ブロック暗号の動作モード

暗号学において、ブロック暗号の動作モードは、ブロック暗号を使用して機密性や真正性などの情報セキュリティを提供するアルゴリズムです。^[1]ブロック暗号自体は、ブロックと呼ばれる固定長のビットの1つのグループの安全な暗号変換（暗号化または復号化）にのみ適しています。^[2]動作モードは、暗号の単一ブロック操作を繰り返し適用して、ブロックよりも大きな量のデータを安全に変換する方法を記述します。^{[3] [4] [5]}

ほとんどのモードでは、暗号化操作ごとに、初期化ベクトル(IV)と呼ばれる一意のバイナリ シーケンスが必要です。IV は重複してはならず、一部のモードではランダムである必要があります。初期化ベクトルは、同じ平文が同じキーで独立して複数回暗号化された場合でも、異なる暗号文が生成されるようにするために使用されます。^{[6]ブロック暗号は複数の}ブロック サイズで動作できる場合がありますが、変換中はブロック サイズは常に固定されています。ブロック暗号モードはブロック全体で動作し、最終的なデータ フラグメントが現在のブロック サイズよりも小さい場合は、完全なブロックになるようにパディングする必要があります。 ^{[2]ただし、ブロック暗号を}ストリーム暗号として効果的に使用するため、パディングを必要としないモードもあります。

歴史的に、暗号化モードは、データ変更のさまざまなシナリオにおけるエラー伝播特性に関して広範囲に研究されてきました。その後の開発では、整合性保護は完全に別の暗号化目標と見なされました。いくつかの最新の動作モードでは、機密性と信頼性を効率的に組み合わせており、認証暗号化モードとして知られています。^[7]

最も古い動作モードである ECB、CBC、OFB、CFB (すべては下記を参照) は 1981 年にさかのぼり、FIPS 81、DES 動作モードで指定されました。2001 年に、米国国立標準技術研究所(NIST) は、承認済み動作モードのリストを改訂し、ブロック暗号としてAES を含め、SP800-38A、ブロック暗号動作モードに関する推奨事項に CTR モードを追加しました。最後に、2010 年 1 月に、NIST はSP800-38E、ブロック暗号動作モードに関する推奨事項: ストレージ デバイスの機密性のための XTS-AES モードにXTS-AES を追加しました。NIST によって承認されていない機密性モードは他にも存在します。たとえば、CTS は暗号文窃取モードで、多くの一般的な暗号化ライブラリで使用できます。

ブロック暗号モード ECB、CBC、OFB、CFB、CTR、およびXTS は機密性を提供しますが、偶発的な変更や悪意のある改ざんから保護するものではありません。変更または改ざんは、CBC-MACなどの別のメッセージ認証コード、またはデジタル署名を使用して検出できます。 暗号コミュニティは専用の整合性保証の必要性を認識し、NIST は HMAC、CMAC、および GMAC で対応しました。HMACは 2002 年に FIPS 198、鍵付きハッシュ メッセージ認証コード (HMAC)として承認され、CMAC は2005 年に SP800-38B、ブロック暗号動作モードに関する推奨事項: 認証用の CMAC モード としてリリースされ、GMAC は2007 年に SP800-38D、ブロック暗号動作モードに関する推奨事項: ガロア/カウンター モード (GCM) および GMAC として正式化されました。

暗号コミュニティは、機密性モードと認証性モードを組み合わせるのは難しく、エラーが発生しやすいことに気付きました。そのため、機密性とデータ整合性を 1 つの暗号プリミティブ (暗号化アルゴリズム) に組み合わせたモードを提供し始めました。これらの組み合わせモードは、認証暗号化、AE、または「authenc」と呼ばれます。AE モードの例としては、 CCM (SP800-38C)、GCM (SP800-38D)、CWC、EAX、IAPM、OCBなどがあります。

動作モードは、多くの国内および国際的に認められた標準化団体によって定義されています。著名な標準化団体としては、NIST、ISO（ISO/IEC 10116 ^[5]）、IEC、IEEE、ANSI、IETFなどがあります。

