BLAKE (ハッシュ関数)

BLAKE はDaniel J. BernsteinのChaChaストリーム暗号に基づく暗号化ハッシュ関数ですが、各 ChaCha ラウンドの前に、ラウンド定数でXOR された入力ブロックの並べ替えられたコピーが追加されます。 SHA-2と同様に、ワードサイズの異なる 2 つのバリアントがあります。 ChaCha は 4×4 のワード配列で動作します。 BLAKE は、8 ワードのハッシュ値と 16 のメッセージ ワードを繰り返し結合し、ChaCha の結果を切り捨てて次のハッシュ値を取得します。BLAKE-256とBLAKE-224 は32 ビットのワードを使用し、それぞれ 256 ビットと 224 ビットのダイジェスト サイズを生成します。一方、BLAKE-512とBLAKE-384 は64 ビットのワードを使用し、それぞれ 512 ビットと 384 ビットのダイジェスト サイズを生成します。

BLAKE をベースにした BLAKE2 ハッシュ関数は 2012 年に発表されました。BLAKE2 をベースにした BLAKE3 ハッシュ関数は 2020 年に発表されました。

BLAKE は、Jean-Philippe Aumasson、Luca Henzen、Willi Meier、Raphael C.-W. Phan によってNIST ハッシュ関数コンペティションに提出されました。2008 年には 51 件のエントリーがありました。BLAKE は 5 人の候補者からなる最終ラウンドに進みましたが、2012 年にSHA-3アルゴリズムに選ばれたKeccakに敗れました。

SHA-2と同様に、BLAKE には 2 つのバリエーションがあります。1 つは 32 ビット ワードを使用し、最大 256 ビット長のハッシュの計算に使用され、もう 1 つは 64 ビット ワードを使用し、最大 512 ビット長のハッシュの計算に使用されます。コア ブロック変換では、16 ワードの入力と 16 個の作業変数が結合されますが、ブロック間で保持されるのは 8 ワード (256 ビットまたは 512 ビット) のみです。

これは、16 個の定数ワード ( πの小数部の先頭 512 ビットまたは 1024 ビット) のテーブルと、10 個の 16 要素順列のテーブルを使用します。

σ[0] = 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15
σ[1] = 14 10 4 8 9 15 13 6 1 12 0 2 11 7 5 3
σ[2] = 11 8 12 0 5 2 15 13 10 14 3 6 7 1 9 4
σ[3] = 7 9 3 1 13 12 11 14 2 6 5 10 4 0 15 8
σ[4] = 9 0 5 7 2 4 10 15 14 1 11 12 6 8 3 13
σ[5] = 2 12 6 10 0 11 8 3 4 13 7 5 15 14 1 9
σ[6] = 12 5 1 15 14 13 4 10 0 7 6 3 9 2 8 11
σ[7] = 13 11 7 14 12 1 3 9 5 0 15 4 8 6 2 10
σ[8] = 6 15 14 9 11 3 0 8 12 2 13 7 1 4 10 5
σ[9] = 10 2 8 4 7 6 1 5 15 11 9 14 3 12 13 0

コア操作は、ChaCha の 1/4 ラウンドに相当し、2 ワードのメッセージと 2 つの定数ワードa b c dを組み合わせた4 ワードの列または対角線に対して実行されます。これは、1 ラウンドあたり 8 回実行されます。 m[]n[]

j ← σ[r%10][2×i]             // インデックス計算
k ← σ[r%10][2×i+1]
a ← a + b + (m[j] ⊕ n[k])    // ステップ1（入力あり）
d ← (d ⊕ a) >>> 16
c ← c + d                    // ステップ 2 (入力なし)
b ← (b ⊕ c) >>> 12
a ← a + b + (m[k] ⊕ n[j])    // ステップ3（入力あり）
d ← (d ⊕ a) >>> 8
c ← c + d                    // ステップ4（入力なし）
b ← (b ⊕ c) >>> 7

上記では、rは丸い数字 (0～13) であり、i0 から 7 まで変化します。

ChaCha のクォーターラウンド機能との違いは次のとおりです。

• メッセージワードの追加が追加されました。
• 回転方向が逆になりました。

「BLAKE は ChaCha ストリーム暗号の順列を、逆方向に回転させて再利用します。高度な最適化を疑う人もいますが、実際には元の BLAKE 仕様のタイプミスに由来しています」と Jean-Philippe Aumasson は「Crypto Dictionary」で説明しています。^[1]

