00 他の人々が見つけた鍵
姉妹巻 Barb.lat. 6956 には、同じ教皇大使府の1628年5月–8月の暗号紙葉が70枚ある（DECODE R215–R285 および R318）。その鍵は2018年3月に Norbert Biermann が、また独立に Thomas Bosbach が復元した。2人の鍵、統合した鍵、解読のサンプルは、鍵の記録としてではなく、最初の暗号文記録 R215 に添付された文書として DECODE に登録されている。そのため、このプロジェクトのメタデータ収集はそれらを見ていなかった。DECODE は今も 6960 の28記録すべてを “Non-decrypted” としている。
方式：
- 文字には2桁の同音字：a = 00, 02, 20；e = 09, 30, 90；i = 05, 40, 50；o = 03, 07, 70；など。
- 音節や短い語には2桁の符号群：47 che、52 con、57 per、69 di、73 la、93 to。
- 名前や称号には200から999までの3桁のノーメンクレーター符号群：360 Duca di Mantova、460 Imperatore、670 Sua Maestà、925 Spagna。
- 1桁の 1 と 8 は冗字で、主に語の境界にある。
- 重ね字はしばしば1回だけ書かれるので、33 は d も dd も表しうる。
DECODE による 6960 の28記録すべての転写に適用し、動的計画法で数字の流れを1桁、2桁、3桁の単位に分けると、この鍵はどの記録でも続いたイタリア語を与える。R286 は ho riceuto la risposta datami in scritto で始まり、これは Kiewning の Nr. 153 の最初の言葉である。約2,000のノーメンクレーター符号群が 6956 の鍵で解ける。約1,750の3桁符号群はそこに現れない。おそらく1629年に特有の名前や称号であり、未解決のままである。約200桁はどの符号にも合わず、これはボランティアによる転写の誤りと矛盾しない。手を加えていない出力はリポジトリにある（targets/pallotto1629/key6956/decrypt_6960.txt).
この鍵は、以下の攻撃がすべて失敗した理由も説明する。冗字や3桁の符号群は、その後のすべての2桁符号の位相をずらすので、固定幅の対応は数語以上は持ちこたえられない。最初のクリブ照合が止まったのはそこである。すなわち 8 が、ho のあとにあるのに2桁符号の1桁目とみなされていた。04節で報告する長い繰り返しの数字列は、毎回同じ仕方で書かれたノーメンクレーターと音節の符号群である。
01 巻と28の暗号文
Barb.lat. 6960 は DigiVatLib の digi.vatlib.it/view/MSS_Barb.lat.6960 にあり、194ページで、IIIF マニフェストが付いている。古い2値のマイクロフィルムのスキャンで、画像サービス自身の info.json によれば、1ページあたりの最大は748 × 1088 ピクセルである。サーバーがそれより大きなものを返しても、それは拡大しただけである。この大きさでは数字1つの幅は約10ピクセルである。しかし DECODE は同じ葉の独自のスキャンを1491 × 2066（ピクセル面積で4倍）でログインの奥に持っている。この写本を転写する人は、DigiVatLib のものではなくそちらを使うべきである。
DECODE の記録 R286–R313 が28の暗号化箇所であり、R315 は巻全体で、そこでは “mixed ciphertext and cleartext” と記述されている。各記録の注記は同じ DigiVatLib のページ付けでページ範囲を示しているので、DECODE のページ n はキャンバス n である。範囲は pp. 5–6 から pp. 192–193 にわたり、巻自体の表題は Pallotto の暗号を dal 4 agosto al 29 settembre 1629 と記しているが、記録には11月29日という遅い日付もある。
暗号紙葉はページの全幅にわたり、途切れのない数字の密な流れで書かれ、1ページに約30行、1行に約66個の数字がある。平文のページはまったく違う書き方で、紙葉の右側の細い欄に広い余白をとって書かれている。両者は巻を通じて交互に現れる。
