ブロック暗号

暗号化において、ブロック暗号は、ブロックと呼ばれる固定長のビットのグループに対して動作する決定論的アルゴリズムです。ブロック暗号は、多くの暗号化プロトコルの基本的な構成要素です。ブロック暗号は、データの保存と交換に広く使用されており、暗号化によってデータが保護され、認証されます。

ブロック暗号は、ブロックを不変の変換として使用します。安全なブロック暗号であっても、固定キーを使用して一度に 1 つのデータ ブロックのみを暗号化するのに適しています。機密性と信頼性のセキュリティ目標を達成するために、安全な方法で繰り返し使用できるように、さまざまな操作モードが設計されています。ただし、ブロック暗号は、ユニバーサル ハッシュ関数や疑似乱数ジェネレーターなどの他の暗号化プロトコルの構成要素として機能する場合もあります。

ブロック暗号は、暗号化アルゴリズムEと復号化アルゴリズムDの 2 つのペアのアルゴリズムから構成されます。^{[1]どちらのアルゴリズムも、} nビットの入力ブロックとkビットのキーの 2 つの入力を受け取り、どちらもnビットの出力ブロックを生成します。復号化アルゴリズムDは、暗号化の逆関数、つまりD = E ⁻¹として定義されます。より正式には、^{[2] [3]}ブロック暗号は暗号化関数によって指定されます。

${\displaystyle E_{K}(P):=E(K,P):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n},}$

これは、ビット長k（キーサイズと呼ばれる）のキーKと、長さn（ブロックサイズと呼ばれる）のビット文字列Pを入力として受け取り、nビットの文字列Cを返します。 Pは平文と呼ばれ、C は暗号文と呼ばれます。各Kに対して、関数E _K ( P ) は{0,1} ⁿ上の可逆マッピングである必要があります。 Eの逆は関数として定義されます。

${\displaystyle E_{K}^{-1}(C):=D_{K}(C)=D(K,C):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n},}$

鍵Kと暗号文Cを受け取り、平文値Pを返す。

${\displaystyle \forall P:D_{K}(E_{K}(P))=P.}$

たとえば、ブロック暗号アルゴリズムは、128 ビットの平文ブロックを入力として受け取り、それに対応する 128 ビットの暗号文ブロックを出力する場合があります。正確な変換は、2 番目の入力である秘密鍵を使用して制御されます。復号化も同様です。この例では、復号化アルゴリズムは、128 ビットの暗号文ブロックと秘密鍵を受け取り、元の 128 ビットの平文ブロックを生成します。^[4]

各キーKに対して、EK_は入力ブロックの集合上の順列（全単射写像）である。各キーは可能な順列の集合から1つの順列を選択する。^[5]${\displaystyle (2^{n})!}$

ブロック暗号の現代的な設計は、反復積暗号の概念に基づいています。1949年の画期的な出版物である「秘密システムの通信理論」で、クロード・シャノンは積暗号を分析し、置換や順列などの単純な操作を組み合わせることでセキュリティを効果的に向上させる手段としてそれを提案しました。^{[6]反復積暗号は、複数の}ラウンドで暗号化を実行し、各ラウンドでは元のキーから派生した異なるサブキーを使用します。このような暗号の広く普及した実装の1つは、ホルスト・ファイステルにちなんでファイステルネットワークと名付けられ、 DES暗号で実装されています。^[7] AESなどのブロック暗号の他の多くの実現は、置換–順列ネットワークに分類されます。^[8]

PCI DSS（Payment Card Industry Data Security Standard ）およびANSI（American National Standards Institute ）規格で使用されるすべての暗号ブロック形式のルーツは、最初のハードウェアセキュリティモジュール（HSM）であるAtalla Boxの重要なイノベーションであったAtalla Key Block （AKB）にあります。これは、 Atalla Corporation（現在のUtimaco Atalla ）の創設者であるMohamed M. Atallaによって1972年に開発され、1973年にリリースされました。AKBは、銀行業界の他の関係者と対称キーまたはPINを安全に交換するために必要なキーブロックでした。この安全な交換は、AKB形式を使用して実行されます。^[9] Atalla Boxは、1998年の時点で運用されていたすべてのATMネットワークの90％以上を保護し、 ^[10] Atalla製品は2014年の時点でも世界のATM取引の大部分を保護しています。^[11]