64 ビット バージョン (ChaCha には存在しません) は同じですが、回転量はそれぞれ 32、25、16、11 で、ラウンド数は 16 に増加されます。

NIST ハッシュ関数コンテスト全体を通じて、参加者は発見された問題に対処するためにアルゴリズムを「微調整」することが許可されています。BLAKE に加えられた変更は、ラウンド数が 10/14 から 14/16 に増加されたことです。これは、高速性を維持しながら、セキュリティに関してより保守的になるためです。

空の文字列のハッシュ値:

ブレイク-224("") =
7dc5313b1c04512a174bd6503b89607aecbee0903d40a8a569c94eed
ブレイク-256("") =
716f6e863f744b9ac22c97ec7b76ea5f5908bc5b2f67c61510bfc4751384ea7a
ブレイク-384("") =
c6cbd89c926ab525c242e6621f2f5fa73aa4afe3d9e24aed727faaadd6af38b620bdb623dd2b4788b1c8086984af8706
ブレイク-512("") =
a8cfbbd73726062df0c6864dda65defe58ef0cc52a5625090fa17601e1eecd1b628e94f396ae402a00acc9eab77b4d4c2e852aaaa25a636d80af3fc7913ef5b8

1 ビットを変更すると、出力の各ビットが 50% の確率で変更され、雪崩効果が発生します。

BLAKE-512("素早い茶色のキツネが怠け者の犬を飛び越える") =
1f7e26f63b6ad25a0896fd978fd050a1766391d2fd0471a77afb975e5034b7ad2d9ccf8dfb47abbbe656e1b82fbc634ba42ce186e8dc5e1ce09a885d41f43451
BLAKE-512("素早い茶色のキツネは怠け者のドフを飛び越える" ) =
a701c2a1f9baabd8b1db6b75aee096900276f0b86dc15d247ecc03937b370324a16a4ffc0c3a85cd63229cfa15c15f4ba6d46ae2e849ed6335e9ff43b764198a

(この例では、雪崩のランダムな性質により、512 ビットのうち 266 ビットが一致する割合は約 52% になります。)

BLAKE2 は、Jean-Philippe Aumasson、Samuel Neves、 Zooko Wilcox-O'Hearn、Christian Winnerleinによって作成された BLAKE に基づく暗号化ハッシュ関数です。設計目標は、ソフトウェアで高いパフォーマンスが求められるアプリケーションで、広く使用されているが壊れているMD5およびSHA-1アルゴリズムを置き換えることでした。BLAKE2 は 2012 年 12 月 21 日に発表されました。^[3]リファレンス実装は、 CC0、OpenSSL ライセンス、およびApache ライセンス 2.0の下で利用可能です。^{[4] [5]}

BLAKE2bは、64ビットx86-64およびARMアーキテクチャ上で、MD5、SHA-1、SHA-2、SHA-3よりも高速です。^{[4] BLAKE2は、}長さ拡張に対する耐性、ランダムオラクルとの区別不能性など、 SHA-2よりも優れたセキュリティを提供し、SHA-3と同様のセキュリティを提供します。^[6]

BLAKE2 は、BLAKE ラウンド関数からメッセージ ワードへの定数の追加を削除し、2 つの回転定数を変更し、パディングを簡素化し、初期化ベクトルと XOR 演算されるパラメーター ブロックを追加し、BLAKE2b (BLAKE-512 の後継) の場合はラウンド数を 16 から 12 に、 BLAKE2s (BLAKE-256 の後継) の場合はラウンド数を 14 から 10 に削減します。

BLAKE2 は、キーイング、ソルト、パーソナライゼーション、ハッシュ ツリー モードをサポートし、BLAKE2b の場合は 1 ～ 64 バイト、BLAKE2s の場合は 32 バイトまでのダイジェストを出力できます。また、マルチコア プロセッサでのパフォーマンス向上のために設計された並列バージョン、BLAKE2bp (4 ウェイ並列) とBLAKE2sp (8 ウェイ並列) もあります。

BLAKE2Xは拡張可能出力関数(XOF)のファミリーです。BLAKE2 は 64 バイトのダイジェストに制限されていますが、BLAKE2X は最大 256 GiB のダイジェストを許可します。BLAKE2X 自体はハッシュ関数のインスタンスではなく、実際の BLAKE2 インスタンスに基づいている必要があります。BLAKE2X インスタンスの例としては、BLAKE2Xb16MiBが挙げられます。これは、16,777,216 バイトのダイジェスト (正確には 16 MiBなので、このようなインスタンスの名前の由来です) を生成する BLAKE2b に基づく BLAKE2X バージョンです。^[7]

