メッセージ認証コード

暗号化において、メッセージ認証コード( MAC ) は、認証タグとも呼ばれ、メッセージの認証と整合性チェックに使用される短い情報です。つまり、メッセージが指定された送信者から送信されたこと (信頼性) と、変更されていないこと (整合性) を確認します。MAC 値により、検証者 (秘密鍵も所有) はメッセージコンテンツの変更を検出できます。

用語

メッセージ整合性コード（MIC）という用語は、特に通信^{[1]において、}メディアアクセス制御アドレス（MACアドレス）としてのMACという用語の使用と区別するために頻繁に使用されます。ただし、一部の著者^[2]は、 MICを、単一のメッセージを一意に、しかし不透明に識別することのみを目的としたメッセージダイジェストを指すために使用しています。RFC 4949では、メッセージ整合性コード（MIC）という用語を避け、代わりにチェックサム、エラー検出コード、ハッシュ、キー付きハッシュ、メッセージ認証コード、または保護されたチェックサムを使用することを推奨しています。

定義

非公式には、メッセージ認証コードシステムは次の 3 つのアルゴリズムで構成されます。

キー生成アルゴリズムは、キー空間からキーを均一にランダムに選択します。
MAC 生成アルゴリズムは、キーとメッセージが与えられた場合にタグを効率的に返します。
検証アルゴリズムは、同じキーとタグが与えられた場合、メッセージの信頼性を効率的に検証します。つまり、メッセージとタグが改ざんまたは偽造されていない場合はaccepted を返し、そうでない場合はdeclined を返します。

安全なメッセージ認証コードは、既知のメッセージや選択されたメッセージの条件下を含め、任意のメッセージ、選択されたメッセージ、またはすべてのメッセージのタグを偽造しようとする攻撃者による攻撃に耐えなければなりません。最悪の場合、攻撃者が問題のメッセージ以外のメッセージのタグを知っていると仮定したとしても、キーを知らずに特定のメッセージの有効なタグを計算することは計算上不可能である必要があります。^[3]

正式には、メッセージ認証コード（MAC ）システムは、次の条件を満たす効率的な^[4]アルゴリズム（G、S、V ）の3つから構成される。

G (キージェネレータ) は入力1 ⁿに対してキーk を生成します。ここでnはセキュリティパラメータです。
S （署名）は、キーkと入力文字列xのタグtを出力します。
V (検証) は、入力 (キーk、文字列x、タグt )に対して承認または拒否された出力を行います。

SとV は以下を満たす必要があります。

Pr [k \leftarrow G (1 n), V (k, x, S (k, x) ) = 受け入れられる] = 1

。^[5]

MACが偽造不可能なのは、あらゆる効率的な敵対者Aに対して、

Pr [k \leftarrow G (1 n), (x, t) \leftarrow A S (k, \cdot ) (1 n), x \notin Query(A S (k, \cdot ), 1 n), V (k, x, t) = accepted] < negl(n)

,

ここで、AS ⁽^k^,^·)は^AがオラクルS ( k ,·)にアクセスできることを示し、Query( AS ⁽^k^,·) ,1n ⁾はnを知っているAによるSへのクエリの集合を示す。明らかに、いかなる敵対者もS上の文字列xを直接クエリできないことが必要である。そうでなければ、その敵対者は有効なタグを簡単に取得できるためである。^[6]

安全

MAC 関数は暗号化ハッシュ関数に似ていますが、セキュリティ要件が異なります。MAC 関数が安全であるとみなされるためには、選択メッセージ攻撃による存在偽造に耐性を持つ必要があります。つまり、攻撃者が秘密鍵を持ち、攻撃者が選択したメッセージの MAC を生成するオラクルにアクセスできる場合でも、攻撃者は実行不可能な量の計算を行わずに、他のメッセージ (オラクルへのクエリに使用されていないメッセージ) の MAC を推測することはできません。

MAC はデジタル署名とは異なり、MAC 値は同じ秘密鍵を使用して生成および検証されます。これは、対称暗号化の場合と同様に、メッセージの送信者と受信者が通信を開始する前に同じ鍵に同意する必要があることを意味します。同じ理由で、ネットワーク全体で共有された秘密鍵の場合、特に MAC は署名が提供する否認不可の特性を提供しません。つまり、MAC を検証できるユーザーは、他のメッセージの MAC を生成することもできます。対照的に、デジタル署名は、公開鍵暗号化である鍵ペアの秘密鍵を使用して生成されます。^[4]この秘密鍵には所有者のみがアクセスできるため、デジタル署名は、文書が他でもないその所有者によって署名されたことを証明します。したがって、デジタル署名は否認不可を提供します。ただし、否認不可は、鍵使用情報を MAC 鍵に安全にバインドするシステムによって提供できます。同じ鍵を 2 人の人が所有していますが、1 人は MAC 生成に使用できる鍵のコピーを所有し、もう 1 人はMAC 検証のみを許可するハードウェアセキュリティモジュールに鍵のコピーを所有しています。これは金融業界でよく行われています。^[^要出典^]