1977年に米国国立標準局（後の米国国立標準技術研究所、NIST）がDES暗号を公開したことは、現代のブロック暗号設計に対する一般の理解を深める上で基礎となりました。また、暗号解読攻撃の学術的発展にも影響を与えました。差分解読と線形解読はどちらもDES設計の研究から生まれました。2016年現在、ブロック暗号はブルートフォース攻撃^{[アップデート]}に対して堅牢であることに加えて、さまざまな攻撃手法に対しても安全でなければなりません。

ほとんどのブロック暗号アルゴリズムは反復ブロック暗号に分類されます。これは、ラウンド関数と呼ばれる可逆変換を繰り返し適用することで、固定サイズの平文ブロックを同じサイズの暗号文ブロックに変換することを意味します。各反復はラウンドと呼ばれます。^[12]

通常、ラウンド関数Rは、元のキーから派生した異なるラウンドキー K _iを2番目の入力として受け取ります。^[13]

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})}$

ここで、 は平文と暗号文であり、r はラウンド数です。 ${\displaystyle M_{0}}$${\displaystyle M_{r}}$

これに加えて、キーホワイトニングがよく使用されます。データの最初と最後に、キーマテリアルを使用してデータが変更されます (多くの場合、XORを使用)。

${\displaystyle M_{0}=M\oplus K_{0}}$

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})\;;\;i=1\dots r}$

${\displaystyle C=M_{r}\oplus K_{r+1}}$

標準的な反復ブロック暗号設計スキームの 1 つを使用すると、ラウンド数を増やすだけで、暗号的に安全なブロック暗号を簡単に構築できます。ただし、これにより暗号の効率が悪くなります。したがって、効率は、プロフェッショナルな暗号にとって最も重要な追加の設計基準です。さらに、優れたブロック暗号は、キャッシュ状態や実行時間を介して秘密データを漏らす可能性のある分岐予測や入力依存のメモリ アクセスなどのサイド チャネル攻撃を回避するように設計されています。さらに、小規模なハードウェアおよびソフトウェア実装では、暗号は簡潔である必要があります。

反復ブロック暗号の重要なタイプの一つに置換・置換ネットワーク（SPN）があるが、これは平文ブロックと鍵を入力として受け取り、置換段階とそれに続く置換段階からなる複数の交互ラウンドを適用して暗号文出力の各ブロックを生成する。^[14]非線形置換段階では鍵ビットを平文のビットと混合し、シャノンの混乱を引き起こす。その後線形置換段階で冗長性を消散させ、拡散を引き起こす。^{[15] [16]}

置換ボックス（Sボックス）は、入力ビットの小さなブロックを別の出力ビットのブロックに置き換えます。この置換は、可逆性（したがって復号化）を保証するために、 1対1でなければなりません。安全なSボックスは、1つの入力ビットを変更すると平均して出力ビットの約半分が変更されるという特性を持ち、いわゆるアバランシェ効果を示します。つまり、各出力ビットがすべての入力ビットに依存するという特性があります。^[17]

順列ボックス（Pボックス）は、すべてのビットの順列です。つまり、1ラウンドのすべてのSボックスの出力を受け取り、ビットを順列化し、次のラウンドのSボックスに入力します。優れたPボックスは、任意のSボックスの出力ビットが可能な限り多くのSボックス入力に分配されるという特性を持っています。^[18]

各ラウンドでは、ラウンドキー（SボックスやPボックスなどを使用したいくつかの簡単な操作でキーから取得）が、通常はXORなどのグループ操作を使用して結合されます。^[要出典]

復号化は、単純にプロセスを逆にするだけで実行されます（SボックスとPボックスの逆を使用し、ラウンドキーを逆の順序で適用します）。^[19]

フェイステル暗号では、暗号化される平文ブロックを2つの等しい大きさの半分に分割します。サブキーを使用して、ラウンド関数を片方の半分に適用し、出力をもう一方の半分と排他的論理和します。その後、2つの半分を交換します。^[20]