BLAKE2bとBLAKE2sはRFC 7693で規定されています。パラメータブロックを使用するオプション機能（ソルト、パーソナライズされたハッシュ、ツリーハッシュなど）は規定されていないため、BLAKE2bp、BLAKE2sp、BLAKE2Xのサポートもありません。^[8]

BLAKE2b は、SHA-512 で使用される IV と同じ初期化ベクトルを使用します。これらの値は、最初の 8 つの素数の正の平方根の小数部分の最初の 64 ビットを取得することによって透過的に取得されます。

IV 0 = 0x6a09e667f3bcc908    // Frac(sqrt(2)) 
IV 1 = 0xbb67ae8584caa73b    // Frac(sqrt(3) ) 
IV 2 = 0x3c6ef372fe94f82b    // Frac(sqrt(5)) 
IV 3 = 0xa54ff53a5f1d36f1    // Frac(sqrt(7)) 
IV 4 = 0x510e527fade682d1    // Frac(sqrt (11)) 
IV 5 = 0x9b05688c2b3e6c1f    // Frac(sqrt(13)) 
IV 6 = 0x1f83d9abfb41bd6b    // Frac(sqrt(17)) 
IV 7 = 0x5be0cd19137e2179    // Frac(sqrt(19))

BLAKE2b アルゴリズムの 疑似コード。BLAKE2b アルゴリズムは、8 バイト (UInt64) ワードと 128 バイトのチャンクを使用します。

アルゴリズムBLAKE2b
   入力: 
      M                               ハッシュするメッセージ
      cbMessageLen: 数値、(0..2 128 )  メッセージの長さ(バイト単位) 
      Key                             オプションの 0..64 バイトのキー
      cbKeyLen: 数値、(0..64)       オプションのキーの長さ
      (バイト単位) cbHashLen: 数値、(1..64)      希望するハッシュの長さ(バイト単位)
   出力:
      ハッシュ                            cbHashLen バイトのハッシュ

   状態ベクトルh をIV 
   h 0..7 ← IV 0..7で初期化します。

   キーサイズ (cbKeyLen) と希望するハッシュ長 (cbHashLen) を h 0 
   h 0 ← h 0 xor 0x0101kknn
         に組み合わせます。ここで、kkはキー長 (バイト単位)、
               nn は 希望するハッシュ長 (バイト単位) です。

   圧縮するたびに、圧縮されたバイト数を記録します。
   cBytes圧縮 ← 0
   cBytesRemaining ← cbMessageLen

   キーが指定された場合（つまりcbKeyLen > 0） 
   、末尾にゼロを埋め込んで128バイト（つまり16ワード）にし
   てメッセージM
   の先頭に追加します。cbKeyLen > 0の場合、
      M ← パッド(キー、128) || M
      cBytesRemaining ← cBytesRemaining + 128
   終了の場合

   最後のチャンクを除く、メッセージの 128 バイトのチャンク全体を圧縮します
   while (cBytesRemaining > 128) do chunk ← メッセージM
      の次の 128 バイトを取得します
      cBytesCompressed ← cBytesCompressed + 128  圧縮されたバイト数を増やします
      cBytesRemaining ← cBytesRemaining - 128  処理されていないM内の残りのバイト数を減らします

      h ← Compress(h, chunk, cBytesCompressed, false)   false ⇒ これは最後のチャンクではありません
   end while

   Mチャンクの最後のバイトを圧縮します← メッセージM  
   の次の 128 バイトを取得しますcBytesRemaining バイト (つまり 0..128 バイト) を取得します
   cBytesCompressed ← cBytesCompressed+cBytesRemaining   Mチャンクに残っている実際のバイト数
   ← Pad(chunk, 128)   Mが空の場合、ゼロの最終チャンクを圧縮します

   h ← Compress(h, chunk, cBytesCompressed, true)   true ⇒ これは最後のチャンクです

   結果← リトルエンディアン状態ベクトル h の最初の cbHashLen バイト アルゴリズム
終了BLAKE2b

Compress関数は、入力メッセージの 128 バイトのチャンク全体を取得し、それを進行中の状態配列に混合します。

関数圧縮
   入力: 
      h                      永続状態ベクトル
      チャンク                  圧縮するメッセージの 128 バイト (16 ダブルワード) チャンク
      t: 数値、0..2 128     圧縮に入力されたバイト数
      IsLastBlock: ブール値   これが圧縮の最終ラウンドかどうかを示します
   出力: 
      h                      更新された永続状態ベクトル