28すべての転写は2019年と2020年にボランティアによって DECODE のために作成され、 DOC_R*.txtとしてダウンロードできる。数字を1桁ずつ記録しているので、写本の（装飾的で不規則な）まとまりは失われている。計測すると112,805桁になる。最短は R308 の854桁、最長は R306 の9,332桁で、ここで詳しく扱った R286 は3,573桁である。
02 1897年に刊行された内容
該当する校訂版は Hans Kiewning (ed.), Nuntiaturberichte aus Deutschland nebst ergänzenden Aktenstücken. Vierte Abteilung: 17. Jahrhundert, Band 2: Nuntiatur des Pallotto 1628–1630, 2: 1629（ベルリン、1897年）である。archive.org にアイテム 4-2_20200807として全文がある。
Kiewning はローマで受信された写し ASV, Nunz. di Germania 119 に基づいており、暗号化された各急報に、ローマの役所が解読した日付とともに dechiffr. と見出しを付けている。Nr. 153 は “Pallotto an Barberini, 1629 August 4, dechiffr. 22. August” である。したがって彼が印刷しているのは同時代の解読文である。実質的な箇所はイタリア語で逐語的に示し、残りはドイツ語の要録で要約しているので、網羅性は完全に近い。
2つの照合が記録簿と校訂版を結びつける。
8月4日の急報。pp. 5–6 の暗号には Di Vienna 4 di Agosto と見出しがあり、これは Nr. 153 である。その周囲の平文のページは、暗号とは別に書かれた記録簿自身の急報の清書であり、暗号紙葉をまたいでそのまま続いている。p. 4 は … non haver facoltà di accettar altro partito, che’l proposto in で終わり、p. 7 は nome del suo Rè で再開する。この文は一語一語 Kiewning の Nr. 153 と一致する。
同封文書。13ページは、Kiewning が Nr. 153 の Beilage II, Propositione P. Valeriano per Sabran として印刷している文書である（彼の典拠：Bibl. Barber. LXIX 60 fol. 122）。写本の文面と校訂版の印刷は次のとおりである。
… il quale aggiunse di più, che fatta la pace, quando S. S.tà, come padre comune, proponga una lega et unione di questi eserciti, affine di abbatter il Turco commune nemico del nome christiano, che S. M.tà mandaria plenipotentiarii in Italia, acciò N. S.re potesse concludere così gran negotio, con che il demonio resteria ingannato e burlato.
とすれば、暗号が隠しているのは1629年後半のマントヴァ継承危機に関わる事柄である。Pallotto はカプチン会士 P. Valeriano Magno と皇帝の大臣 Eggenberg（急報では Echembergh）を通じて、Casale と Monferrato をめぐり皇帝とフランスの使節 Sabran のあいだを調停しようとした。公国の武力によらない民事上の占有、フランス軍の Susa からの撤退と皇帝軍のグラウビュンデンからの撤退、そしてその背後には、真の目的がヴェネツィアを屈服させ、イタリアにおける皇帝の権威を回復することにあるのではないかという恐れがあった。
03 鍵が知られる前に行った攻撃
数字は数字だけで、区切りなしに書かれている。28の暗号文全体で数字の頻度は不均一であり（0 が16.1%、4 が4.8%）、隣接する数字は約0.18ビットの相互情報量を持つので、この流れには構造がある。以下の攻撃はその構造を見つけられなかった。