をラウンド関数とし、を それぞれラウンドのサブキーとします。 ${\displaystyle {\rm {F}}}$${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$${\displaystyle 0,1,\ldots ,n}$

基本的な操作は次のようになります。^[20]

平文ブロックを2つの等しい部分に分割します（、） ${\displaystyle L_{0}}$${\displaystyle R_{0}}$

各ラウンドごとに計算する ${\displaystyle i=0,1,\dots ,n}$

${\displaystyle L_{i+1}=R_{i}\,}$

${\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}}(R_{i},K_{i})}$。

すると暗号文は次のようになります。 ${\displaystyle (R_{n+1},L_{n+1})}$

暗号文の復号は、${\displaystyle (R_{n+1},L_{n+1})}$${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle R_{i}=L_{i+1}\,}$

${\displaystyle L_{i}=R_{i+1}\oplus {\rm {F}}(L_{i+1},K_{i})}$。

すると再び平文になります。 ${\displaystyle (L_{0},R_{0})}$

置換順列ネットワークと比較したフェイステルモデルの利点の1つは、ラウンド関数が可逆である必要がないことである。^[21]${\displaystyle {\rm {F}}}$

Lai-Massey 方式は、 Feistel 構造と同様のセキュリティ特性を備えています。また、ラウンド関数が可逆である必要がないという利点もあります。もう 1 つの類似点は、入力ブロックを 2 つの等しい部分に分割することです。ただし、ラウンド関数は 2 つの部分の差に適用され、その結果が両方の半分のブロックに追加されます。 ${\displaystyle \mathrm {F} }$

をラウンド関数と半ラウンド関数とし、をそれぞれラウンドのサブキーとします。 ${\displaystyle \mathrm {F} }$${\displaystyle \mathrm {H} }$${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$${\displaystyle 0,1,\ldots ,n}$

基本的な操作は次のようになります。

平文ブロックを2つの等しい部分に分割します（、） ${\displaystyle L_{0}}$${\displaystyle R_{0}}$

各ラウンドごとに計算する ${\displaystyle i=0,1,\dots ,n}$

${\displaystyle (L_{i+1}',R_{i+1}')=\mathrm {H} (L_{i}'+T_{i},R_{i}'+T_{i}),}$

どこでそして${\displaystyle T_{i}=\mathrm {F} (L_{i}'-R_{i}',K_{i})}$${\displaystyle (L_{0}',R_{0}')=\mathrm {H} (L_{0},R_{0})}$

すると暗号文は次のようになります。 ${\displaystyle (L_{n+1},R_{n+1})=(L_{n+1}',R_{n+1}')}$

暗号文の復号は、${\displaystyle (L_{n+1},R_{n+1})}$${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle (L_{i}',R_{i}')=\mathrm {H} ^{-1}(L_{i+1}'-T_{i},R_{i+1}'-T_{i})}$

どこでそして${\displaystyle T_{i}=\mathrm {F} (L_{i+1}'-R_{i+1}',K_{i})}$${\displaystyle (L_{n+1}',R_{n+1}')=\mathrm {H} ^{-1}(L_{n+1},R_{n+1})}$

すると再び平文になります。 ${\displaystyle (L_{0},R_{0})=(L_{0}',R_{0}')}$

現代のブロック暗号やハッシュの多くはARXアルゴリズムであり、そのラウンド関数には（A）モジュラー加算、（R）固定回転量による回転、（X）XORの3つの演算のみが含まれます。例としては、ChaCha20、Speck、XXTEA、BLAKEなどがあります。多くの著者は、このようなラウンド関数を説明するために、データフロー図の一種であるARXネットワークを描いています。 ^[22]

これらの ARX 演算は、ハードウェアとソフトウェアの面で比較的高速かつ安価であり、実装が非常に簡単に行えること、また一定時間で実行されるためタイミング攻撃の影響を受けないことから人気があります。回転暗号解読技術は、このようなラウンド関数を攻撃しようとします。

ブロック暗号でよく使用されるその他の操作には、 RC5やRC6のようなデータ依存回転、Data Encryption StandardやAdvanced Encryption Standardのようなルックアップ テーブルとして実装された置換ボックス、順列ボックス、IDEAのような乗算などがあります。

