RC4

RC4
一般いっぱん
設計せっけい者しゃ	ロナルド・リベスト
初版しょはん発行はっこう日び	1994年ねんに漏洩ろうえい（1987年ねんに設計せっけい）
暗号あんごう詳細しょうさい
鍵かぎ長ちょう	40–2048 bits
状態じょうたい長ちょう	2064 bits (1684 effective)
ラウンド数すう	256
速度そくど	7 cycles per byte on Pentium

RC4（あるいはARCFOUR）とは、SSLやWEPなどで広ひろく使つかわれているストリーム暗号あんごうである。

概要がいよう

RC4はロナルド・リベストにより1987年ねんに開発かいはつされたストリーム暗号あんごうであり、このアルゴリズムを用もちいて発生はっせいさせた疑似ぎじ乱数らんすう列れつと平文へいぶんの排他はいた的てき論理ろんり和わをとったものが暗号あんごう文ぶんになる。RC4は利用りよう方法ほうほうによってはWEPのように安全あんぜん性せいが保たもてないことがある。RC4はWEP、WPA、Microsoft Point-to-Point Encryption（英語えいご版ばん） (MPPE)、Winny、TLS/SSL（オプション）、SSH（オプション）で暗号あんごう化かを行おこなうために用もちいられている。

2015年ねんの時点じてんにおいて、NSAのような機関きかんであればTLS/SSLを利用りようしていてもRC4を解読かいどくできる疑うたがいがあり^[2]、マイクロソフトではRC4を使つかわないようにすることを推奨すいしょうしている^[3]^[4]^[5]。2015年ねん2月がつには TLSのすべてのバージョンにおいてRC4の利用りようを禁止きんしする提議ていぎ RFC 7465 が公開こうかいされた。

歴史れきし

RC4は、1987年ねんにRSAセキュリティ社しゃでロナルド・リベストによって開発かいはつされた。公式こうしきには "Rivest Cipher 4" と呼よばれるが、"Ron's Code" の略語りゃくごとされることもある。参照さんしょう：RC2、RC5、RC6。

RC4は当初とうしょは企業きぎょう秘密ひみつ (trade secret) であった。ところが1994年ねん9月に何者なにものかが匿名とくめいでCypherpunksのメーリングリストにRC4の解説かいせつを流ながしてしまった。この解説かいせつは直すぐにニューズグループ sci.crypt にポストされて、インターネットに広ひろがった。アルゴリズムが公知こうちになったので、RC4は企業きぎょう秘密ひみつではなくなったが、"RC4" の名称めいしょうは商標しょうひょうである。従したがって、RC4と称しょうさずに非公式ひこうしきに実装じっそうするのは合法ごうほうであるようだが^{[独自どくじ研究けんきゅう?]}、商標しょうひょうであるRC4の名称めいしょうを使つかうことはできない。それで、RC4はしばしば、商標しょうひょう問題もんだいを回避かいひするために "ARCFOUR"（Alleged-RC4, なぜならば、RSA社しゃは公式こうしきにはアルゴリズムを公開こうかいしていないので）という名前なまえが使用しようされることがある。

そして "ARCFOUR" は、無線むせん通信つうしんのためのWEPやWPA、あるいはTLSやWinnyなどの広ひろく使用しようされている暗号あんごう化かプロトコルとその標準ひょうじゅんの一部いちぶとなった。

安全あんぜん性せい

TLS/SSLにおいてRC4を用もちいたCipher Suiteについては、その脆弱ぜいじゃく性せいに対処たいしょされており安全あんぜんであると考かんがえられていた。2011年ねんには、ブロック暗号あんごうのCBCモードの取とり扱あつかいに関かんする脆弱ぜいじゃく性せいであったBEAST攻撃こうげきへの対応たいおう策さくの一ひとつとして、その影響えいきょうを受うけないストリーム暗号あんごうであるRC4に切きり替かえることが推奨すいしょうされていた^[6]。しかし、2013年ねんにTLS/SSLでのRC4への効果こうか的てきな攻撃こうげき法ほうが報告ほうこくされ、BEASTへの対策たいさくとしてRC4を用もちいることは好このましくないとされた^[7]。RC4に対たいする攻撃こうげき法ほうは、AlFardan、Bernstein、Paterson、Poettering、Schuldtによって報告ほうこくされた。新あらたに発見はっけんされたRC4の鍵かぎテーブルにおける統計とうけい的てきな偏かたより^[8]を利用りようすることで、平文へいぶんの一部いちぶが回復かいふく可能かのうであるというものである^[9]^[10]。この攻撃こうげき法ほうにより、13 × 2²⁰通つうの暗号あんごう文ぶんを用もちいれば128ビットのRC4が解読かいどく可能かのうであることが示しめされ、2013年ねんのUSENIXセキュリティシンポジウムにおいて「実現じつげん可能かのうである」と評ひょうされた^[11]^[12]。

