(Translated by https://www.hiragana.jp/)
認証付き暗号 - Wikipedia コンテンツにスキップ

認証にんしょう付つき暗号あんごう

出典しゅってん: フリー百科ひゃっか事典じてん『ウィキペディア（Wikipedia）』
曖昧さ回避 「ETM」はこの項目こうもくへ転送てんそうされています。

認証にんしょう付つき暗号あんごう（AE: Authenticated Encryption あるいは AEAD: Authenticated Encryption with Associated Data) とは、データの秘匿ひとく性せい、完全かんぜん性せい、および認証にんしょう性せいを同時どうじに提供ていきょうする暗号あんごう利用りようモードである。利用りようの容易よういな API ひとつでこうした特性とくせいが提供ていきょうされるうえ、復号ふくごうすると同時どうじに完全かんぜん性せいも検証けんしょうされる。

AE の必要ひつよう性せいが明あきらかになったのは、秘匿ひとく用ようモードと認証にんしょう用ようモードを安全あんぜんに合成ごうせいするのが困難こんなんであろうとの報告ほうこくによる。[1][2] このことは、実際じっさいに運用うんようされているプロトコルやアプリケーションにおいて認証にんしょうの不適切ふてきせつな実装じっそうや実装じっそうの欠如けつじょによって、実用じつよう的てきな攻撃こうげき経路けいろがいくつも入はいりこんできたことで実証じっしょうされている (SSL/TLS はその一いち例れいである)。[3]

2000年ねんにCharanjit Jutlaによって発表はっぴょうされた IACBC および Integrity Aware Parallelizable Mode（英語えいご版ばん） によってこの分野ぶんやの研究けんきゅうが活発かっぱつとなった[4]。6種類しゅるいの異ことなるモード (OCB 2.0、Key Wrap、CCM、EAX、Encrypt-then-MAC (EtM) および GCM) が ISO/IEC 19772:2009 によって標準ひょうじゅん化かされ[5]、さらにNISTによって開発かいはつがすすめられた[6]。Sponge functions can be used in duplex mode to provide authenticated encryption.[7]

AE モードの典型てんけい的てきな API は次つぎのような関数かんすうを提供ていきょうする:

  • 暗号あんごう化か
    • 入力にゅうりょく: 平文へいぶん、鍵かぎ、場合ばあいによりヘッダ — これは平文へいぶんで、暗号あんごう化かはされないが認証にんしょう保護ほごの対象たいしょうである;
    • 出力しゅつりょく: 暗号あんごう文ぶん、認証にんしょうタグ (MAC)
  • 復号ふくごう
    • 入力にゅうりょく: 暗号あんごう文ぶん、鍵かぎ、認証にんしょうタグ、場合ばあいによりヘッダ;
    • 出力しゅつりょく: 平文へいぶん、あるいは、認証にんしょうタグが暗号あんごう文ぶんとヘッダに合致がっちしない場合ばあいはエラー

ヘッダ部ぶはネットワークや記録きろくの目的もくてきで使つかわれるメタデータの認証にんしょうや完全かんぜん性せい保護ほごのためにあるので、秘匿ひとくする必要ひつようはなく、認証にんしょうする必要ひつようがある。

秘匿ひとく性せいと完全かんぜん性せいの保護ほごに加くわえて、認証にんしょう付つき暗号あんごうは平文へいぶん既知きち性せい (PA: plaintext awareness) を備そなえており、選択せんたく暗号あんごう文ぶん攻撃こうげきに対たいして安全あんぜんである。この種たねの攻撃こうげきで敵てきは、よく考かんがえられた暗号あんごう文ぶんを "復号ふくごうオラクル" に渡わたして復号ふくごう結果けっかを分析ぶんせきすることで、暗号あんごうシステムの攻略こうりゃくヒント (たとえば秘密ひみつ鍵かぎに関かんする情報じょうほうなど) を得えようとする。認証にんしょう付つき暗号あんごうシステムは不適切ふてきせつに細工ざいくされた暗号あんごう文ぶんを識別しきべつして復号ふくごうを拒否きょひすることができる。これはつまり、適切てきせつに暗号あんごう化かアルゴリズムを使つかって生成せいせいしない限かぎり暗号あんごう文ぶんの復号ふくごう要求ようきゅうを防ふせぐということであり、適切てきせつに生成せいせいしたということは平文へいぶんをすでに知しっているということを意味いみする。適切てきせつに実装じっそうされていれば、これにより攻撃こうげき者しゃがすでに知しっている以上いじょうの有用ゆうような情報じょうほうを復号ふくごうオラクルで取とり出だせないようになる。