ブロック暗号は、それ自体では、暗号のブロック長の単一のデータブロックのみを暗号化できます。可変長メッセージの場合、データは最初に別々の暗号ブロックに分割する必要があります。最も単純なケースは電子コードブック(ECB) モードと呼ばれ、メッセージは最初に暗号のブロックサイズの別々のブロックに分割され (最後のブロックをパディングビットで拡張する場合もあります)、各ブロックは個別に暗号化および復号化されます。ただし、このような単純な方法は一般に安全ではありません。なぜなら、同じ平文ブロックは常に同じ暗号文ブロックを生成するため (同じキーの場合)、平文メッセージのパターンが暗号文出力で明らかになるからです。^[23]

この制限を克服するために、いわゆるブロック暗号の動作モードがいくつか設計され^{[24] [25] 、NIST 800-38A [26]}やBSI TR-02102 ^[27]などの国家勧告やISO/IEC 10116 ^[28 ]などの国際標準で指定されています。一般的な概念は、初期化ベクトルと呼ばれる追加の入力値に基づいて平文データをランダム化して、確率的暗号化と呼ばれるものを作成することです。^[29]一般的な暗号ブロック連鎖(CBC) モードでは、暗号化が安全であるためには、平文メッセージとともに渡される初期化ベクトルがランダム値または疑似ランダム値でなければならず、これは暗号化される前に最初の平文ブロックに排他的論理和方式で追加されます。結果として得られる暗号文ブロックは、次の平文ブロックの新しい初期化ベクトルとして使用されます。自己同期ストリーム暗号をエミュレートする暗号フィードバック(CFB) モードでは、初期化ベクトルが最初に暗号化され、次に平文ブロックに追加されます。出力フィードバック(OFB) モードでは、初期化ベクトルを繰り返し暗号化して、同期ストリーム暗号をエミュレートするためのキー ストリームを作成します。新しいカウンター(CTR) モードも同様にキー ストリームを作成しますが、初期化ベクトルとして一意の値のみが必要で (疑似) ランダムな値が必要ないという利点があります。必要なランダム性は、初期化ベクトルをブロック カウンターとして使用し、このカウンターをブロックごとに暗号化することで内部的に導出されます。^[26]

セキュリティ理論の観点から見ると、動作モードは意味的セキュリティと呼ばれるものを提供する必要がある。^[30]非公式には、未知の鍵による暗号文が与えられた場合、暗号文を見なければわかる情報を超えて、暗号文から実質的にいかなる情報も得ることができない（メッセージの長さ以外）ことを意味する。ECBモードを除く上記のすべてのモードは、いわゆる選択平文攻撃に対してこの特性を提供することが示されている。

CBC モードなどの一部のモードは、完全な平文ブロックでのみ動作します。メッセージの最後のブロックをゼロ ビットで拡張するだけでは不十分です。これは、受信者がパディング ビットの数だけ異なるメッセージを簡単に区別できないためです。さらに重要なことは、このような単純なソリューションは、非常に効率的なパディング オラクル攻撃を引き起こすことです。^[31]したがって、最後の平文ブロックを暗号のブロック サイズまで拡張するには、適切なパディング スキームが必要です。標準や文献に記載されている多くの一般的なスキームは、パディング オラクル攻撃に対して脆弱であることが示されていますが、^{[31] [32]} 1 ビットを追加してから最後のブロックをゼロ ビットで拡張するソリューションは、ISO/IEC 9797-1 で「パディング メソッド 2」として標準化されており、^[33]これらの攻撃に対して安全であることが証明されています。^[32]

この特性により、暗号のセキュリティは2乗的に低下するため、ブロックサイズを選択する際にはこれを考慮する必要があります。ただし、ブロックサイズが大きいとアルゴリズムの動作が非効率になる可能性があるため、トレードオフがあります。^[34] DESなどの初期のブロック暗号では通常64ビットのブロックサイズが選択されていましたが、AESなどの新しい設計では128ビット以上のブロックサイズがサポートされており、一部の暗号ではさまざまなブロックサイズがサポートされています。^[35]

線形暗号解読法は、暗号の動作に対するアフィン近似値を見つけることに基づく暗号解読法の一種である。線形暗号解読法は、ブロック暗号に対する最も広く使用されている2つの攻撃法のうちの1つであり、もう1つは差分暗号解読法である。 ^[36]