初期化ベクトル（IV）または開始変数（SV）^[5]は、暗号化をランダム化するために複数のモードで使用されるビットブロックであり、同じ平文が複数回暗号化された場合でも、遅い再キー処理を必要とせずに異なる暗号文を生成します。^{[引用が必要]}

初期化ベクトルにはキーとは異なるセキュリティ要件があるため、IV は通常秘密である必要はありません。ほとんどのブロック暗号モードでは、初期化ベクトルが同じキーで再利用されないことが重要です。つまり、初期化ベクトルは暗号化 nonceである必要があります。多くのブロック暗号モードでは、IV はランダムまたは疑似ランダムである必要があるなど、より厳しい要件があります。一部のブロック暗号では、すべてのゼロの IV では暗号化が生成されない (一部のキーの場合) など、特定の初期化ベクトルで特定の問題が発生します。

関連する仕様（たとえば SP800-38A）で特定のブロック暗号モードの関連する IV 要件を確認することをお勧めします。

CBC および CFB の場合、IV を再利用すると、プレーンテキストの最初のブロックに関する情報と、2 つのメッセージで共有される共通プレフィックスに関する情報が漏洩します。

OFBとCTRの場合、IVを再利用するとキービットストリームが再利用され、セキュリティが損なわれます。^[8]これは、両方のモードで平文とXOR演算されたビットストリームが効果的に作成され、このビットストリームがキーとIVのみに依存しているためです。

CBC モードでは、暗号化時に IV は予測不可能 (ランダムまたは疑似ランダム) である必要があります。特に、メッセージの最後の暗号文ブロックを次のメッセージの IV として再利用するという (以前の) 一般的な方法は安全ではありません (たとえば、この方法は SSL 2.0 で使用されていました)。攻撃者が次の平文が指定される前に IV (または前の暗号文ブロック) を知っている場合、攻撃者は以前に同じキーで暗号化されたブロックの平文についての推測をチェックできます (これは TLS CBC IV 攻撃として知られています)。^[9]

一部のキーでは、すべてゼロの初期化ベクトルにより、一部のブロック暗号モード (CFB-8、OFB-8) が生成され、内部状態がすべてゼロのままになることがあります。CFB-8 の場合、すべてゼロの IV とすべてゼロの平文により、1/256 のキーで暗号化が生成されず、平文が暗号文として返されます。^{[10] OFB-8 の場合、すべてゼロの初期化ベクトルを使用すると、1/256 のキーで暗号化が生成されません。 [11]} OFB-8 暗号化では、影響を受けるキーに対して暗号化されていない平文が返されます。

一部のモード (AES-SIV や AES-GCM-SIV など) は、ノンスの誤用に対する耐性が強化されるように構築されています。つまり、乱数生成に欠陥があったり、攻撃者の制御下にあるシナリオに対して耐性があります。

• 合成初期化ベクトル (SIV) は、入力 (追加データとプレーンテキスト) に対して S2V と呼ばれる疑似ランダム関数(PRF) 構造を実行して内部 IV を合成し、外部データが IV を直接制御するのを防ぎます。外部 nonce/IV は、追加のデータ フィールドとして S2V に入力できます。
• AES-GCM-SIV は、入力 (追加データとプレーンテキスト) に対して POLYVAL ガロア認証モードを実行し、その後に AES 操作を実行して内部 IV を合成します。

