認証された暗号化

認証暗号化（AE）は、データの機密性（プライバシーとも呼ばれる：暗号化されたメッセージは秘密鍵を知らなければ理解できない^[1]）と真正性（言い換えれば偽造不可能：^[2]暗号化されたメッセージには、送信者が秘密鍵を持っている場合にのみ計算できる認証タグが含まれている^[1]）を同時に保証する暗号化方式です。AEを提供する暗号化モードの例には、 GCM、CCMがあります。^[1]

多くの（ただしすべてではない）AE 方式では、メッセージに「関連データ」（AD）を含めることができます。このデータには機密性はありませんが、整合性は保護されています（つまり、読み取りは可能ですが、改ざんは検出されます）。典型的な例は、宛先アドレスを含むネットワーク パケットのヘッダーです。パケットを適切にルーティングするには、メッセージ パス内のすべての中間ノードが宛先を知っている必要がありますが、セキュリティ上の理由から、秘密鍵を所有することはできません。^{[3]関連データを許可する方式では、関連データによる認証暗号化、つまり}AEAD が提供されます。^[3]

AE 実装の 一般的なプログラミング インターフェイスは、次の機能を提供します。

• 暗号化
  • 入力:プレーンテキスト、キー、およびオプションでヘッダー(追加認証データ、AAD、または関連データ、ADとも呼ばれる)。プレーンテキストは暗号化されませんが、信頼性保護の対象となります。
  • 出力:暗号テキストと認証タグ(メッセージ認証コードまたは MAC)。
• 復号化
  • 入力:暗号文、キー、認証タグ、およびオプションでヘッダー(暗号化中に使用される場合)。
  • 出力:プレーンテキスト、または認証タグが指定された暗号テキストまたはヘッダーと一致しない場合はエラー。

ヘッダー部分は、機密性は不要だが信頼性が求められるネットワークまたはストレージ メタデータの信頼性と整合性の保護を提供することを目的としています。

認証付き暗号化の必要性は、別々の機密性と認証ブロック暗号操作モードを安全に組み合わせるとエラーが発生しやすく、困難になる可能性があるという観察から生まれました。 ^{[4] [5]}これは、誤った実装や認証の欠如によって実稼働プロトコルやアプリケーションに導入された多くの実際の攻撃によって確認されました。^[6]

2000 年頃、正しい実装を保証するモードの標準化という概念を中心に、多くの取り組みが進められました。特に、2000 年に Charanjit Jutla が完全性を考慮した CBC モードと完全性を考慮した並列化可能なIAPM モード^{[7]を発表したことで、安全なモードへの関心が高まりました (} OCBと年表^[8]を参照)。6 つの異なる認証暗号化モード (オフセット コードブック モード 2.0、OCB  2.0、キー ラップ、CBC-MAC によるカウンター、CCM、暗号化してから認証してから変換、EAX、暗号化してから MAC、EtM、ガロア/カウンター モード、GCM) が ISO/IEC 19772:2009 で標準化されています。^[9] NIST の要請に応じて、より多くの認証暗号化方式が開発されました。^[10] スポンジ関数は、デュプレックス モードで使用して認証暗号化を提供できます。^[11]

Bellare と Namprempre (2000) は、暗号化と MAC プリミティブの 3 つの組み合わせを分析し、メッセージを暗号化し、その後暗号文に MAC を適用する (Encrypt-then-MAC アプローチ) と、両方の関数が最低限必要なプロパティを満たしていれば、適応型選択暗号文攻撃に対するセキュリティが確保されることを実証しました。Katz と Yung は、この概念を「偽造不可能な暗号化」という名前で調査し、選択暗号文攻撃に対するセキュリティが確保されることを証明しました。^[12]

2013年には、認証暗号化モードの設計を奨励するためにCAESARコンペティションが発表されました。^[13]

2015 年に、ChaCha20-Poly1305がIETFプロトコルのGCMの代替 AE 構築として追加されました。

関連データ付き認証暗号化 (AEAD) は、メッセージに「関連データ」(AD、追加の非機密情報、別名「追加の認証データ」、AAD) を含めることができる AE の変種です。受信者は、メッセージ内の関連データと機密情報の両方の整合性をチェックできます。AD は、たとえば、ルーティングのためにヘッダーを表示する必要があるが、ペイロードは機密である必要があり、整合性と信頼性の両方が必要なネットワーク パケットで役立ちます。AEAD の概念は、Rogaway (2002) によって形式化されました。^[3]

AE はもともと、暗号文の整合性を提供するために主に設計された。つまり、アリスが対称鍵 K _{A を使用して認証タグの検証に成功すると、メッセージが K A を}持たない敵対者マロリーによって改ざんされていないことが示される。AE スキームは通常、鍵コミットメント、つまり他の鍵では復号が失敗することを保証するものを提供しない。^{[14] 2021年の時点で、ほとんどの既存の AE スキーム（非常に人気のある GCM を含む）では、（正しい） K} _Aだけでなく、複数の鍵を使用しても一部のメッセージをエラーなく復号できる。2番目の（間違った）鍵 K _{M を}使用して復号した平文は正しくないものの、認証タグは一致します。^[要出典]このような特性を持つメッセージを作成するには、マロリーがすでに K _Aと K _{M の}両方を所有している必要があるため、この問題は純粋に学術的な関心事の1つであるように見えるかもしれない。^[15]ただし、特殊な状況下では、脆弱な実装に対して実用的な攻撃を仕掛けることができる。たとえば、ID 認証プロトコルがパスワードベースのキーを使用するメッセージの復号化に成功することに基づいている場合、マロリーは、弱い潜在的なパスワードに関連付けられた 1000 個の異なるキーを使用して復号化に成功する単一のメッセージを作成する能力を持っているため、パスワードの検索をほぼ 1000 倍高速化できます。この辞書攻撃が成功するには、マロリーは、たとえばプロトコルの設計や実装が不十分でアリス側がオラクルになってしまうなど、アリスによる復号化の成功と失敗を区別する能力も必要です。当然、キーがランダムに生成される場合、この攻撃はまったく実行できません。^[16]