この発見は松井充によるもので、彼はこの技術を初めてFEAL暗号に適用した（松井・山岸、1992）。^[37]

積分暗号解読は、置換順列ネットワークに基づくブロック暗号に特に適した暗号解読攻撃です。固定された XOR 差を持つ選択平文のペアを使用する差分暗号解読とは異なり、積分暗号解読では、一部が一定に保たれ、別の部分があらゆる可能性を通じて変化する選択平文のセットまたはマルチセットを使用します。たとえば、攻撃では、8 ビットを除くすべてのビットが同じで、その 8 ビットだけが異なっている 256 の選択平文が使用される場合があります。このようなセットの XOR 合計は必然的に 0 になり、対応する暗号文セットの XOR 合計は暗号の動作に関する情報を提供します。テキストのペア間の差と、より大きなテキスト セットの合計のこの対比から、微積分の用語を借用して「積分暗号解読」という名前が生まれました。 ^{[引用が必要]}

線形および差分暗号解読法に加えて、切り捨て差分暗号解読法、偏差分暗号解読法、積分暗号解読法（平方攻撃と積分攻撃を含む）、スライド攻撃、ブーメラン攻撃、XSL 攻撃、不可能差分暗号解読法、代数攻撃など、攻撃の種類は増え続けています。新しいブロック暗号設計が信頼性を持つためには、既知の攻撃に対するセキュリティの証拠を示す必要があります。^[要出典]

ブロック暗号が特定の動作モードで使用される場合、結果のアルゴリズムは理想的にはブロック暗号自体と同程度に安全である必要があります。ECB (上記で説明) にはこの特性がまったくありません。基盤となるブロック暗号がどれだけ安全であっても、ECB モードは簡単に攻撃される可能性があります。一方、CBC モードは、基盤となるブロック暗号が同様に安全であるという仮定の下で安全であると証明できます。ただし、このような記述を行うには、暗号化アルゴリズムまたはブロック暗号が「安全」であるという意味についての正式な数学的定義が必要であることに注意してください。このセクションでは、ブロック暗号が持つべき特性に関する 2 つの一般的な概念について説明します。それぞれは、CBC などの高レベル アルゴリズムの特性を証明するために使用できる数学モデルに対応しています。

暗号化に対するこの一般的なアプローチ、つまり、高レベルのアルゴリズム (CBC など) が、そのコンポーネント (ブロック暗号など) に関して明示的に述べられた仮定の下で安全であることを証明するアプローチは、証明可能セキュリティとして知られています。

非公式には、攻撃者がブロック暗号 (ランダムなキーを備えている) とランダムな順列の違いを区別できない場合、ブロック暗号は標準モデルでは安全です。

もう少し正確に言うと、E をnビットのブロック暗号とします。次のようなゲームを想像してください。

1. ゲームを運営する人がコインを投げます。
   • コインが表になった場合、ランダムキーK を選択し、関数f = E _Kを定義します。
   • コインが表になった場合、 nビットの文字列のセット上でランダムな順列π を選択し、関数f = π を定義します。
2. 攻撃者はnビットの文字列X を選択し、ゲームを実行している人がf ( X ) の値を伝えます。
3. ステップ 2 は合計q回繰り返されます。(これらのq 回のインタラクションのそれぞれがクエリです。)
4. 攻撃者はコインがどのように落ちたかを推測します。推測が正しければ攻撃者の勝ちです。

アルゴリズムとしてモデル化できる攻撃者は、敵対者と呼ばれます。関数f (敵対者が照会できるもの) は、オラクルと呼ばれます。

敵対者は、単にランダムに推測するだけで（または、たとえば常に「表」を推測するだけでも）、50% の勝率を簡単に確保できることに留意してください。したがって、敵対者A がEに対してこのゲームに勝つ確率をP _E ( A ) で表し、Aのアドバンテージを2( P _E ( A ) − 1/2 ) と定義します。したがって、A がランダムに推測する場合、そのアドバンテージは 0 になります。一方、Aが常に勝つ場合、そのアドバンテージは 1 です。qと敵対者の実行時間に特定の制限がある場合、どの敵対者も 0 よりも大幅に大きいアドバンテージを持たない場合、ブロック暗号Eは疑似ランダム順列(PRP) です。上記のステップ 2 で、敵対者がf ( X )ではなくf ⁻¹ ( X )を学習するオプションがある場合（ただし、アドバンテージは依然としてわずかです）、E は強いPRP (SPRP)です。ゲーム開始前にXのすべてのq値を選択する場合、敵は非適応型です(つまり、前のクエリから収集した情報を使用せずに各X を選択している)。