ブロック暗号は固定サイズ(ブロック サイズと呼ばれる) の単位で機能しますが、メッセージの長さはさまざまです。そのため、一部のモード (つまり、ECBとCBC ) では、暗号化の前に最終ブロックをパディングする必要があります。パディングスキームはいくつか存在します。最も単純なのは、プレーンテキストにnull バイトを追加して、その長さをブロック サイズの倍数にすることですが、プレーンテキストの元の長さを復元できるように注意する必要があります。これは、たとえば、プレーンテキストが末尾を除いて null バイトを含まないCスタイルの文字列である場合は簡単です。もう少し複雑なのは、元のDES方式で、1 つの 1ビットを追加し、その後にブロックを埋めるのに十分な数の 0ビットを追加します。メッセージがブロック境界で終わる場合は、パディング ブロック全体が追加されます。最も洗練されたのは、暗号文の窃盗や残余ブロック終了などの CBC 固有のスキームです。これらは、複雑さが増すだけで、余分な暗号文は生成されません。SchneierとFerguson は、どちらも単純な 2 つの可能性を提案しています。1 つは、値 128 (16 進数 80) のバイトを追加し、その後に最後のブロックを埋めるのに必要な数のゼロ バイトを追加する方法、もう 1 つは、最後のブロックをすべて値nのnバイトで埋め込む方法です。

CFB、OFB、CTR モードでは、ブロック サイズの倍数ではない長さのメッセージを処理するために特別な対策は必要ありません。これらのモードは、プレーン テキストとブロック暗号の出力をXOR することで動作するからです。プレーン テキストの最後の部分ブロックは、最後のキーストリームブロックの最初の数バイトと XOR され、最後の部分プレーン テキスト ブロックと同じサイズの最終暗号テキスト ブロックが生成されます。ストリーム暗号のこの特性により、暗号化された暗号テキスト データが元のプレーン テキスト データと同じサイズであることが必要なアプリケーションや、パディング バイトを追加するのが不便なストリーミング形式でデータを送信するアプリケーションに適しています。

秘密性と認証を単一の暗号プリミティブに組み合わせる動作モードが数多く設計されている。そのようなモードの例としては、^[12] 整合性を考慮した暗号ブロック連鎖 (IACBC) ^{[明確化が必要]}、整合性を考慮した並列化モード (IAPM) ^[13] OCB、EAX、CWC、CCM、GCMなど^がある。認証付き暗号化モードは、シングルパスモードとダブルパスモードに分類される。

さらに、一部のモードでは暗号化されていない関連データの認証も可能で、これらはAEAD (関連データを使用した認証済み暗号化) 方式と呼ばれます。たとえば、EAX モードはダブル パス AEAD 方式ですが、OCB モードはシングル パスです。

ガロア/カウンター モード (GCM) は、よく知られているカウンター モードの暗号化と新しいガロア モードの認証を組み合わせたものです。主な特徴は、認証に使用されるガロア体の乗算の並列計算が容易なことです。この機能により、暗号化アルゴリズムよりも高いスループットが可能になります。

GCM は、ブロック サイズが 128 ビットのブロック暗号用に定義されています。ガロア メッセージ認証コード (GMAC) は、増分メッセージ認証コードを形成できる、GCM の認証のみのバリエーションです。GCM と GMAC はどちらも、任意の長さの初期化ベクトルを受け入れることができます。GCM は並列処理を最大限に活用でき、GCM を実装すると、命令パイプラインまたはハードウェア パイプラインを効率的に使用できます。CBC モードの動作では、パイプラインの停止が発生し、効率とパフォーマンスが低下します。

CTR と同様に、ブロックには順番に番号が付けられ、このブロック番号は IV と組み合わされ、ブロック暗号E (通常は AES) で暗号化されます。この暗号化の結果は、プレーンテキストと XOR されて暗号文が生成されます。すべてのカウンター モードと同様に、これは基本的にストリーム暗号であるため、暗号化されるストリームごとに異なる IV を使用することが不可欠です。

暗号文ブロックは多項式の係数とみなされ、有限体演算を使用してキー依存の点Hで評価されます。結果は暗号化され、データの整合性を検証するために使用できる認証タグが生成されます。暗号化されたテキストには、IV、暗号文、認証タグが含まれます。

カウンタ付き暗号ブロック連鎖メッセージ認証コード（カウンタ付きCBC-MAC、CCM）は、認証と機密性の両方を提供するように設計された認証暗号化アルゴリズムです。CCMモードは、ブロック長が128ビットのブロック暗号に対してのみ定義されています。^{[14] [15]}