MACの主な目的は、秘密鍵を知らない敵による偽造を防ぐことですが、特定のシナリオではこれでは不十分です。敵がMAC鍵を制御できる場合、ハッシュ関数の衝突耐性や原像セキュリティに似た、より強力な保証が必要です。MACの場合、これらの概念はコミットメントセキュリティとコンテキスト検出セキュリティとして知られています。^[7]

実装

MACアルゴリズムは、暗号ハッシュ関数（ HMACの場合）やブロック暗号アルゴリズム（OMAC、CCM、GCM、PMAC ）などの他の暗号プリミティブから構築することができます。しかし、 UMAC - VMACやPoly1305-AESなどの最速のMACアルゴリズムの多くは、ユニバーサルハッシュに基づいて構築されています。^[8]

SipHashのような本質的に鍵を持つハッシュアルゴリズムも定義上はMACであり、ユニバーサルハッシュベースのMACよりもさらに高速です。^[9]

さらに、MAC アルゴリズムは、2 つ以上の暗号化プリミティブを意図的に組み合わせて、後でそのうちの 1 つが脆弱であることが判明した場合でも保護を維持できます。たとえば、トランスポート層セキュリティ(TLS) バージョン 1.2 より前では、入力データは半分に分割され、それぞれが異なるハッシュプリミティブ ( SHA-1とSHA-2 )で処理され、その後XORされて MAC が出力されます。

ワンタイムMAC

ユニバーサルハッシュ、特にペアワイズ独立ハッシュ関数は、キーが最大1回使用される限り、安全なメッセージ認証コードを提供します。これは、認証のためのワンタイムパッドと見なすことができます。^[10]

最も単純なペアワイズ独立ハッシュ関数はランダムキー key = ( a , b )によって定義され、メッセージmの MAC タグはtag = ( am + b ) mod pとして計算されます（pは素数です）。

より一般的には、k方向に独立したハッシュ関数では、キーがk回未満しか使用されない限り、k方向に独立したハッシュ関数によって安全なメッセージ認証コードが提供されます。

メッセージ認証コードとデータ発信元認証も量子暗号の枠組みの中で議論されてきた。鍵配布などの他の暗号化タスクとは対照的に、かなり広いクラスの量子MACでは、量子リソースは無条件に安全なワンタイムの古典的なMACに比べて何の利点も提供しないことが示されている。^[11]

標準

MAC アルゴリズムを定義するさまざまな標準が存在します。これには次のものが含まれます。

FIPS PUB 113コンピュータデータ認証^[12]は2002年に撤回されましたが、^[13]はDESに基づくアルゴリズムを定義しています。
FIPS PUB 198-1鍵付きハッシュメッセージ認証コード（HMAC）^[14]
NIST SP800-185 SHA-3派生関数: cSHAKE、KMAC、TupleHash、ParallelHash ^[15]
ISO/IEC 9797-1 ブロック暗号を用いたメカニズム^[16]
ISO /IEC 9797-2専用ハッシュ関数を使用するメカニズム^[17]
ISO /IEC 9797-3ユニバーサルハッシュ関数を使用するメカニズム^[18]
ISO /IEC 29192-6軽量暗号 - メッセージ認証コード^[19]

ISO/IEC 9797-1 および -2 は、あらゆるブロック暗号またはハッシュ関数で使用できる汎用モデルとアルゴリズム、およびさまざまなパラメータを定義します。これらのモデルとパラメータを使用すると、パラメータを指定して、より具体的なアルゴリズムを定義できます。たとえば、FIPS PUB 113 アルゴリズムは、パディングメソッド 1 とブロック暗号アルゴリズム DES を使用した ISO/IEC 9797-1 MAC アルゴリズム 1 と機能的に同等です。