これらの定義は、さまざまな動作モードを分析するのに役立つことが証明されています。たとえば、ブロック暗号ベースの暗号化アルゴリズムのセキュリティを測定するための同様のゲームを定義し、次に (削減議論を通じて) 敵がこの新しいゲームに勝つ確率が、あるAに対してP _E ( A )とそれほど変わらないことを示すことができます。(削減では通常、qとAの実行時間に限界が与えられます。) 同様に、P _E ( A ) がすべての関連するAに対して小さい場合、どの攻撃者も新しいゲームに勝つ確率が高くありません。これにより、高レベルのアルゴリズムがブロック暗号のセキュリティを継承するという考えが形式化されます。

ブロック暗号は実際には複数の基準に従って評価されることがある。一般的な要素としては以下が挙げられる: ^{[38] [39]}

• キー サイズやブロック サイズなどのキー パラメータは、暗号のセキュリティの上限を指定します。
• 推定されるセキュリティレベルは、ブロック暗号設計が長年にわたる大規模な暗号解読の試みにほぼ耐えた後に得られた信頼性、設計の数学的健全性、および実際的または証明的な^[40]攻撃の存在に基づいています。
• 暗号の複雑さと、ハードウェアまたはソフトウェアでの実装の適合性。ハードウェア実装では、ゲート数またはエネルギー消費量の観点から複雑さを測定する場合があります。これらは、リソースが制限されたデバイスにとって重要なパラメータです。
• メモリ要件を含む、さまざまなプラットフォームでの処理スループットの観点から見た暗号のパフォーマンス。
• 暗号のコストは、知的財産権により適用される可能性のあるライセンス要件を指します。
• 暗号の柔軟性には、複数のキー サイズとブロック長をサポートする機能が含まれます。

ルシファーは、1970年代にIBMでホルスト・ファイステルの研究に基づいて開発された、最初の民間ブロック暗号であると一般に考えられています。アルゴリズムの改訂版は、米国政府の連邦情報処理標準であるFIPS PUB 46データ暗号化標準（DES）として採用されました。^[41]これは、公募とNBS（およびおそらくNSA）による内部変更を経て、米国国立標準局（NBS）によって選択されました。DESは1976年に公開され、広く使用されています。^[要出典]

DES は、NSA が知っていて IBM が再発見した特定の暗号解読攻撃に対抗するために設計されたが、1980 年代後半にEli BihamとAdi Shamirによって再発見され公開されるまでは一般には知られていなかった。この手法は差分暗号解読と呼ばれ、ブロック暗号に対する数少ない一般的な攻撃の 1 つである。線形暗号解読もその 1 つだが、松井充によって公開されるまでは NSA にも知られていなかった可能性がある。DES は、オープン コミュニティにおける暗号化と暗号解読に関する他の多くの研究と出版物を促し、多くの新しい暗号設計に影響を与えた。^{[引用が必要]}

DES のブロック サイズは 64 ビット、キー サイズは 56 ビットです。DES 以降、ブロック暗号の設計では 64 ビット ブロックが一般的になりました。キーの長さは、政府の規制など、いくつかの要因によって決まりました。1970^{年代には、 DES で使用された 56 ビットのキーの長さは短すぎるという}意見が多くありました。時が経つにつれ、特に1998 年にElectronic Frontier FoundationによってDES を破るために設計された専用マシンが実証されてから、その不十分さが明らかになりました。DES の拡張であるTriple DESでは、2 つの独立したキー (112 ビットのキーと 80 ビットのセキュリティ) または 3 つの独立したキー (168 ビットのキーと 112 ビットのセキュリティ) を使用して各ブロックを 3 重に暗号化します。これは代替として広く採用されました。 2011年現在、3キーバージョンは依然として安全であると考えられていますが、アメリカ国立標準技術研究所（NIST）の標準では、80ビットのセキュリティレベルのため、新しいアプリケーションで2キーバージョンを使用することは許可されていません。^[42]