合成初期化ベクトル (SIV) は、ノンスの誤用に耐えるブロック暗号モードです。

SIV は疑似乱数関数 S2V を使用して内部 IV を合成します。S2V は CMAC に基づくキー付きハッシュであり、関数への入力は次のとおりです。

• 追加の認証データ（0、1、または複数の AAD フィールドがサポートされます）
• 平文
• 認証キー（K ₁）。

SIV は、暗号化キー (K ₂ ) を使用して、S2V 出力とプレーンテキストを AES-CTR で暗号化します。

SIVは外部ノンスベースの認証暗号化をサポートできます。その場合、認証されたデータフィールドの1つがこの目的に使用されます。RFC5297 ^[16]では、相互運用性のために、最後の認証されたデータフィールドに外部ノンスを使用する必要があると規定されています。

_{認証キー K 1}と暗号化キー K ₂の 2 つのキーを使用するため、SIV AEAD バリアントの命名スキームによって混乱が生じる可能性があります。たとえば、AEAD_AES_SIV_CMAC_256 は、AES-256ではなく、2 つの AES-128 キーを持つ AES-SIV を指します。

AES-GCM-SIVは、ガロア/カウンターモードと同様のパフォーマンスと、暗号ノンスの再利用時の不正使用耐性を提供するAdvanced Encryption Standardの動作モードです。その構造はRFC 8452で定義されています。^[17]

AES-GCM-SIV は内部 IV を合成します。POLYVAL ガロア ハッシュ関数を使用して、追加の認証データとプレーンテキストのハッシュを導出します。ハッシュは AES キーで暗号化され、認証タグと AES-CTR 初期化ベクトルとして使用されます。

AES-GCM-SIVは、非常によく似た名前のアルゴリズムGCM-SIVを改良したもので、いくつかの非常に小さな変更（AES-CTRの初期化方法など）がありますが、セキュリティに実用的な利点をもたらします。「この追加により、同じキーで最大2 ^{50のメッセージを暗号化できますが、GCM-SIVでは2 32}メッセージのみという大きな制限がありました。」^[18]

多くの動作モードが定義されています。そのうちのいくつかを以下に説明します。暗号モードの目的は、ECB の弱点の説明で示されているように、暗号化されたデータ内に存在するパターンをマスクすることです。

さまざまな暗号モードでは、暗号ブロックまたはその他のグローバルに決定的な変数からの出力を後続の暗号ブロックにカスケードすることでパターンをマスクします。リストされているモードの入力を次の表にまとめます。

注: g ( i ) は任意の決定論的関数であり、多くの場合恒等関数です。

最も単純な暗号化モードは、電子コードブック（ECB）モード（従来の物理コードブックにちなんで名付けられた^[19]）です。メッセージはブロックに分割され、各ブロックは個別に暗号化されます。ECBは暗号化プロトコルでの使用には推奨されていません。この方法の欠点は拡散が不足していることで、同一の平文ブロックを同一の暗号文ブロックに暗号化するときにデータパターンを隠すことができません。^{[20] [21] [22]}

ECB が暗号文に平文データ パターンをどの程度残すことができるかを示す顕著な例は、ECB モードを使用して、均一な色の大きな領域を含むビットマップ イメージを暗号化する場合に見ることができます。個々のピクセルの色は暗号化されているはずですが、元の画像内の同一色のピクセルのパターンが暗号化バージョンでも見えるため、画像全体は依然として識別可能です。

ECB モードでは、各ブロックがまったく同じ方法で復号化されるため、整合性保護のないプロトコルはリプレイ攻撃に対してさらに脆弱になる可能性があります。 ^{[引用が必要]}