脚注きゃくちゅう

^ P. Prasithsangaree and P. Krishnamurthy (2003). Analysis of Energy Consumption of RC4 and AES Algorithms in Wireless LANs.
^ John Leyden (2013年ねん9月がつ6日にち). “That earth-shattering NSA crypto-cracking: Have spooks smashed RC4?”. The Register. 2013年ねん12月4日にち閲覧えつらん。
^ “Security Advisory 2868725: Recommendation to disable RC4”. Microsoft (2013年ねん11月12日にち). 2013年ねん12月4日にち閲覧えつらん。
^ “マイクロソフトセキュリティアドバイザリ 2868725 - RC4 を使用しよう禁止きんしにするための更新こうしんプログラム”. Microsoft (2013年ねん11月13日にち). 2014年ねん10月がつ10日とおか閲覧えつらん。
^ “draft-ietf-tls-prohibiting-rc4-01 - Prohibiting RC4 Cipher Suites” (2014年ねん10月がつ1日にち). 2014年ねん10月がつ8日にち閲覧えつらん。
^ security – Safest ciphers to use with the BEAST? (TLS 1.0 exploit) I've read that RC4 is immune – Server Fault
^ ivanr. “RC4 in TLS is Broken: Now What?”. Qualsys Security Labs. 2013年ねん7月がつ30日にち閲覧えつらん。
^ Pouyan Sepehrdad, Serge Vaudenay, Martin Vuagnoux (2011). “Discovery and Exploitation of New Biases in RC4”. Lecture Notes in Computer Science 6544: 74–91. doi:10.1007/978-3-642-19574-7_5.
^ Green, Matthew. “Attack of the week: RC4 is kind of broken in TLS”. Cryptography Engineering. 2014年ねん6月がつ24日にち閲覧えつらん。
^ Nadhem AlFardan, Dan Bernstein, Kenny Paterson, Bertram Poettering and Jacob Schuldt. “On the Security of RC4 in TLS”. Royal Holloway University of London. 2014年ねん6月がつ24日にち閲覧えつらん。
^ AlFardan, Nadhem J.; Bernstein, Daniel J.; Paterson, Kenneth G.; Poettering, Bertram; Schuldt, Jacob C. N. (8 July 2013) (PDF). On the Security of RC4 in TLS and WPA 2014年ねん6月がつ24日にち閲覧えつらん。.
^ AlFardan, Nadhem J.; Bernstein, Daniel J.; Paterson, Kenneth G.; Poettering, Bertram; Schuldt, Jacob C. N. (15 August 2013). On the Security of RC4 in TLS (PDF). 22nd USENIX Security Symposium. p. 51. 2014年ねん6月がつ24日にち閲覧えつらん。Plaintext recovery attacks against RC4 in TLS are feasible although not truly practical

外部がいぶリンク

IETF draft - A Stream Cipher Encryption Algorithm "Arcfour"
RFC 4345 - Improved Arcfour Modes for the Secure Shell (SSH) Transport Layer Protocol
RFC 6229 - Test Vectors for the Stream Cipher RC4
RFC 7465 - Prohibiting RC4 Cipher Suites
SCAN's entry for RC4
Attacks on RC4
RC4 - Cryptology Pointers by Helger Lipmaa
RSA Security Response to Weaknesses in Key Scheduling Algorithm of RC4
五ご十じゅう部ぶ孝典たかのり：「RC4の脆弱ぜいじゃく性せいとSSL/TLSへの攻撃こうげき」、2014年ねん2月がつ13日にち、NICT情報じょうほうセキュリティシンポジウム（発表はっぴょうスライド）

[1] P. Prasithsangaree and P. Krishnamurthy (2003). Analysis of Energy Consumption of RC4 and AES Algorithms in Wireless LANs.

[Leyden20130906-2] John Leyden (2013年ねん9月がつ6日にち). “That earth-shattering NSA crypto-cracking: Have spooks smashed RC4?”. The Register. 2013年ねん12月4日にち閲覧えつらん。

[3] “Security Advisory 2868725: Recommendation to disable RC4”. Microsoft (2013年ねん11月12日にち). 2013年ねん12月4日にち閲覧えつらん。

[4] “マイクロソフトセキュリティアドバイザリ 2868725 - RC4 を使用しよう禁止きんしにするための更新こうしんプログラム”. Microsoft (2013年ねん11月13日にち). 2014年ねん10月がつ10日とおか閲覧えつらん。

[5] “draft-ietf-tls-prohibiting-rc4-01 - Prohibiting RC4 Cipher Suites” (2014年ねん10月がつ1日にち). 2014年ねん10月がつ8日にち閲覧えつらん。

[6] security – Safest ciphers to use with the BEAST? (TLS 1.0 exploit) I've read that RC4 is immune – Server Fault

[community.qualys-7] vanr. “RC4 in TLS is Broken: Now What?”. Qualsys Security Labs. 2013年ねん7月がつ30日にち閲覧えつらん。

[8] Pouyan Sepehrdad, Serge Vaudenay, Martin Vuagnoux (2011). “Discovery and Exploitation of New Biases in RC4”. Lecture Notes in Computer Science 6544: 74–91. doi:10.1007/978-3-642-19574-7_5.

[9] Green, Matthew. “Attack of the week: RC4 is kind of broken in TLS”. Cryptography Engineering. 2014年ねん6月がつ24日にち閲覧えつらん。

[10] Nadhem AlFardan, Dan Bernstein, Kenny Paterson, Bertram Poettering and Jacob Schuldt. “On the Security of RC4 in TLS”. Royal Holloway University of London. 2014年ねん6月がつ24日にち閲覧えつらん。

[11] AlFardan, Nadhem J.; Bernstein, Daniel J.; Paterson, Kenneth G.; Poettering, Bertram; Schuldt, Jacob C. N. (8 July 2013) (PDF). On the Security of RC4 in TLS and WPA 2014年ねん6月がつ24日にち閲覧えつらん。.

[12] AlFardan, Nadhem J.; Bernstein, Daniel J.; Paterson, Kenneth G.; Poettering, Bertram; Schuldt, Jacob C. N. (15 August 2013). On the Security of RC4 in TLS (PDF). 22nd USENIX Security Symposium. p. 51. 2014年ねん6月がつ24日にち閲覧えつらん。Plaintext recovery attacks against RC4 in TLS are feasible although not truly practical

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

概要がいよう

歴史れきし

安全あんぜん性せい

関連かんれん項目こうもく

脚注きゃくちゅう

外部がいぶリンク