符号の幅が現れない。固定幅の数字コードなら、1つの位相が他より目立つはずである。どれも目立たない。28の暗号文をまとめると、2桁符号の一致指数は位相0で0.01462、位相1で0.01466であり、偶数位置と奇数位置の数字の分布はどの数字でも0.2%以内で一致する。3桁符号も3つの位相すべてで同じふるまいをする。
クリブは27文字まで一致し、そこで失敗する。Nr. 153 の平文を手にすると、R286 の冒頭は2桁符号として27文字まで正確に一致する。
55 70 83 65 03 29 00 69 38 73 11 36 50 23 22 07 92 20 86 72 52 06 38 97 12 33 23
H O R I C E V U T A L A R I S P O S T A D A T A M I I
割り当ては繰り返される。38 は2回現れて2回とも T、23 は2回現れて2回とも I であり、これが偶然に起こるのは180回に1回ほどである。28番目の符号は矛盾し、そこから先は何も整合しない。急報全体に対して帯状の動的計画法による対応づけツールを用い、2桁符号に加えて転写の誤りに対する1桁・3桁の再同期を許し、手で修正した3,359文字のクリブに対して符号表を収束するまで反復したところ、符号と文字の整合性は約55%に達した。誤った対応づけが与える20%より高く、復元された鍵が与える値より低い。
暗号文のみの探索は失敗する。100個の2桁符号について固定多重集合の焼きなまし法を5,000符号分のテキストに適用し、リポジトリのきれいなイタリア語コーパス（1,200万文字）から構築した空白なしのイタリア語5-gram モデルで採点すると、1文字あたり −3.54 の対数確率に落ち着く。当時の実際のイタリア語は約 −1.5 である。同じ符号の音節モデル（各2桁符号群が1–4文字を表す）を既知の平文に対して検証したところ、よく確認された符号はすべて単一文字に戻ってしまい、音節表は見つからなかった。
55%は部分的な鍵ではない。ホールドアウト検定がこれを示す。R286 の最初の55%でクリブに対して表を学習し、それを固定してから、残りの数字を残りのクリブに対応づけ、確認数（符号がすでに表にあり、一致する場合）を数える。表はそのままで文字を符号間でシャッフルした8つの対照実験と比べると：
| 1文字あたりの確認数 | DP スコア | |
|---|---|---|
| 前半から学習した鍵 | 0.355 | −3266 |
| シャッフルした対照実験（8つの平均） | 0.359 | −3313 |
差はない。「2桁符号と冗字、桁の誤りなし」というモデルでの同じ検定でも 0.440 に対して対照の平均 0.431 で、やはり差はない。整合性の数値は対応づけツールがクリブに合わせ込んだものであり、そこから読み取った部分的な鍵はどれも人為的な産物になっていたはずである。
陽性対照。同じクリブをランダムな2桁の同音異字の鍵で暗号化し、数字の流れに1桁の挿入と削除を選んだ率で加えて損傷させ、まったく同じ学習器を走らせる。復元される真の鍵の割合：
| 桁誤り率 | 復元された鍵 |
|---|---|
| 0 % | 100 / 100 |
| 0.5 % | 87 / 100 |
| 1.7 % | 7 / 100 |
| 4 % | 19 / 100 |
手法は合成テキストでは機能するが、転写の精度が桁の約0.5%より良いことを必要とする。おおよそ1%を超えると、平文が手元にあっても、この量のテキストから2桁の鍵は復元できない。桁が1つ挿入または脱落するたびに、それ以降すべての符号の位相が反転するからである。これは上の統計に位相の偏りが現れない理由も説明する。30行にわたって散らばった誤りが、コーパス全体で位相をランダム化するのである。
連続長の検定。クリブ対応づけツールは見かけの適合を作りうる。新しい符号にはいつでも新しい文字を与えられるからである。偽造できないのは長い整合した連続である。1つの窓の中では、繰り返される符号は同じ文字を担わなければならず、対応は関数のままでなければならないので、偽の連続は最初の繰り返しの矛盾で終わる。数字のオフセットとクリブのオフセットのすべての組を走査し、整合している限り各連続を延ばしていくと：
| 最長の整合した連続 | |
|---|---|
| Nr. 153 の平文に対する実際の暗号 | 39文字 |
| 対照実験：平文の文字をシャッフル（5回） | 39, 39, 36, 38, 36 |