エールサム、マイヤー、スミス、タックマンは1976年に暗号ブロック連鎖（CBC）モードを発明しました。^[23] CBCモードでは、平文の各ブロックは暗号化される前に前の暗号文ブロックと排他的論理和されます。このように、各暗号文ブロックは、その時点までに処理されたすべての平文ブロックに依存します。各メッセージを一意にするには、最初のブロックで初期化ベクトルを使用する必要があります。

最初のブロックのインデックスが1の場合、CBC暗号化の数式は次のようになります。

${\displaystyle C_{i}=E_{K}(P_{i}\oplus C_{i-1}),}$

${\displaystyle C_{0}=IV,}$

CBC復号の数式は

${\displaystyle P_{i}=D_{K}(C_{i})\oplus C_{i-1},}$

${\displaystyle C_{0}=IV.}$

CBC は最も一般的に使用されている動作モードです。主な欠点は、暗号化がシーケンシャルであること (つまり、並列化できない)、およびメッセージを暗号ブロック サイズの倍数にパディングする必要があることです。この最後の問題に対処する 1 つの方法は、暗号文の盗難と呼ばれる方法です。プレーンテキストまたは初期化ベクトル (IV) の 1 ビットの変更は、後続のすべての暗号文ブロックに影響することに注意してください。

誤った IV で復号化すると、平文の最初のブロックは破損しますが、後続の平文ブロックは正しいものになります。これは、各ブロックが平文ではなく前のブロックの暗号文と XOR されるため、現在のブロックの復号化の IV として使用する前に前のブロックを復号化する必要がないためです。つまり、平文ブロックは 2 つの隣接する暗号文ブロックから復元できます。結果として、復号化を並列化できます。暗号文を 1 ビット変更すると、対応する平文ブロックが完全に破損し、次の平文ブロックの対応するビットが反転しますが、残りのブロックはそのまま残ることに注意してください。この特性は、 POODLEなどのさまざまなパディング オラクル攻撃で悪用されます。

明示的な初期化ベクトル^[24]は、プレーンテキストの先頭にランダムなブロックを1つ追加することでこの特性を活用します。暗号化は通常どおり行われますが、IVを復号化ルーチンに伝える必要はありません。IV復号化が何を使用しても、ランダムブロックのみが「破損」します。これは安全に破棄でき、復号化の残りは元のプレーンテキストです。

伝播暗号ブロック連鎖^[25]または平文暗号ブロック連鎖^[26]モードは、暗号化時だけでなく復号時にも暗号文の小さな変更が無限に伝播するように設計されました。PCBCモードでは、平文の各ブロックは、暗号化される前に、前の平文ブロックと前の暗号文ブロックの両方とXOR演算されます。CBCモードと同様に、最初のブロックでは初期化ベクトルが使用されます。CBCとは異なり、誤ったIV（初期化ベクトル）でPCBCを復号すると、平文のすべてのブロックが破損します。

暗号化および復号化アルゴリズムは次のとおりです。

${\displaystyle C_{i}=E_{K}(P_{i}\oplus P_{i-1}\oplus C_{i-1}),P_{0}\oplus C_{0}=IV,}$

${\displaystyle P_{i}=D_{K}(C_{i})\oplus P_{i-1}\oplus C_{i-1},P_{0}\oplus C_{0}=IV.}$

PCBC は、 Kerberos v4とWASTEで最もよく使用されますが、それ以外では一般的ではありません。

PCBCモードで暗号化されたメッセージでは、隣接する2つの暗号文ブロックが交換されても、後続のブロックの復号化には影響しません。^[27]このため、Kerberos v5ではPCBCは使用されません。

暗号フィードバック(CFB) モードは、最も単純な形式では、ブロック暗号の出力全体を使用します。このバリエーションは CBC と非常に似ており、ブロック暗号を自己同期ストリーム暗号に変換します。このバリエーションの CFB 復号化は、CBC 暗号化を逆に実行した場合とほぼ同じです。

${\displaystyle {\begin{aligned}C_{i}&={\begin{cases}{\text{IV}},&i=0\\E_{K}(C_{i-1})\oplus P_{i},&{\text{otherwise}}\end{cases}}\\P_{i}&=E_{K}(C_{i-1})\oplus C_{i},\end{aligned}}}$