MACの使用例

^[20]この例では、メッセージの送信者はメッセージをMACアルゴリズムに通してMACデータタグを生成します。その後、メッセージとMACタグが受信者に送信されます。受信者は、同じキーを使用して同じMACアルゴリズムにメッセージ部分を実行し、2番目のMACデータタグを生成します。次に、受信者は送信時に受信した最初のMACタグと2番目に生成されたMACタグを比較します。これらが同一であれば、受信者はメッセージが送信中に変更または改ざんされていないと安全に想定できます（データ整合性）。

ただし、受信者がリプレイ攻撃を検出できるようにするには、メッセージ自体に、同じメッセージが 1 回しか送信できないことを保証するデータ (タイムスタンプ、シーケンス番号、ワンタイム MAC の使用など) が含まれている必要があります。そうしないと、攻撃者はメッセージの内容を理解しなくても、このメッセージを記録し、後で再生して、元の送信者と同じ結果を生み出す可能性があります。

参照

注記

^ IEEE 情報技術標準 - システム間の通信および情報交換 - ローカルおよびメトロポリタンエリアネットワーク - 特定の要件 - パート 11: ワイヤレス LAN メディアアクセス制御 (MAC) および物理層 (PHY) 仕様(PDF) (2007 年改訂)。IEEE -SA。2007年 6 月 12 日。doi : 10.1109 / IEEESTD.2007.373646。ISBN 978-0-7381-5656-92008年10月13日時点のオリジナル（PDF）よりアーカイブ。
^ 「CS 513 システムセキュリティ - ハッシュとメッセージダイジェスト」www.cs.cornell.edu 。 2023年12月20日閲覧。
^ 最も強力な敵は、鍵を知らなくても署名アルゴリズムにアクセスできると想定されます。ただし、最終的に偽造されたメッセージは、以前に署名アルゴリズムを照会するために選択したメッセージと異なる必要があります。def 134.2 の前の Pass の議論を参照してください。
^ ab 理論的には、効率的なアルゴリズムは確率多項式時間内で実行されます。
^ パス、防御率 134.1
^ パス、防御率 134.2
^ バウミク、リタム;チャクラボルティ、ビシュワジット。チェ・ウォンソク。ダッタ、アビジット。ゴビンデン、ジェローム。沈耀斌（2024）。「汎用構成へのアプリケーションによる MAC のセキュリティの確保」。レオニードのレイジンで。ステビラ、ダグラス (編)。暗号学の進歩 – CRYPTO 2024。コンピューターサイエンスの講義ノート。 Vol. 14923. チャム: Springer Nature スイス。 425–462ページ。土井：10.1007/978-3-031-68385-5_14。ISBN 978-3-031-68385-5。
^ 「VMAC: ユニバーサルハッシュを使用したメッセージ認証コード」CFRGワーキンググループ。 2010年3月16日閲覧。
^ Jean-Philippe Aumasson & Daniel J. Bernstein (2012 年 9 月 18 日). 「SipHash: 高速なショート入力 PRF」(PDF)。
^ Simmons, Gustavus (1985)。「認証理論/コーディング理論」。暗号学の進歩 - CRYPTO 84 議事録。ベルリン: Springer。pp. 411–431。
^ Nikolopoulos, Georgios M.; Fischlin, Marc (2020). 「量子および古典リソースによる情報理論的に安全なデータ発信元認証」.暗号化. 4 (4): 31. arXiv : 2011.06849 . doi : 10.3390/cryptography4040031 . S2CID 226956062.
^ 「FIPS PUB 113 コンピュータデータ認証」。2011年9月27日時点のオリジナルよりアーカイブ。2010年10月10日閲覧。
^ 「連邦情報処理標準出版物、FIPS 番号別リストの撤回」。2010 年 8 月 1 日時点のオリジナルよりアーカイブ。2010年10 月 10 日閲覧。
^ 「キー付きハッシュメッセージ認証コード（HMAC）」（PDF）。 2023年12月20日閲覧。
^ SHA-3 派生関数 nvlpubs.nist.gov
^ 「ISO/IEC 9797-1:2011」。ISO 。 2023年12月20日閲覧。
^ 「ISO/IEC 9797-2:2011」。ISO 。 2023年12月20日閲覧。
^ 「ISO/IEC 9797-3:2011」。ISO 。 2023年12月20日閲覧。
^ 「ISO/IEC 29192-6:2019」。ISO 。 2023年12月20日閲覧。
^ 「Mac セキュリティ概要」、Mac® セキュリティバイブル、Wiley Publishing, Inc.、2011 年 11 月 1 日、pp. 1–26、doi :10.1002/9781118257739.ch1、ISBN 9781118257739