| 対照実験：暗号を逆順 | 39 |
| 合成2桁暗号、同じテキスト、桁ノイズ1.7% | 207文字 |
| 合成2桁暗号、きれいな転写 | 2705文字 |
実際の材料は自らの偶然の基準線上にあり、一方で同じ転写ノイズの2桁暗号は5倍先まで続く。ツールは機能している。そのノイズのある合成テキストで、この手法は100個の鍵符号のうち81個を復元し、動的計画法の学習器は7個だった。そしてここでは偶然の連続が36–39文字に達するので、このページの冒頭で引いた27文字の冒頭一致は基準線より下である。証拠ではなく、上でそれについて示した180回に1回という数字は誤りである。
したがって転写ノイズはもはや十分な説明ではない。この証拠によれば、暗号紙葉は Kiewning が Nr. 153 として印刷したテキストの固定幅2桁の暗号化ではない。次の検定はそれを巻全体に広げた。
コーパス探索。連続長の検定は1つの暗号文を1つのクリブと比較する。こちらは4つの暗号文を校訂版全体と一度に、厳密に比較する。換字では等しい符号は等しい文字を強いるので、暗号の窓を1つ取り、その中で同じ符号を持つ位置の組をすべて列挙し、平文がまさにそのオフセットで繰り返すことを要求する。この条件を、間隔ごとのビットマスクで Kiewning の1,161,303文字すべてに対して1回の走査で調べる。
真の平文をコーパスに仕込み、ランダムな鍵で暗号化して較正した：
| 真の位置に当たった窓 | 誤検出 | |
|---|---|---|
| 合成、きれいな転写 | 253 / 254 | 0 |
| 合成、桁ノイズ1.7% | 16 / 254 | 0 |
つまり実際のノイズ水準でも窓の約6%はなお厳密に当たり、手法が誤って反応することはない。4つの暗号文に3つの符号幅で適用すると：
| レコード | 幅2 | 幅3 | 幅4 |
|---|---|---|---|
| R286 | 0 / 266 | 1 / 261 | 0 / 256 |
| R292 | 0 / 460 | 0 / 456 | 0 / 452 |
| R306 | 0 / 710 | 2 / 705 | 0 / 700 |
| R311 | 0 / 510 | 1 / 505 | 0 / 500 |
幅3の見かけの4件のヒットは人為的な産物である。どれも校訂版のローマ数字の索引（XIUXXUXXUIXXUIIXXUIII…）に落ちており、そこはどんな繰り返しパターンも一致してしまう退化したコーパスの区間である。本物のヒットはない。仮説のもとでは R286 だけで8件程度は出たはずなので、1件も見ない確率は e−8 程度である。
残ったもの。暗号文は、巻に印刷されたもの、Nr. 153 にせよ他の急報にせよ、どれの固定幅の換字でもない。2つの可能性が残った。1つは方式が可変長の符号群を持つことで、転写がどれほど良くても固定幅の対応づけでは一致させられない（位相の偏りがないことも同じ方向を示す）。もう1つは紙葉が校訂版にないテキストを暗号化していることで、Kiewning は要点をイタリア語で印刷しているが残りはドイツ語の要録にしており、そのイタリア語はどこにも印刷されていない。鍵（00節）がのちに前者を裏付けた。どちらも検証可能だった。前者は同じツールの可変長版で、後者は暗号文の長さを、校訂版が要約しかしていない急報の部分と比べることで。
転写はどれほど良いか。DECODE の大きいほうのスキャンで確かめると、p. 5 の1行目は DECODE の転写と74桁中2桁で異なり、どちらも置換で、長さの違いはない（スキャンが 73 を示すところを転写は 93、38 を示すところを 30 としている）。2行目は1–2桁異なり、長さも違うかもしれない。したがって転写は正確に近く、対応が崩れる箇所で長さの誤りは示されておらず、そこでの崩れは転写の産物ではない。それゆえ2つの説明が未決のまま残り、この材料からは区別できない。転写が他の箇所で復元を阻むほどの長さの誤りを含んでいるか、暗号がそもそもこの平文の固定幅の換字ではないかである。
04 暗号の正体
上の検定はどれも否定的である。これは違い、方式を制約する。28の暗号文全体（112,805桁）で繰り返される数字の部分文字列を、同じ数字頻度を持つ独立な対照と比べて数えると：
| 部分文字列の長さ | 暗号での繰り返し | 独立な対照 | 比 |
|---|---|---|---|
| 4 | 105,170 | 102,865 | 1.0× |