NIST SP800-38Aはビット幅を持つCFBを定義している。^[28] CFBモードでは、1 ≤ s ≤ bとなる整数パラメータ（sで示される）も必要である。以下のCFBモードの仕様では、各平文セグメント（Pj）と暗号文セグメント（Cj）はsビットで構成される。sの値は、1ビットCFBモード、8ビットCFBモード、64ビットCFBモード、128ビットCFBモードなど、モード名に組み込まれることがある。

これらのモードでは、基礎となるブロック暗号の出力が切り捨てられます。

${\displaystyle I_{0}={\text{IV}}.}$

${\displaystyle I_{i}={\big (}(I_{i-1}\ll s)+C_{i}{\big )}{\bmod {2}}^{b},}$

${\displaystyle C_{i}=\operatorname {MSB} _{s}{\big (}E_{K}(I_{i-1}){\big )}\oplus P_{i},}$

${\displaystyle P_{i}=\operatorname {MSB} _{s}{\big (}E_{K}(I_{i-1}){\big )}\oplus C_{i},}$

CFB-1 は自己同期型で、暗号文の損失に対して耐性があると考えられています。「1 ビット CFB モードを使用すると、挿入または削除されたビットの後の b+1 位置で同期が自動的に復元されます。CFB モードの s のその他の値、およびこの推奨事項のその他の機密性モードでは、同期を外部で復元する必要があります。」(NIST SP800-38A)。つまり、AES のような 128 ビット幅のブロック暗号で 1 ビットが失われると、有効なビットが出力される前に 129 ビットが無効になります。

CFB は、指定されたケース以外にも、いくつかの特別なケースで自己同期することがあります。たとえば、基礎となる 128 ビット ブロック暗号の CFB-128 で 1 ビットの変更があった場合、2 ブロック後に再同期されます。(ただし、CFB-128 などはビット損失を適切に処理しません。1 ビットの損失により、復号化器は暗号化器との整合を失います)

CBC モードと同様に、平文の変更は暗号文に永久に伝播し、暗号化は並列化できません。また、CBC と同様に、復号化は並列化できます。

CFB、OFB、CTR には、CBC モードに比べて 2 つの利点があります。ブロック暗号は暗号化方向にのみ使用され、メッセージは暗号ブロック サイズの倍数にパディングする必要がないことです (ただし、 CBC モードでは暗号文の盗難を使用してパディングを不要にすることもできます)。

出力フィードバック( OFB) モードは、ブロック暗号を同期ストリーム暗号に変換します。キーストリームブロックを生成し、これをプレーンテキスト ブロックとXOR して暗号文を取得します。他のストリーム暗号と同様に、暗号文のビットを反転すると、プレーンテキストの同じ場所に反転したビットが生成されます。この特性により、多くのエラー訂正コードは、暗号化前に適用された場合でも正常に機能します。

XOR 演算の対称性により、暗号化と復号化はまったく同じになります。

${\displaystyle C_{j}=P_{j}\oplus O_{j},}$

${\displaystyle P_{j}=C_{j}\oplus O_{j},}$

${\displaystyle O_{j}=E_{K}(I_{j}),}$

${\displaystyle I_{j}=O_{j-1},}$

${\displaystyle I_{0}={\text{IV}}.}$

各出力フィードバック ブロック暗号操作は、以前のすべての操作に依存するため、並列で実行することはできません。ただし、プレーンテキストまたは暗号文は最終 XOR にのみ使用されるため、ブロック暗号操作を事前に実行して、プレーンテキストまたは暗号文が利用可能になったら最終ステップを並列で実行することができます。

ゼロの定数文字列を入力として CBC モードを使用することで、OFB モードのキーストリームを取得できます。これは、OFB モードの暗号化に CBC モードの高速ハードウェア実装を使用できるため便利です。

