Loading article…
CCM モード(カウンタ付き暗号ブロック チェーン メッセージ認証コード、カウンタ付きCBC-MAC ) は、暗号ブロック暗号の動作モードです。これは、認証と機密性の両方を提供するように設計された認証暗号化アルゴリズムです。CCM モードは、ブロック長が 128 ビットのブロック暗号に対してのみ定義されます。[1] [2]
CCMのノンスは、特定のキーに対して複数回使用されないように慎重に選択する必要があります。これは、CCMがカウンター（CTR）モードの派生であり、後者が実質的にストリーム暗号であるためです。[3]
暗号化と認証
名前が示すように、CCM モードは、機密性のためのカウンター (CTR) モードと、認証のための暗号ブロック チェーン メッセージ認証コード (CBC-MAC)を組み合わせたものです。これら 2 つのプリミティブは、「認証してから暗号化する」という方法で適用されます。つまり、最初にメッセージに対して CBC-MAC を計算してメッセージ認証コード (MAC)を取得し、次にメッセージと MAC をカウンター モードを使用して暗号化します。主な洞察は、暗号化で使用されるカウンター値が認証で使用される (事前) 初期化ベクトルと衝突しない限り、両方に同じ暗号化キーを使用できることです。この組み合わせには、基礎となるブロック暗号のセキュリティに基づくセキュリティの証明[4] が存在します。この証明は、任意のブロック サイズ、および任意のサイズの暗号的に強力な 疑似ランダム関数に対する CCM の一般化にも適用されます(カウンター モードと CBC-MAC の両方で、ブロック暗号は一方向にのみ使用されるため)。
CCM モードは、Russ Housley、Doug Whiting、 Niels Fergusonによって設計されました。CCM モードが開発された当時、Russ Housley はRSA Laboratoriesに勤務していました。
CCM のマイナーバージョンである CCM* は、Zigbee標準で使用されています。CCM* には CCM のすべての機能が含まれています。MAC の長さを 0 まで選択できます (0 の場合、認証は無効になり、暗号化のみになります)。[5]
パフォーマンス
CCM では、暗号化および認証されたメッセージの各ブロックに対して 2 つのブロック暗号暗号化操作が必要であり、関連する認証済みデータの各ブロックに対して 1 つの暗号化が必要です。
Crypto++ベンチマークによると、AES CCMは32ビットモードのIntel Core 2プロセッサで1バイトあたり28.6サイクルを必要とする。 [6]
注目すべき非効率性:
- CCM は、メッセージ (および関連データ) の長さを事前に知っておく必要があるという点で、関連データ付き「オンライン」認証暗号化 (AEAD) ではありません。
- MAC 構築では、関連データの長さは可変長エンコードされ、マシンのワード サイズよりも短くなる場合があります。これにより、関連データが長い場合 (まれですが)、MAC のパフォーマンスが悲観的になる可能性があります。
- 関連データはメッセージ データの後に処理されるため、静的な関連データの状態を事前に計算することはできません。
特許
CCM モード開発のきっかけとなったのは、 IEEE 802.11i標準へのオフセット コードブック (OCB) モードの組み込み提案でした。アルゴリズムに関する特許出願が保留中であったため、OCB モードの組み込みには反対の声が上がりました。特許取得済みのアルゴリズムを組み込むことは、標準の実装者にとってライセンスの重大な複雑化を意味しました。
OCB モードの組み込みについては、これらの知的財産の問題を理由に議論されましたが、認証された暗号化システムによって提供される簡素化が望ましいという点では合意されました。そのため、Housley らは、特許に縛られない潜在的な代替手段として CCM モードを開発しました。
CCM モードは OCB モードよりも効率が低いですが、特許ライセンスの問題で複雑になるソリューションよりも、特許フリーのソリューションの方が望ましいとされました。そのため、CCM モードは IEEE 802.11i 標準の必須コンポーネントとなり、OCB モードはオプション コンポーネントのステータスに格下げされ、最終的には完全に削除されました。
使用
CCMモードは、 IEEE 802.11i（WPA2のCCM暗号化プロトコルであるCCMPとして）、IPsec [7]、TLS 1.2 [8]、Bluetooth Low Energy （ Bluetooth 4.0以降）で使用されています。[9] TLS 1.3では利用可能ですが、OpenSSLではデフォルトでは有効になっていません。[10]
参照
参考文献
- ^ Dworkin, Morris (2004 年 5 月)。ブロック暗号の動作モードに関する推奨事項: 認証と機密性のための CCM モード( PDF ) (技術レポート)。NIST 特別出版物。NIST。doi : 10.6028 /NIST.SP.800-38C。800-38C。
- ^ Whiting, D.; Housley, R.; Ferguson, N. (2003 年 9 月). CBC-MAC によるカウンタ (CCM). IETF . doi : 10.17487/RFC3610 . RFC 3610.
- ^ Housley, Russ (2005 年 12 月). 「rfc4309」. IETF : 3.
AES CCM は暗号化にカウンター モードを採用しています。他のストリーム暗号と同様に、同じキーで同じ IV 値を再利用すると、壊滅的な結果になります。
- ^ Jonsson, Jakob (2003). 「CTR + CBC-MAC のセキュリティについて」(PDF) .暗号化の特定分野. コンピュータサイエンスの講義ノート. 第 2595 巻. pp. 76–93. doi :10.1007/3-540-36492-7_7. ISBN 978-3-540-00622-0。
- ^ 「付録 B: CCM* 動作モード」。IEEE ローカルおよびメトロポリタン エリア ネットワーク標準 - パート 15.4: 低速ワイヤレス パーソナル エリア ネットワーク (LR-WPAN) (PDF)。IEEE標準。2011 年 9 月 5 日。p. 229。2015年 12 月 18 日に閲覧。
- ^ 「Crypto++ 5.6.0 ベンチマーク」。Crypto ++ 。 2015年9月6日閲覧。
- ^ RFC 4309 IPsec カプセル化セキュリティペイロード (ESP) を使用した Advanced Encryption Standard (AES) CCM モードの使用
- ^ RFC 6655 トランスポート層セキュリティ (TLS) 用の AES-CCM 暗号スイート
- ^ 「Bluetooth Low Energy Security」。2016年4月2日時点のオリジナルよりアーカイブ。2017年4月20日閲覧。
- ^ Caswell, Matt (2017-05-04). 「OpenSSL での TLS1.3 の使用」。OpenSSLブログ。2018 年 12 月 29 日閲覧。