カメリア（暗号）

カメリア
一般的な
デザイナー	三菱電機、NTT
初版	2000
由来	E2、ミスティ1
認証	クリプトレック、ネッシー
暗号の詳細
キーサイズ	128、192、または256ビット
ブロックサイズ	128ビット
構造	フェイステルネットワーク
ラウンド	18または24
最高の公開暗号解読
	修正されたCamellia上での選択平文を必要とする短縮差分暗号解読は7段と8段に短縮された。不可能差分攻撃。

暗号学において、カメリアはブロックサイズが128ビット、鍵サイズが128、192、256ビットの対称鍵ブロック暗号である。これは三菱電機と日本のNTTが共同で開発した。この暗号は、ISO / IEC、欧州連合のNESSIEプロジェクト、日本のCRYPTRECプロジェクトでの使用が承認されている。この暗号は、 Advanced Encryption Standardに匹敵するセキュリティレベルと処理能力を備えている。^[3]

この暗号は、低コストのスマートカードから高速ネットワークシステムまで、ソフトウェアとハードウェアの両方の実装に適したように設計されています。これは、インターネットなどのコンピュータネットワーク上で通信のセキュリティを提供するために設計されたトランスポート層セキュリティ（TLS）^[4] 暗号化プロトコルの一部です。

この暗号は日本で開発されたため、また長寿の花として知られる ツバキにちなんで名付けられました。

デザイン

Camellia は、18 ラウンド (128 ビットキー使用時) または 24 ラウンド (192 ビットまたは 256 ビットキー使用時) のFeistel 暗号です。6 ラウンドごとに、いわゆる「FL 関数」またはその逆である論理変換レイヤーが適用されます。Camellia は、入力および出力のアフィン変換と論理演算を備えた 4 つの 8×8 ビットS ボックスを使用します。この暗号では、入力および出力のキーホワイトニングも使用されます。拡散層では、分岐数が5 の行列に基づく線形変換が使用されます。^[^{引用が必要}^]

セキュリティ分析

Camellia は、最新の安全な暗号と考えられています。キーサイズを小さくしたオプション (128 ビット) を使用した場合でも、現在の技術では、キーに対するブルートフォース攻撃で Camellia を破ることは不可能だと考えられています。暗号を大幅に弱める成功した攻撃は知られていません。この暗号は、ISO/IEC、欧州連合のNESSIEプロジェクト、日本の CRYPTRECプロジェクトで使用が承認されています。日本の暗号は、AES/Rijndael暗号に匹敵するセキュリティレベルと処理能力を備えています。 ^[3]

カメリアは、多変数多項式の最小システムによって完全に定義できるブロック暗号です。^[^曖昧^]^[5]

Camellia（およびAES）のSボックスは、 80項の23の二次方程式のシステムで記述できます。^[6]
キースケジュールは、 3,328の線形項と二次項を使用した768の変数の1,120の方程式で記述できます。^[5]
ブロック暗号全体は、14,592の線形項と二次項を使用した2,816の変数を持つ5,104の方程式で記述できます。^[5]
合計で、17,920の線形項と二次項を使用した3,584の変数の6,224の方程式が必要である。^[5]
自由項の数は11,696 で、 AESとほぼ同じ数です。

理論的には、このような特性により、将来、攻撃が実行可能になれば、拡張スパース線形化などの代数的攻撃を使用してCamellia (およびAES ) を破ることが可能になる可能性があります。

特許状況

Camelliaは特許を取得していますが、ロイヤリティフリーのライセンスで利用可能です。^[7]これにより、Camellia暗号は2006年11月からオープンソースライセンスの下でOpenSSLプロジェクトの一部となりました。 ^{[8]また、Mozillaの}NSS（ネットワークセキュリティサービス）モジュールの一部にもなりました。 ^[9]

採択

Camelliaのサポートは、2008年にMozilla Firefox 3の最終リリースに追加されました^[9]（2014年のFirefox 33では「ブラウザが提供するデフォルトのTLS暗号スイートを変更する提案」 ^[11]^の精神に基づきデフォルトで無効にされ、2015年のバージョン37からは削除されました^[12]）。Mozilla/FirefoxのフォークであるPale Moonは引き続きCamelliaを提供し、暗号に Galois/Counterモード（GCM）スイートを含めるようにサポートを拡張しましたが^[13]、リリース27.2.0ではGCMモードを再び削除しました。明らかに関心が低いためです。

2008年後半、FreeBSDリリースエンジニアリングチームは、この暗号がFreeBSD 6.4-RELEASEにも含まれていることを発表しました。また、Camellia暗号のサポートは、Yoshisato YanagisawaによってFreeBSDのディスク暗号化ストレージクラスgeliに追加されました。^[14]