共通きょうつう鍵かぎブロック暗号あんごうで使つかうための認証にんしょう付つき暗号あんごう専用せんようのモードも数多かずおおく開発かいはつされているが、一般いっぱん的てきに認証にんしょう付つき暗号あんごうは、暗号あんごうシステムとメッセージ認証にんしょう符号ふごう (MAC) を組くみ合あわせて構成こうせいする。その場合ばあい、暗号あんごうシステムは選択せんたく平文へいぶん攻撃こうげきのもとで強つよ秘匿ひとく性せいを有ゆうし、MAC 関数かんすうは選択せんたくメッセージ攻撃こうげきのもとで偽造ぎぞう不可ふかでなければならない。Bellare and Namprempre (2000) はこうしたプリミティブの組くみ合あわせを三さん通とおり考察こうさつし、暗号あんごうと MAC 双方そうほうの関数かんすうが必要ひつような性質せいしつを満みたす場合ばあいは、メッセージを暗号あんごう化かしてから暗号あんごう文ぶんに MAC を計算けいさんすること (EtM: Encrypt-then-MAC) で適応てきおう的てき選択せんたく暗号あんごう文ぶん攻撃こうげきに対たいし安全あんぜんであることを実証じっしょうした。

2013年ねんには、認証にんしょう付つき暗号あんごうモードの設計せっけいを推進すいしんするためのコンペが発表はっぴょうされた[8]。

認証にんしょう付つき暗号あんごうの手法しゅほう

[編集へんしゅう]

Encrypt-then-MAC (EtM)

[編集へんしゅう]

はじめに平文へいぶんを暗号あんごう化かし、暗号あんごう文ぶんから MAC を計算けいさんする。暗号あんごう文ぶんと MAC を連結れんけつして送信そうしんされる。ISO/IEC 19772:2009 に準拠じゅんきょする標準ひょうじゅん的てきな手法しゅほう[5]。IPSecなどで利用りようされる。これは AE で最高さいこう水準すいじゅんの安全あんぜん性せいを達成たっせいできる唯一ゆいいつの手法しゅほうであるが、その達成たっせいのためには使用しようする MAC が「強つよ偽造ぎぞう不可ふか」(Strongly Unforgeable)[9] でなければならない。2014年ねん11月に、TLS および DTLS の拡張かくちょうとして EtM を定義ていぎする RFC 7366 が勧告かんこくされた。

Encrypt-and-MAC (E&M)

[編集へんしゅう]

平文へいぶんから MAC を計算けいさんし、平文へいぶんはそのまま暗号あんごう化かされる。暗号あんごう文ぶんと MAC を連結れんけつして送信そうしんされる。SSHや Grain 128a などで利用りようされる。E&M 自体じたいは強つよ偽造ぎぞう不可ふかだと証明しょうめいされていないが[9]、この手法しゅほうでも少すこしの修正しゅうせいで SSH を強つよ偽造ぎぞう不可ふかにすることは可能かのうである[要よう出典しゅってん][10][出典しゅってん無効むこう]。

MAC-then-Encrypt (MtE)

[編集へんしゅう]