国際データ暗号化アルゴリズム( IDEA )は、 ETH チューリッヒのJames MasseyとXuejia Laiによって設計されたブロック暗号であり、DES の代替として 1991 年に初めて説明されました。

IDEA は128 ビットのキーを使用して64 ビットのブロックで動作し、一連の 8 つの同一変換 (ラウンド) と出力変換 (ハーフラウンド) で構成されます。暗号化と復号化のプロセスは似ています。IDEA は、ある意味で代数的に「互換性がない」異なるグループ(モジュラー加算と乗算、ビット単位の排他的論理和(XOR))の演算をインターリーブすることで、セキュリティの多くを獲得しています。

設計者は、差分解読法に対する IDEA の強度を測定するために IDEA を分析し、特定の仮定の下では IDEA は耐性があると結論付けました。線形または代数的な弱点を突く攻撃は報告されていません。2012 年現在^[update]、すべてのキーに適用される最良の攻撃は、ブルート フォース攻撃の約 4 倍の速さで、ナロー バイクリーク攻撃を使用して 8.5 ラウンドの IDEA を完全に破ることができます。

RC5 は、1994 年にRonald Rivestによって設計されたブロック暗号で、他の多くの暗号とは異なり、可変ブロック サイズ (32、64、または 128 ビット)、キー サイズ (0 ～ 2040 ビット)、ラウンド数 (0 ～ 255) を備えています。当初提案されたパラメータの選択は、ブロック サイズが 64 ビット、キーが 128 ビット、ラウンドが 12 でした。

RC5 の重要な特徴は、データ依存回転の使用です。RC5 の目標の 1 つは、このような操作を暗号プリミティブとして研究および評価することを促進することでした。RC5 は、多数のモジュラー加算と XOR で構成されています。アルゴリズムの一般的な構造は、Feistelのようなネットワークです。暗号化および復号化ルーチンは、数行のコードで指定できます。ただし、キー スケジュールはより複雑で、eと黄金比の両方の 2 進展開を「秘密の数字」のソースとして、基本的に一方向関数を使用してキーを拡張します。アルゴリズムの魅力的な単純さとデータ依存回転の斬新さにより、RC5 は暗号解読者にとって魅力的な研究対象となっています。

12ラウンドのRC5（64ビットブロック）は、^244個の選択された平文を使用した差分攻撃に対して脆弱です。^[43] 18～20ラウンドが十分な保護として提案されています。

ベルギーの暗号学者、ジョアン・デーメンとヴィンセント・ライメンが開発したラインダール暗号は、DES に代わる設計候補の 1 つでした。5年間の公開競​​争で優勝し、AES (Advanced Encryption Standard) となりました。

2001 年に NIST によって採用された AES では、ブロック サイズが 128 ビットに固定され、キー サイズは 128、192、または 256 ビットです。一方、Rijndael では、ブロック サイズとキー サイズを 32 ビットの倍数で指定できます (最小値は 128 ビット)。ブロック サイズは最大 256 ビットですが、キー サイズには理論上の最大値はありません。AES は、状態と呼ばれる 4×4列優先順序のバイト マトリックスで動作します(ブロック サイズが大きい Rijndael バージョンでは、状態に列が追加されます)。

Blowfishは、1993年にブルース・シュナイアーによって設計され、多数の暗号スイートや暗号化製品に搭載されているブロック暗号です。Blowfishのブロックサイズは64ビットで、鍵長は1ビットから最大448ビットまで可変です。 ^[44]これは16ラウンドのFeistel暗号で、大きな鍵依存Sボックスを使用します。設計上の注目すべき特徴としては、鍵依存Sボックスと非常に複雑な鍵スケジュールが挙げられます。