2009年9月、GNU Privacy Guardはバージョン1.4.10でCamelliaのサポートを追加しました。^[15]

VeraCrypt （ TrueCryptのフォーク）は、サポートされている暗号化アルゴリズムの1つとしてCamelliaを含んでいました。^[16]

さらに、 Crypto++、GnuTLS、mbed TLS、OpenSSLなどのさまざまな一般的なセキュリティライブラリにも Camellia のサポートが含まれています。

ThalesとBloombaseは、データ暗号化サービスでCamellia暗号化をサポートしています。^[17]

2013年3月26日、Camelliaは日本で開発された唯一の128ビットブロック暗号アルゴリズムとして、日本の新しい電子政府推奨暗号リストに再び採用されたことが発表されました。これは、CRYPTRECリストが10年ぶりに更新されたことと一致しています。この選択は、Camelliaの入手の容易さと、Advanced Encryption Standard (AES)に匹敵するセキュリティとパフォーマンス機能に対する高い評価に基づいています。Camelliaは完全な実装のままです。^{[18] FL/FL}^-1層なしで12ラウンドのCamelliaに対する不可能な差分攻撃は存在します。^[19]

パフォーマンス

Camelliaが使用するSボックスはAESのSボックスと似た構造を持っている。そのため、アフィン同型性により、x86 AES-NIやx86 GFNIなどのAES用に設計されたCPU命令セットを使用してCamelliaソフトウェア実装を高速化することができる。^[20]^[21]

標準化

Camelliaはいくつかの標準化団体によって標準暗号として認定されている。^[22]

クリプトレック
ネッシー
国際電気通信連合
- アルゴリズム
  - RFC 3713: Camellia 暗号化アルゴリズムの説明
- ブロック暗号モード
  - RFC 5528: Camellia カウンターモードと CBC-MAC モードアルゴリズムを使用した Camellia カウンター
- SMIME
  - RFC 3657: 暗号メッセージ構文 (CMS) における Camellia 暗号化アルゴリズムの使用
- XML暗号化
  - RFC 4051: 追加の XML セキュリティ URI (Uniform Resource Identifier)
- TLS/SSL
  - RFC 4132: トランスポート層セキュリティ (TLS) への Camellia 暗号スイートの追加
  - RFC 5932: TLS 用 Camellia 暗号スイート
  - RFC 6367: トランスポート層セキュリティ (TLS) への Camellia 暗号スイートの追加
- IPsec
  - RFC 4312: Camellia 暗号アルゴリズムと IPsec での使用
  - RFC 5529: IPsec で使用するための Camellia の動作モード
- ケルベロス
  - RFC 6803: Kerberos 5 の Camellia 暗号化
- オープンPGP
  - RFC 5581: OpenPGP の Camellia 暗号
- CMSにおける RSA-KEM
  - RFC 5990: 暗号メッセージ構文 (CMS) における RSA-KEM キー転送アルゴリズムの使用
- 韓国
  - RFC 6030: ポータブル対称鍵コンテナ (PSKC)
- スマートグリッド
  - RFC 6272: スマートグリッド向けインターネットプロトコル
ISO/IEC
- ISO/IEC 18033-3:2010 情報技術 - セキュリティ技術 - 暗号化アルゴリズム - パート 3: ブロック暗号
国際電気通信連合
- NGNのセキュリティメカニズムと手順(Y.2704)
RSA ラボラトリーズ
- PKCS#11で承認された暗号
TV-Anytime フォーラム
- 放送アプリケーション向け TV-Anytime 著作権管理および保護情報で承認された暗号
- 双方向メタデータ配信保護における承認された暗号