平文へいぶんから MAC を計算けいさんし、平文へいぶんと MAC を連結れんけつした状態じょうたいで暗号あんごう化かされる。暗号あんごう文ぶん（暗号あんごう化かされた平文へいぶんと暗号あんごう化かされた MAC を含ふくむ）が送信そうしんされる。SSL/TLS などで利用りようされる。MtE 自体じたいは強つよ偽造ぎぞう不可ふかだと証明しょうめいされていないが[9]、SSL/TLS 実装じっそうは Krawczyk により強つよ偽造ぎぞう不可ふかであることが証明しょうめいされている。SSL/TLS は、MtE と同時どうじに使用しようするエンコーディングのおかげで事実じじつ上じょう安全あんぜんである[11]。

関連かんれん項目こうもく

[編集へんしゅう]

脚注きゃくちゅう

[編集へんしゅう]
[脚注きゃくちゅうの使つかい方かた]
  • Bellare, M.; Namprempre, C. (2000), T. Okamoto, ed., “Authenticated Encryption: Relations among notions and analysis of the generic composition paradigm”, Extended abstract in Advances in Cryptology: Asiacrypt 2000 Proceedings, Lecture Notes in Computer Science (Springer-Verlag) 1976: 531, doi:10.1007/3-540-44448-3_41, ISBN 978-3-540-41404-9 

出典しゅってん

[編集へんしゅう]
  1. ^ "伝統でんとう的てきな (秘匿ひとくのみの) 暗号あんごう方式ほうしきとメッセージ認証にんしょう符号ふごう (MAC) をくっつけようとするとき、みんなは幾分いくぶんまずいやり方かたをしていた", in: M. Bellare, P. Rogaway, D. Wagner. “A Conventional Authenticated-Encryption Mode”. NIST. March 12, 2013閲覧えつらん。
  2. ^ "ちょっとうっかりしただけで、安全あんぜんな暗号あんごう方式ほうしきと安全あんぜんな MAC を結合けつごうしたのに危険きけんな認証にんしょう付つき暗号あんごう方式ほうしきになってしまいかねない", in: T. Kohno, J. Viega, and D. Whiting. “The CWC Authenticated Encryption (Associated Data) Mode”. NIST. March 12, 2013閲覧えつらん。
  3. ^ “Failures of secret-key cryptography”. Daniel J. Bernstein. March 12, 2013閲覧えつらん。
  4. ^ Jutla, Charanjit S. (2000年ねん8月がつ1日にち). “Encryption Modes with Almost Free Message Integrity”. Cryptology ePrint Archive: Report 2000/039. IACR. 2013年ねん3月がつ16日にち閲覧えつらん。
  5. ^ a b “Information technology -- Security techniques -- Authenticated encryption”. 19772:2009. ISO/IEC. March 12, 2013閲覧えつらん。
  6. ^ “Encryption modes development”. NIST. April 17, 2013閲覧えつらん。
  7. ^ The Keccak Team. “Duplexing The Sponge”. November 30, 2013閲覧えつらん。
  8. ^ “CAESAR: Competition for Authenticated Encryption: Security, Applicability, and Robustness”. March 12, 2013閲覧えつらん。
  9. ^ a b c “Authenticated Encryption: Relations among notions and analysis of the generic composition paradigm”. M. Bellare and C. Namprempre. April 13, 2013閲覧えつらん。
  10. ^ “OpenSSH 6.1 からの変更へんこう点てん”. 春山はるやま征ただし吾われ. December 1, 2013閲覧えつらん。
  11. ^ “The Order of Encryption and Authentication for Protecting Communications (Or: How Secure is SSL?)”. H. Krawczyk. April 13, 2013閲覧えつらん。
カテゴリ カテゴリ
スタブアイコン

この項目こうもくは、コンピュータに関連かんれんした書かきかけの項目こうもくです。この項目こうもくを加筆かひつ・訂正ていせいなどしてくださる協力きょうりょく者しゃを求もとめています（PJ:コンピュータ/P:コンピュータ）。

「https://ja.wikipedia.org/w/index.php?title=認証にんしょう付つき暗号あんごう&oldid=100986816」から取得しゅとく