   ローカル作業ベクトルVをセットアップする
   V 0..7 ← h 0..7   最初の8つの項目は永続状態ベクトルhからコピーされる
   V 8..15 ← IV 0..7 残りの8つの項目はIVから初期化される

   128 ビットのカウンターt をV 12にミックスします:V 13 
   V 12 ← V 12  xor Lo(t)     Lo 64 ビットの UInt128 t 
   V 13 ← V 13  xor Hi(t)     Hi 64 ビットの UInt128 t
  
   これが最後のブロックの場合、V 14
   のすべてのビットを反転します。if IsLastBlock then 
      V 14 ← V 14 xor 0xFFFFFFFFFFFFFFFF 
   
   各128バイトのメッセージチャンクを16個の8バイト（64ビット）ワードとして扱うm 
   m 0..15 ← チャンク

   
   0から11までのiに対する12ラウンドの暗号メッセージ混合は、このラウンドのメッセージ混合スケジュールを選択します。BLAKE2bは12ラウンドを使用しますが、SIGMAは10エントリしかありません。S 
      0..15← SIGMA[i mod 10]   ラウンド10と11は、それぞれSIGMA[0]とSIGMA[1]を使用します。
      
       

      ミックス(V 0 , V 4 , V 8 , V 12 , m[S 0 ], m[S 1 ])
      混合(V 1、V 5、V 9、V 13、m[S 2 ]、m[S 3 ])
      混合(V 2、V 6、V 10、V 14、m[S 4 ]、m[S 5 ])
      混合(V 3、V 7、V 11、V 15、m[S 6 ]、m[S 7 ])

      ミックス(V 0 , V 5 , V 10 , V 15 , m[S 8 ], m[S 9 ])
      混合(V 1、V 6、V 11、V 12、m[S 10 ]、m[S 11 ])
      混合(V 2、V 7、V 8、V 13、m[S 12 ]、m[S 13 ])
      Mix(V 3 , V 4 , V 9 , V 14 , m[S 14 ], m[S 15 ])
   終了

   V の上半分と下半分を進行中の状態ベクトル h に混ぜる
   h 0..7 ← h 0..7  xor V 0..7 
   h 0..7 ← h 0..7  xor V 8..15

   結果← h
関数終了圧縮

Mix関数はCompress関数によって呼び出され、メッセージから 2 つの 8 バイト ワードをハッシュ状態にミックスします。ほとんどの実装では、この関数はインラインで記述されるか、インライン関数として記述されます。

関数ミックス
   入力: 
        V a、 V b、 V c、 V d       作業ベクトル V 
        x、 y                からの 4 つの 8 バイトワードエントリ、パディングされたメッセージ m からの 2 つの 8 バイトワードエントリ
   出力: 
        V a、 V b、 V c、 V d V        a、 V b、 V c、 V dの修正バージョン

   V a ← V a + V b + x          入力
   V d ← (V d  xor V a )右回転32

   V c ← V c + V d              入力なし
   V b ← (V b  xor V c )右回転24

   V a ← V a + V b + y          入力
   V d ← (V d  xor V a )右回転16

   V c ← V c + V d              入力なし
   V b ← (V b  xor V c )右回転63

   結果← V a、 V b、 V c、 V d
関数の終了ミックス

空の文字列のハッシュ値:

BLAKE2s-224("") =
1fa1291e65248b37b3433475b2a0dd63d54a11ecc4e3e034e7bc1ef4
BLAKE2s-256("") =
69217a3079908094e11121d042354a7c1f55b6482ca1a51e1b250dfd1ed0eef9
BLAKE2b-384("") =
b32811423377f52d7862286ee1a72ee540524380fda1724a6f25d7978c6fd3244a6caf0498812673c5e05ef583825100
BLAKE2b-512("") =
786a02f742015903c6c6fd852552d272912f4740e15847618a86e217f71f5419 d25e1031afee585313896444934eb04b903a685b1448b755d56f701afe9be2ce

1 ビットを変更すると、出力の各ビットが 50% の確率で変更され、雪崩効果が発生します。

BLAKE2b-512("素早い茶色のキツネは怠け者の犬を飛び越える") =
a8add4bdddfd93e4877d2746e62817b116364a1fa7bc148d95090bc7333b3673f82401cf7aa2e4cb1ecd90296e3f14cb5413f8ed77be73045b13914cdcd6a918
BLAKE2b-512("素早い茶色のキツネは怠け者のドフを飛び越える" ) =
ab6b007747d8068c02e25a6008db8a77c218d94f3b40d2291a7dc8a62090a744 c082ea27af01521a102e42f480a31e9844053f456b4b41e8aa78bbe5c12957bb