CFBモードのように部分ブロックをフィードバックとしてOFBモードを使用すると、平均サイクル長が2 ³²倍以上減少します。デイヴィスとパーキンによって提案され、実験結果によって実証された数学モデルは、完全なフィードバックでのみ、達成可能な最大値に近い平均サイクル長を達成できることを示しました。このため、切り捨てられたフィードバックのサポートはOFBの仕様から削除されました。^[29]

注: CTR モード (CM) は、整数カウンタ モード(ICM) およびセグメント整数カウンタ(SIC) モードとも呼ばれます。

OFB と同様に、カウンター モードはブロック暗号をストリーム暗号に変換します。カウンター モードは、「カウンター」の連続値を暗号化することで次のキーストリームブロックを生成します。カウンターは、長時間繰り返されないことが保証されたシーケンスを生成する任意の関数にすることができますが、実際に 1 つずつ増加するカウンターが最も単純で人気があります。単純な決定論的入力関数の使用はかつて議論の的でした。批評家は、「暗号システムを既知の体系的な入力に意図的にさらすことは、不必要なリスクを表す」と主張しました。^[30]しかし、今日では CTR モードが広く受け入れられており、問題はすべて、入力の体系的な偏りに関係なく安全であると期待される基礎となるブロック暗号の弱点と見なされています。^[31] CBC とともに、CTR モードは、Niels Ferguson と Bruce Schneier によって推奨された 2 つのブロック暗号モードの 1 つです。^[32]

CTRモードは1979年にホイットフィールド・ディフィーとマーティン・ヘルマンによって導入されました^。[31]

CTRモードはOFBと同様の特性を持ちますが、復号化中にランダムアクセス特性も許可します。CTRモードは、ブロックを並列に暗号化できるマルチプロセッサマシンでの動作に適しています。さらに、OFBに影響を与える可能性のあるショートサイクルの問題もありません。^[33]

IV/ノンスがランダムな場合、それらをカウンターと任意の可逆演算（連結、加算、または XOR）を使用して組み合わせて、暗号化用の実際の一意のカウンター ブロックを作成できます。ランダムでないノンス（パケット カウンターなど）の場合、ノンスとカウンターを連結する必要があります（たとえば、128 ビットのカウンター ブロックの上位 64 ビットにノンスを格納し、下位 64 ビットにカウンターを格納する）。ノンスとカウンターを 1 つの値に加算または XOR するだけでは、多くの場合、選択平文攻撃によるセキュリティが破られます。これは、攻撃者が IV-カウンター ペア全体を操作して衝突を引き起こすことができる可能性があるためです。攻撃者が IV-カウンター ペアと平文を制御できるようになると、暗号文と既知の平文の XOR により、同じ IV-カウンター ペアを共有する他のブロックの暗号文と XOR すると、そのブロックを復号できる値が生成されます。^[34]

この図のnonceは、他の図の初期化ベクトル(IV) と同等であることに注意してください。ただし、オフセット/位置情報が破損している場合、バイト オフセットへの依存により、そのようなデータを部分的に回復することは不可能になります。

「エラー伝播」プロパティは、ビット エラーが発生したときに復号化がどのように動作するか、つまり、1 つのビットのエラーが別の復号化ビットにどのように連鎖するかを説明します。

ビット エラーは、攻撃によって意図的に発生する場合もあれば、伝送エラーによってランダムに発生する場合もあります。

• ランダム ビット エラーは、任意のビット位置で独立して発生し、その予想確率は ½ です。
• 特定のビット エラーは、元のビット エラーと同じビット位置で発生します。

• ストリーム暗号モード (OFB、CTR など) の特定のビット エラーは些細なものです。これらは、意図した特定のビットにのみ影響します。
• より複雑なモード (例: CBC) での特定のビット エラー:適応型選択暗号文攻撃では、さまざまな特定のビット エラーをインテリジェントに組み合わせて、暗号モードを破ることができます。パディング オラクル攻撃では、エラー応答に基づいて暗号化の秘密を推測することで、CBC を復号化できます。パディング オラクル攻撃のバリアント「CBC-R」(CBC リバース) を使用すると、攻撃者は有効なメッセージを作成できます。