| 6 | 64,083 | 9,590 | 6.7× |
| 8 | 28,519 | 91 | 313× |
| 10 | 12,109 | 1 | 12,000× |
| 16 | 966 | 0 | — |
| 24 | 39 | 0 | — |
偶然なら1つも生じないところに、24桁の繰り返し文字列が39個ある。注意深く使われた同音異字暗号ならそうはならない。同音字は繰り返しを壊すためにあるのに、この書き手は長い連続を絶えず繰り返している。このように繰り返すのはコード、つまりある語や音節を毎回同じ仕方で書くノーメンクレーターである。鍵（00節）は両方を持っている。文字には同音字、音節・語・名前には固定の符号群である。長さの異なる固定の符号群が、上の固定幅の攻撃がすべて失敗した理由を説明する。コーパスを BPE で分割すると、44,816トークンに266のトークン種が得られ、平均2.5桁で、長さは1から7に分布する。音節規模であり、固定幅ではない。
さらに2つの仮説を検証し、どちらも成り立たなかった。最初の急報の繰り返しスペクトルは、ほぼ1文字1桁（3,359文字に対して3,570桁）でクリブのものと一致する。これは10個の数字に21文字ということで、多音字暗号を意味することになる。そこでは制約が逆転し、等しい文字が等しい数字を強いる。最長の整合した文字–数字の連続は17文字で、シャッフルした対照は18、19、18であり、偶然の水準である。また暗号化は順序を保つので、繰り返される BPE トークンは毎回同じ平文の語に当たるはずである。74のトークン種のうち16がそうなるが、対照では13、12、13。有意ではない。
1つの訂正。上の03節は幅2と幅3で位相の偏りがないと報告している。私は最初これを固定幅符号に反する証拠として示したが、それは言い過ぎだった。観測された桁誤り率では1通の急報に約60の誤りがあり、それぞれがその行の残りの位相を反転させるので、それだけで本物の位相の信号は消されてしまう。位相の検定は決定不能である。較正されたコーパス探索がこの主張の健全な形であり、それは成り立つ。
05 DECODE の転写にある注記
DECODE の転写には注記が付いているが、私は最初のものの冒頭をざっと見ただけだった。28のファイル全体で約640の <CLEARTEXT> 記号があり、5つの記録には <PLAINTEXT> 行がある。これは DECODE の表記で文書そのものに書かれた解読を表す。
| レコード | 平文の記号 | 紙面上の解読 |
|---|---|---|
| R298 | 68 | |
| R296 | 63 | |
| R305 | 54 | In un lungo discorso |
| R307 | 53 | |
| R292 | 51 | |
| R309 | 35 | Con l’ord(ina)rio passato intendo che fu scritto da S. M.tà à… |
| R308 | 22 | restati più contenti della risolutione |
| R313 | 14 | Nel particolare |
これらの急報の大半は混合書簡である。イタリア語の平文の中に、節ごとに短い暗号の連なりが置かれている。R308 の紙葉には次のようにある。
数字の上に書かれているのは：restati più contenti della risolutione
これは境界のわかった厳密なクリブで、文体も合っており、Kiewning のどこにもない。また、刊行された校訂版からのクリブがこのような記録に合わなかった理由も説明する。暗号化箇所は1つの節であり、校訂版は書簡全体の趣旨を印刷しているのである。
このクリブも合わなかった。34文字に対して41桁で、数字と注記の両方を DECODE の 1523 × 2088 のスキャンと照合した。04節が示唆する決定論的な制約のもとで、また同音字も許して網羅的に探索すると：
| モデル | 結果 |
|---|---|
| 固定幅1、2、3 | 合わない（41は2で割り切れない） |
| 決定論的な文字コード、1–2桁の符号群 | 解は0（厳密） |
| 決定論的な文字コード、1–3桁の符号群 | 解は0（厳密） |
| 2桁の符号群、1–3文字の音節 | 解は0（網羅的、400万ノード） |
| 同上、同音字を許す | 解は0（網羅的、730万ノード） |