• パスワードハッシュコンテストの優勝者であるArgon2はBLAKE2bを使用している。
• ChefのHabitatデプロイメントシステムはパッケージ署名にBLAKE2bを使用している^[9]
• FreeBSD Portsパッケージ管理ツールは BLAKE2b を使用します
• GNU Core Utilitiesはb2sumコマンドにBLAKE2bを実装している^[10]
• IPFSではツリーハッシュにBLAKE2bの使用が可能
• librsyncはBLAKE2bを使用する^[11]
• WhatsAppで使用されているNoise（暗号化プロトコル）にはBLAKE2がオプションとして含まれています。^{[12] [要出典]}
• RARアーカイブフォーマットバージョン5は、デフォルトの32ビットCRC32の代わりにオプションの256ビットBLAKE2spファイルチェックサムをサポートしています。これはWinRAR v5+で実装されました^[13]
• 7-Zipは（RARアーカイブフォーマットバージョン5 ^[14]をサポートするため）エクスプローラーシェルの「CRC SHA」コンテキストメニューから「*」を選択して各ファイルのBLAKE2sp署名を生成することができる。
• rmlintは重複ファイルの検出にBLAKE2bを使用する^[15]
• WireGuardはハッシュにBLAKE2を使用する^[16]
• 暗号通貨のZcashは、Equihash のプルーフ・オブ・ワークや鍵導出関数としてBLAKE2bを使用している。
• 暗号通貨NANOは、BLAKE2bをプルーフオブワーク、デジタル署名のハッシュ、鍵導出関数として使用している^{[17] [18] [19]}
• マルチチェーンブロックチェーンであるPolkadot は、ハッシュアルゴリズムとして BLAKE2b を使用します。
• Kadena (暗号通貨) は、ハッシュ アルゴリズムとして Blake2s_256 を使用するスケーラブルなプルーフ オブ ワーク ブロックチェーンです。
• PCI Vault は、PCI 準拠の PCD トークン化を目的として、ハッシュ アルゴリズムとして BLAKE2b を使用します。
• 暗号通貨のErgoは、Autolykosと呼ばれるハッシュアルゴリズムのサブルーチンとしてBLAKE2b256を使用しています。^[20]
• Linuxカーネルバージョン5.17では、乱数ジェネレータのエントロピープールのハッシュにSHA-1をBLAKE2に置き換えました。^[21]
• インド政府の取り組みであるデジタルコマースのためのオープンネットワークは、APIリクエストに署名するためにBLAKE-512を使用しています。 ^[22]
• チェックサム、WindowsのファイルハッシュプログラムはBlake2sをアルゴリズムの1つとして採用している^[23]

リファレンス実装に加えて、^[5]次の暗号化ライブラリがBLAKE2の実装を提供しています。

• ぼたん
• バウンシーキャッスル
• 暗号++
• ライブラリgcrypt
• リブナトリウム
• オープンSSL
• ウルフSSL

BLAKE3は、BaoとBLAKE2をベースにした暗号ハッシュ関数で、Jack O'Connor、Jean-Philippe Aumasson、Samuel Neves、Zooko Wilcox-O'Hearnによって作成された。^{[25] 2020年1月9日に}Real World Cryptoで発表された。^[26]

BLAKE3は、複数のバリエーションを持つアルゴリズムファミリーであるBLAKEやBLAKE2とは対照的に、多くの望ましい機能（並列性、XOF、KDF、PRF、MAC ）を備えた単一のアルゴリズムです。BLAKE3はバイナリツリー構造であるため、十分に長い入力があれば、実質的に無制限の並列性（SIMDとマルチスレッドの両方）をサポートします。公式のRustおよびC実装^[27]は、パブリックドメイン（CC0）とApacheライセンスのデュアルライセンスです。^[28]

BLAKE3は可能な限り高速になるよう設計されており、一貫してBLAKE2より数倍高速です。BLAKE3の圧縮機能はBLAKE2の圧縮機能に密接に基づいていますが、最大の違いはラウンド数が10から7に削減されていることです。これは、現在の暗号化が保守的すぎるという仮定に基づいています。^[29]並列処理を提供することに加えて、Merkleツリー形式では検証済みストリーミング（オンザフライ検証）と増分更新も可能になります。^[27]

• BLAKEのウェブサイト
• BLAKE2のウェブサイト
• BLAKE3のウェブサイト