キーコミットメントは、もともと2010年代にアブダラら^[17]とファルシムら^[18]によって「堅牢な暗号化」という名前で研究されました。^{[15] [19]}

「オラクル」を削除せずに上記の攻撃を軽減するには、この種の細工されたメッセージの存在を許可しないキーコミットAEADを使用できます。AEGISは、高速（ AES命令セットが存在する場合）なキーコミットAEADの例です。^[20]既存のAEADスキームにキーコミットを追加することができます。^{[21] [22]}

まず平文が暗号化され、次にその結果の暗号文に基づいてMACが生成されます。暗号文とそのMACは一緒に送信されます。ETMはISO/IEC 19772:2009に準拠した標準方式です。^[9]これはAEにおけるセキュリティの最高定義に到達できる唯一の方法ですが、これは使用されるMACが「強力に偽造不可能」である場合にのみ達成できます。^[23]

IPSecは2005年にEtMを採用しました。^[24] 2014年11月、TLSとDTLSはRFC  7366でEtMの拡張を受け取りました。SSHv2にもさまざまなEtM暗号スイートが存在します（例：hmac-sha1-etm@openssh.com）。

平文に基づいてMACを生成し、平文をMACなしで暗号化する。平文のMACと暗号文は一緒に送信される。例えば、SSHで使用される。^[25] E&Mアプローチ自体は強力な偽造不可能性があることが証明されていないが、^[23] SSHにいくつかの小さな変更を加えることで、このアプローチにもかかわらず強力な偽造不可能性を実現することができる。 ^[26]

平文に基づいてMACが生成され、次に平文とMACが一緒に暗号化されて、両方に基づく暗号文が生成されます。暗号文（暗号化されたMACを含む）が送信されます。TLS 1.2までは、利用可能なSSL/TLS 暗号スイートはすべてMtEでした。^[27]

MtE 自体は、強力に偽造不可能であることが証明されていません。^[23] SSL/TLS実装は、 Krawczykによって強力に偽造不可能であることが証明されています。Krawczykは、SSL/TLS が実際には MtE メカニズムとともに使用されるエンコードにより安全であることを示しました。^{[28]しかし、Krawczyk の証明には、}初期化ベクトル(IV)のランダム性に関する誤った仮定が含まれています。2011 年の BEAST 攻撃は、ランダムでない連鎖 IV を悪用し、TLS 1.0 以下のすべての CBC アルゴリズムを破りました。^[29]

さらに、SSL/TLS のより詳細な分析により、保護は MAC、パディング、暗号化の順にモデル化されました。つまり、プレーンテキストは最初に暗号化関数のブロック サイズに合わせてパディングされます。パディング エラーは、多くの場合、受信者側で検出可能なエラーを引き起こし、それがLucky Thirteenなどのパディング オラクル攻撃につながります。

• ブロック暗号の動作モード
• CCMモード
• CWCモード
• OCBモード
• EAXモード
• グローバルCM
• GCM-SIV
• チャチャ20-ポリ1305
• SGCM
• 署名暗号化

一般的な

• Bellare, M.; Namprempre, C. (2000)、「認証暗号化: 概念間の関係とジェネリック構成パラダイムの分析」、T. Okamoto (編)、Advances in Cryptology — ASIACRYPT 2000 (PDF)、Lecture Notes in Computer Science、vol. 1976、Springer-Verlag、pp. 531–545、doi : 10.1007/3-540-44448-3_41、ISBN 978-3-540-41404-9

• Katz, J.; Lindell, Y. (2020)。現代暗号入門。Chapman & Hall/CRC 暗号とネットワークセキュリティシリーズ。CRC Press。ISBN 978-1-351-13301-2. 2023年6月8日閲覧。
• Black, J. (2005). 「認証された暗号化」.暗号化とセキュリティの百科事典. Springer US. pp. 11–21. doi :10.1007/0-387-23483-7_15. ISBN 978-0-387-23473-1。
• Albertini, Ange; Duong, Thai; Gueron, Shay; Kölbl, Stefan; Luykx, Atul; Schmieg, Sophie (2020)。「キーコミットメントなしで認証された暗号化を悪用および修正する方法」(PDF)。USENIX。
• Bellare, Mihir; Hoang, Viet Tung (2022)。「認証された暗号化を実行するための効率的なスキーム」(PDF)。EUROCRYPT 2022。
• Abdalla, Michel; Bellare, Mihir ; Neven, Gregory (2010)。「堅牢な暗号化」。暗号理論。第 5978 巻。ベルリン、ハイデルベルク: Springer Berlin Heidelberg。doi :10.1007 / 978-3-642-11799-2_28。ISBN 978-3-642-11798-5。
• Farshim, Pooya; Libert, Benoît; Paterson , Kenneth G.; Quaglia, Elizabeth A. (2013)。「堅牢な暗号化の再考」。公開鍵暗号 - PKC 2013。第 7778 巻。ベルリン、ハイデルベルク: Springer Berlin Heidelberg。doi : 10.1007 /978-3-642-36362-7_22。ISBN 978-3-642-36361-0。
• Chan, John; Rogaway, Phillip (2022). 「認証暗号化のコミットについて」。コンピュータセキュリティ – ESORICS 2022。第13555巻。Cham: Springer Nature Switzerland。doi :10.1007 / 978-3-031-17146-8_14。ISBN 978-3-031-17145-1。