したがって、解読者の注記がその連なりと正確に対応していない（一部だけに注記したか、次の連なりまで続けたのかもしれない）か、方式がこれらのいずれよりも複雑であるかのどちらかである。9月20日時点で作業はここまで来ていた。
06 未解決のまま残るもの
- 鍵は Biermann と Bosbach のもの（2018年）で、6960 について George Lasry が同定した。このプロジェクトが復元したのではない。未解決なのは、6956 の鍵にない 6960 の約1,750の3桁符号群である。Kiewning が印刷したイタリア語を対応づければその大部分を埋められるが、それはまだ行っていない。
- R286 冒頭の27文字の対応は証拠ではない。この材料での整合した連続の偶然の基準線は36–39文字なので、これは平均より短い幸運の連続である。
- Kiewning の網羅性は完全に近いが、逐語的ではない。イタリア語の代わりにドイツ語の要録を示しているところでは、正確な文言は暗号の中にしかない。鍵が知られる前は、これが主な困難に見えた。巻の平文のページには暗号化箇所が含まれていない（pp. 3–4 と 7–9 は暗号紙葉をまたいで連続している）ので、pp. 5–6 が暗号化しているもののイタリア語は、デジタル化されていない ASV, Nunz. di Germania 119 にしか残っていないかもしれない。刊行された校訂版から取ったクリブではそれらの語は確定できない。
- 姉妹巻、カタログ項目236（BAV Barb.lat. 6956、DECODE R215–R285 および R318）は、他の人々が Biermann と Bosbach の鍵で解読しており、カタログから削除された。
- 次の試みが始めるべきところ：28の記録全体から、平文と解読のすべての注記を、その両側の数字の連なりとともに抽出すること。そうすればイタリア語の文脈を伴う何百もの短い暗号化された節と、同時代の解読が付いた5つの節が得られる。各注記の範囲を信用する前に画像と照合すること。R308 の注記はもっともよく記録されたものだが、それでも合わない。おそらくその範囲が見た目どおりではないということである。
07 出典
- ヴァチカン市国、Biblioteca Apostolica Vaticana, Barb.lat. 6960 — DigiVatLib、194ページ。暗号紙葉は pp. 5–6, 10–12, 35–37, 40–42, 46–47, 55–57, 62–64, 68–70, 75–76, 80, 83–84, 90–91, 97–99, 105, 109–110, 113–114, 119–120, 124–125, 130–131, 135–136, 140–142, 146–147, 152, 155–156, 163–165, 174–176, 181–183, 192–193。画像 © Biblioteca Apostolica Vaticana。
- DECODE 記録 R215（Barb.lat. 6956）：Norbert Biermann と Thomas Bosbach の鍵（2018年3月）、両者の統合鍵と解読文、文書 D1505–D1508。George Lasry、Daniel Bourdeau への私信、2026年9月21日：6960 は同じ鍵を使っている。
- DECODE 記録 R286–R313（暗号文、2019–20年の転写付き）および R315（巻）。
- Hans Kiewning (ed.), Nuntiaturberichte aus Deutschland nebst ergänzenden Aktenstücken. Vierte Abteilung: 17. Jahrhundert, Band 2: Nuntiatur des Pallotto 1628–1630, 2: 1629（ベルリン、1897年）— archive.org, item 4-2_20200807。Band 1（1628年）は1895年に刊行された。
- Kiewning が急報について用いた写本典拠：ASV, Nunz. di Germania 119（ローマで受信された解読済みの写し）、Barberini 側については Bibl. Barber. LXIX–LXX。
作業ファイル、DECODE の転写、クリブ、対応づけツール、ソルバー：targets/pallotto1629/。