最新の認証暗号化(AEAD) またはMAC から暗号化の順に連鎖されたメッセージ認証コードを持つプロトコルの場合、ビット エラーが発生すると復号化は完全に中止され、復号化に特定のビット エラーが発生してはなりません。つまり、復号化が成功した場合、ビット エラーは発生しません。そのため、エラーの伝播は、従来の機密性のみのモードよりも最新の暗号モードではそれほど重要ではありません。

(出典: SP800-38A 表 D.2: ビットエラーが復号化に与える影響の概要)

たとえば、ECB モードの暗号化では、送信された暗号文に 1 ブロックのエラーがあると、再構築された平文に 1 ブロックのエラーが発生しますが、CBC モードでは、そのようなエラーは 2 つのブロックに影響します。このような耐性は、ランダム エラー (回線ノイズなど) に対して望ましいと考える人もいれば、エラー訂正によって攻撃者が悪意を持ってメッセージを改ざんする余地が広がると主張する人もいました。

ただし、適切な整合性保護が使用されている場合、このようなエラーが発生すると (高い確率で) メッセージ全体が拒否されます。ランダム エラーに対する耐性が望ましい場合は、送信前に暗号文にエラー訂正コードを適用する必要があります。

ブロック暗号の動作モードは、他にも数多く提案されています。いくつかは受け入れられ、完全に説明され (標準化もされ)、使用されています。その他のモードは安全でないと判断され、決して使用すべきではありません。また、キー フィードバック モードやDavies-Meyerハッシュなど、機密性、信頼性、認証された暗号化として分類されないモードもあります。

NISTはModes Developmentでブロック暗号の提案モードのリストを管理している。^{[28] [35]}

ディスク暗号化では、多くの場合、アプリケーション専用に設計された特殊モードが使用されます。調整可能なナローブロック暗号化モード ( LRW、XEX、XTS ) とワイドブロック暗号化モード ( CMCおよびEME ) は、ディスクのセクターを安全に暗号化するように設計されています (ディスク暗号化理論を参照)。

多くのモードでは初期化ベクトル (IV) が使用され、モードによっては、一度だけ使用される (ノンス) か、公開前に予測できないなどの要件がある場合があります。 CTR、GCM、または OFB モードで同じキーを使用して IV を再利用すると、同じキーストリームが 2 つ以上のプレーンテキストで XOR され、ストリームの明らかな誤用となり、セキュリティが壊滅的に低下します。 NISTキー ラップアルゴリズムや SIV (RFC 5297) AEAD モードなどの決定論的認証暗号化モードでは、入力として IV は必要なく、特定のプレーンテキストとキーに対して毎回同じ暗号文と認証タグを返します。AES-GCM-SIVなどの他の IV 誤用防止モードは、たとえば 1 つのキーで安全に暗号化できるデータの最大量で IV 入力のメリットを享受しながら、同じ IV が複数回使用されても壊滅的な失敗をすることはありません。

ブロック暗号は、他の暗号化プロトコルでも使用できます。通常、ここで説明するブロック モードと同様の動作モードで使用されます。すべてのプロトコルと同様に、暗号的に安全であるためには、これらの動作モードを正しく設計するように注意する必要があります。

ブロック暗号を使用して暗号ハッシュ関数を構築する方式はいくつかあります。このような方法のいくつかの説明については、 一方向圧縮関数を参照してください。

ブロック暗号を使用して、暗号的に安全な疑似乱数ジェネレーター(CSPRNG) を構築することもできます。

メッセージ認証コード(MAC) は、多くの場合、ブロック暗号から構築されます。CBC -MAC、OMAC、PMACなどがその例です。

• ディスク暗号化
• メッセージ認証コード
• 認証された暗号化
• 一方向圧縮機能