話装置"Sable-P"（露: Соболь-П）で使われた。

時間領域、周波数領域のそれぞれのスクランブル方式の組み合わせにより多くの方式が考えられるが、代表的なものは時間セグメント置換と帯域分割とを組み合わせるものである。これは音声信号を時間軸と周波数軸の二次元にブロック分けしそれらを置換する方式で、時間・周波数セグメント置換 (Time-Frequency Segment Permutation) とも呼ばれる。方式が複雑で使用するメモリも単純な時間セグメント置換と比べると多く必要になるが、秘話性や暗号強度は向上する。DSP技術の発達に伴い実装も比較的容易になった。時間領域のみでセグメント置換を行う方式の残留了解度は50%程度なのに対し、時間、周波数それぞれでセグメントに分けて置換を行う時間・周波数セグメント置換では20%程度と低く、秘話性はかなり向上する。

変換領域スクランブル

変換領域スクランブル (Transform Domain Scramble) とは何らかの線形変換を用いてスクランブルを行う方法である。サンプリングした音声信号を変換により全く異なる係数に展開した後に係数の並べ替えを行い、逆変換により時間領域のアナログ信号に戻して送出する。受信側では、受信した信号をサンプリングして送信側と同じ変換を行い、得られた係数列を送信側と逆に並べ替えて元の配置に戻してから逆変換を行って音声信号を復元する。デジタル信号処理とハードウェアの発達により、このような処理を手軽に行うことができるようになった。

使用される変換として、離散フーリエ変換 (Discrete Fourier Transform, DFT)、離散コサイン変換 (Discrete Cosine Transform, DCT)、離散ウォルシュアダマール変換 (Discrete Walsh Hadamard Transform) や偏長球波動関数 (Prolate Spheroidal Wave Function) を用いる方法などがある。離散フーリエ変換を用いる場合は音声信号を周波数領域で置換を行う帯域分割方式の一種と考えることもでき、アナログフィルタを用いる古典的な方法と比べはるかに秘話性を高くできる。

これらの変換の中で、DFTやDCTはスクランブル後の信号の了解度である残留了解度が低い。インプリメントも比較的容易である。

変換は一定の長さの時間単位（フレーム）で行われ、その中に含まれる N 個の音声信号のサンプル値を変換により別の N 個の係数に展開する。送信側と受信側とでフレーム単位に処理が行われるため、音声の遅延時間はサンプル値の数 N が増えるほど大きくなる。同時に、N が大きくなるほど係数を置換する組み合わせが増えるため暗号強度が高くなる。これらのバランスと処理の容易さから、一般的に N として256前後の値が選ばれる。

暗号強度に関係する係数の置換の組み合わせの数は最大 N! になるが、帯域分割方式の場合と同様、全ての組み合わせが使えるわけではない。スクランブル後の信号の了解度である残留了解度の高い組み合わせは使えない。実際には、元の係数の位置と置換後の位置の差ができるだけ大きくなるような組み合わせのみが使われる。またフレームごとに組み合わせを変化させることで解読を困難にする。

この方式は残留了解度が低く暗号強度も他のアナログスクランブラーと比べ高くできるが、通信路の影響を受けやすいという問題点もある。アナログフィルターを用いた帯域分割方式のような古典的な方式では波形が正しく伝送されなくても受信側では問題なく復調できるが、変換領域スクランブルでは伝送される信号の波形が大きく変わると受信側で同じ変換を行っても元の係数を正しく復元できず、受信結果が元の信号と大きく異なってしまう。アナログ音声用の多くの通信装置や伝送路は波形伝送についてあまり考慮されていないため、このスクランブル方式をそのまま使用するとひずみが大きくなり十分な性能を得ることができない。そのため、本方式で十分な性能を得るためには、伝送路のひずみや周波数で異なる遅延特性を補償するチャネルイコライザー技術が重要になる。

その他の方式

音声信号を直接操作するスクランブル方式として極性反転方式や雑音混入方式が古くから知られている。

極性反転方式は音声のサンプル値を疑似乱数を使い不規則に極性反転する方式である。受信側でも同じ疑似乱数で極性反転することで元の音声信号を復元できる。この方式は残留了解度が低いが、波形伝送が必要で通信路の影響を受けやすい。また、どのように不規則な極性反転を行ったとしても単純な全波整流回路で極性反転の効果をキャンセルでき、波形は異なったものとなるが、容易に解読できるという欠点がある。このような解読方法は第二次世界大戦の頃から知られていた。

雑音混入方式は音声にあらかじめ用意した雑音を加える方式である。受信側では同じ雑音を引くことで元の音声信号を復元する。この方式では元の音声信号が聞き取れないようかなり高い振幅の雑音信号を加える必要がある。そのため、伝送路の非線形性や遅延特性のばらつきなどにより波形が崩れると受信側で雑音をキャンセルしきれず、高レベルの雑音が残ってしまう。一般にこの方式は復調した音声のS/N比が十分でない。