これは汎用アルゴリズムとして設計され、老朽化し​​た DES の代替として意図され、他のアルゴリズムに関連する問題や制約がありません。Blowfish がリリースされた当時、他の多くの設計は独占的であったり、特許によって制限されていたり、企業/政府の秘密であったりしました。Schneier は「Blowfish は特許を取得していません。すべての国でその状態が続きます。このアルゴリズムはパブリック ドメインに置かれ、誰でも自由に使用できます」と述べています。同じことは、Schneier の後継アルゴリズムで あるTwofishにも当てはまります。

M. Liskov、R. Rivest、および D. Wagner は、ブロック暗号の一般化バージョンである「調整可能な」ブロック暗号について説明しています。^[45]調整可能なブロック暗号は、通常の平文または暗号文入力に加えて、調整と呼ばれる 2 番目の入力を受け入れます。調整はキーとともに、暗号によって計算された順列を選択します。調整の変更が十分に軽量である場合 (通常はかなり高価なキー設定操作と比較して)、いくつかの興味深い新しい操作モードが可能になります。ディスク暗号化理論の記事では、これらのモードのいくつかについて説明しています。

ブロック暗号は伝統的に、バイナリアルファベット上で機能します。つまり、入力と出力は両方ともバイナリ文字列であり、n個の 0 と 1 で構成されます。ただし、状況によっては、他のアルファベット上で機能するブロック暗号が必要になる場合があります。たとえば、16 桁のクレジットカード番号を暗号化する際に暗号文も 16 桁の数字にすると、レガシーソフトウェアに暗号化レイヤーを追加しやすくなります。これは、形式保存暗号化の例です。より一般的には、形式保存暗号化には、ある有限言語上の鍵順列が必要です。これにより、形式保存暗号化スキームは (調整可能な) ブロック暗号の自然な一般化になります。対照的に、CBC などの従来の暗号化スキームは順列ではありません。固定キーを使用している場合でも同じ平文で複数の異なる暗号文を暗号化できるためです。

ブロック暗号は、以下のような他の暗号化プリミティブの構築にも使用できます。これらの他のプリミティブを暗号化によって安全にするには、正しい方法で構築するように注意する必要があります。

• ストリーム暗号はブロック暗号を使用して構築できます。OFB モードと CTR モードは、ブロック暗号をストリーム暗号に変換するブロック モードです。
• 暗号ハッシュ関数はブロック暗号を使用して構築できます。^{[46] [47]このようないくつかの方法については}、一方向圧縮関数を参照してください。これらの方法は、暗号化に通常使用されるブロック暗号の動作モードに似ています。
• 暗号的に安全な疑似乱数生成器（CSPRNG）はブロック暗号を使用して構築できます。^{[48] [49]}
• 任意のサイズの有限集合の安全な疑似ランダム順列は、ブロック暗号を使用して構築できます。「Format-Preserving Encryption」を参照してください。
• 公開されている予測不可能な順列と鍵のホワイトニングを組み合わせるだけで、ブロック暗号を構築することができます。例えば、単一鍵のイーヴン・マンスール暗号は、おそらく最も単純で証明可能な安全性を持つブロック暗号です。^[50]
• メッセージ認証コード(MAC) は、多くの場合、ブロック暗号から構築されます。CBC-MAC、OMAC、PMAC などがそのような MAC です。
• 認証暗号化もブロック暗号から構築されます。これは、暗号化と MAC の両方を同時に行うことを意味します。つまり、機密性と認証の両方を提供します。CCM 、EAX、GCM、OCB は、このような認証暗号化モードです。

ブロック暗号を使用してハッシュ関数を構築できるのと同様に、 SHA-1 と SHA-2 はブロック暗号に基づいており、ブロック暗号はSHACALとして独立して使用されることもありますが、ハッシュ関数を使用してブロック暗号を構築できます。このようなブロック暗号の例としては、 BEAR や LION などがあります。

• 暗号セキュリティの概要
• 暗号に関するトピック
• XOR暗号

• Knudsen, Lars R.; Robshaw, Matthew (2011). The Block Cipher Companion. Springer. ISBN 9783642173417。

• 多数の対称アルゴリズムのリスト。その大部分はブロック暗号です。
• ブロック暗号ラウンジ
• ブロック暗号とは何ですか? RSA FAQより
• 金のシーケンスとカオスロジスティックテントシステムに基づくブロック暗号