参考文献

ゴールドライヒ、オデッド（2001）、暗号の基礎I：基本ツール、ケンブリッジ：ケンブリッジ大学出版局、ISBN 978-0-511-54689-1
ゴールドライヒ、オデッド（2004）、暗号の基礎 II：基本的なアプリケーション（第 1 版）、ケンブリッジ [ua]：ケンブリッジ大学出版局、ISBN 978-0-521-83084-3
パス、ラファエル、暗号化講座(PDF) 、 2015 年12 月 31 日取得^[1]

外部リンク

MAC に関する RSA 研究所のエントリ
MAC に関するロン・リベストの講義

^ 11-12-20C8

[1] IEEE 情報技術標準 - システム間の通信および情報交換 - ローカルおよびメトロポリタンエリアネットワーク - 特定の要件 - パート 11: ワイヤレス LAN メディアアクセス制御 (MAC) および物理層 (PHY) 仕様(PDF) (2007 年改訂)。IEEE -SA。2007年 6 月 12 日。doi : 10.1109 / IEEESTD.2007.373646。ISBN 978-0-7381-5656-92008年10月13日時点のオリジナル（PDF）よりアーカイブ。

[2] 「CS 513 システムセキュリティ - ハッシュとメッセージダイジェスト」www.cs.cornell.edu 。 2023年12月20日閲覧。

[3] 最も強力な敵は、鍵を知らなくても署名アルゴリズムにアクセスできると想定されます。ただし、最終的に偽造されたメッセージは、以前に署名アルゴリズムを照会するために選択したメッセージと異なる必要があります。def 134.2 の前の Pass の議論を参照してください。

[:1-4] 理論的には、効率的なアルゴリズムは確率多項式時間内で実行されます。

[5] パス、防御率 134.1

[6] パス、防御率 134.2

[7] バウミク、リタム;チャクラボルティ、ビシュワジット。チェ・ウォンソク。ダッタ、アビジット。ゴビンデン、ジェローム。沈耀斌（2024）。「汎用構成へのアプリケーションによる MAC のセキュリティの確保」。レオニードのレイジンで。ステビラ、ダグラス (編)。暗号学の進歩 – CRYPTO 2024。コンピューターサイエンスの講義ノート。 Vol. 14923. チャム: Springer Nature スイス。 425–462ページ。土井：10.1007/978-3-031-68385-5_14。ISBN 978-3-031-68385-5。

[8] 「VMAC: ユニバーサルハッシュを使用したメッセージ認証コード」CFRGワーキンググループ。 2010年3月16日閲覧。

[SipHash-9] Jean-Philippe Aumasson & Daniel J. Bernstein (2012 年 9 月 18 日). 「SipHash: 高速なショート入力 PRF」(PDF)。

[:0-10] Simmons, Gustavus (1985)。「認証理論/コーディング理論」。暗号学の進歩 - CRYPTO 84 議事録。ベルリン: Springer。pp. 411–431。

[11] Nikolopoulos, Georgios M.; Fischlin, Marc (2020). 「量子および古典リソースによる情報理論的に安全なデータ発信元認証」.暗号化. 4 (4): 31. arXiv : 2011.06849 . doi : 10.3390/cryptography4040031 . S2CID 226956062.

[12] 「FIPS PUB 113 コンピュータデータ認証」。2011年9月27日時点のオリジナルよりアーカイブ。2010年10月10日閲覧。

[13] 「連邦情報処理標準出版物、FIPS 番号別リストの撤回」。2010 年 8 月 1 日時点のオリジナルよりアーカイブ。2010年10 月 10 日閲覧。

[14] 「キー付きハッシュメッセージ認証コード（HMAC）」（PDF）。 2023年12月20日閲覧。

[15] SHA-3 派生関数 nvlpubs.nist.gov

[16] 「ISO/IEC 9797-1:2011」。ISO 。 2023年12月20日閲覧。

[17] 「ISO/IEC 9797-2:2011」。ISO 。 2023年12月20日閲覧。

[18] 「ISO/IEC 9797-3:2011」。ISO 。 2023年12月20日閲覧。

[19] 「ISO/IEC 29192-6:2019」。ISO 。 2023年12月20日閲覧。

[20] 「Mac セキュリティ概要」、Mac® セキュリティバイブル、Wiley Publishing, Inc.、2011 年 11 月 1 日、pp. 1–26、doi :10.1002/9781118257739.ch1、ISBN 9781118257739

[21] 11-12-20C8