参考文献

^ Lee, Seonhee; Hong, Seokhie; Lee, Sangjin; Lim, Jongin; Yoon, Seonhee (2001)。「Camellia の切断差分暗号解析」。Kim, Kwangjo (編)。情報セキュリティと暗号学 - ICISC 2001、第 4 回国際会議、ソウル、韓国、2001 年 12 月 6 ～ 7 日、議事録。コンピュータサイエンスの講義ノート。第 2288 巻。Springer。pp. 32 ～ 38。doi : 10.1007 /3-540-45861-1_3。
^ Céline Blondeau、Seokhie Hong、Sangjin Lee、Jongin Lim、Seonhee Yoon (2015)。「13ラウンドCamellia-192に対する不可能な差分攻撃」。Information Processing Letters。115 (9): 660–666。doi : 10.1016 /j.ipl.2015.03.008 。 2022年10月22日閲覧。
^ ab 「ニュースリリース 050710: 日本初 128 ビットブロック暗号「Camellia」がインターネットの新標準暗号化アルゴリズムとして承認」NTT。2005 年 7 月 20 日。
^ RFC 4132 トランスポート層セキュリティ (TLS) への Camellia 暗号スイートの追加
^ abcd Alex Biryukov、Christophe De Canniere (2003)、「ブロック暗号と二次方程式のシステム」、Fast Software Encryption、Lecture Notes in Computer Science、vol. 2887、Springer-Verlag、pp. 274–289、CiteSeerX 10.1.1.95.349、doi :10.1007/978-3-540-39887-5_21、ISBN 978-3-540-20449-7
^ Nicolas T. Courtois、Josef Pieprzyk (2002)、「過剰定義方程式系によるブロック暗号の暗号解析」(PDF)、Springer-Verlag、pp. 267–287、2010-08-13取得
^ 「NTT暗号・デジタル署名アルゴリズムの必須特許の無償ライセンスのお知らせ」（プレスリリース）NTT. 2001-04-17.
^ 「オープンソースコミュニティ OpenSSL プロジェクト、日本で開発された次世代国際標準暗号「Camellia」を採用」（プレスリリース）。NTT。2006-11-08。
^ ab 金井元 (2007年7月30日). 「Camellia cipher added to Firefox」. Mozilla . 2012年12月21日時点のオリジナルよりアーカイブ。
^ 「バグ 1036765 – 「ブラウザ暗号スイート」提案に含まれていないがまだ有効になっている暗号スイートを無効にする」。Mozilla。2015年1 月 9 日閲覧。
^ Smith, Brian (2013 年 8 月 8 日)。「ブラウザーが提供するデフォルトの TLS 暗号スイートを変更する提案」Briansmith.org。2015年 1 月 9 日閲覧。
^ 「バグ 1037098 – バグ 1036765 で無効になっている暗号スイートの設定を削除します (Camellia および一部の 3DES および DSS 暗号スイート)」。Mozilla。2015年 2 月 26 日閲覧。
^ Moonchild (2016年1月26日). 「Pale Moon 26.0 リリースノート」. PaleMoon.org .
^ 「FreeBSD システム管理者マニュアル: GELI(8)」。FreeBSD.org。2011年3月9日。
^ 「GnuPG 1.4.10 リリース」。GnuPG.org。2009年 9 月 2 日。
^ 「Camellia」。VeraCryptドキュメント。IDRIX。2018年 2 月 3 日閲覧。
^ 「商品情報（海外）」
^ 「Camellia 暗号化アルゴリズムが新しい電子政府推奨暗号リストに選出」MitsubishiElectric.com 2013 年 3 月 26 日。
^ Wu, Wen-Ling; Zhang, Wen-Tao; Feng, Deng-Guo (2007 年 5 月 3 日)。「縮小ラウンド ARIA および Camellia の不可能な差分暗号解析」。Journal of Computer Science and Technology。22 ( 3): 449–456。doi : 10.1007 /s11390-007-9056-0。S2CID 855434。
^ Kivilinna, Jussi (2013). ブロック暗号: x86-64 アーキテクチャでの高速実装(PDF) (M.Sc.).オウル大学. pp. 33, 42 . 2017-06-22閲覧。
^ Kivilinna, Jussi (2022-05-01). 「camellia: amd64 GFNI/AVX512 実装を追加」. git.gnupg.org Gitweb . 2022-07-06閲覧。
^ 「Camellia標準化関連情報」。2013年11月30日閲覧。

一般的な

Xin-jie Zhao、Tao Wang、Yuan-yuan Zheng (2009)。「Camellia ブロック暗号に対するキャッシュタイミング攻撃」(PDF)。IACR。pp . 1–18。2013年 1 月 14日閲覧。

Xin-jie Zhao、Tao Wang (2009)。「Camellia に対する改良型差動フォールト攻撃」(PDF)。IACR。pp. 1–18 。2013 年 1 月 14 日閲覧。

Xin-jie Zhao、Tao Wang (2010)。「断層の幅と深さの調査によるCamelliaに対する差分断層攻撃のさらなる改善」(PDF)。IACR。pp. 1–16 。 2013年1月14日閲覧。

外部リンク

NTTによるカメリアの英語ホームページ
256 ビット暗号 – CAMELLIA リファレンス実装と派生コード
RFC 3657 暗号メッセージ構文 (CMS) における Camellia 暗号化アルゴリズムの使用
RFC 3713 Camellia 暗号化アルゴリズムの説明
RFC 4051 追加の XML セキュリティユニフォームリソース識別子 (URI)
RFC 4132 トランスポート層セキュリティ (TLS) への Camellia 暗号スイートの追加
RFC 4312 Camellia 暗号アルゴリズムと IPsec での使用
RFC 5528 Camellia カウンターモードと CBC-MAC モードアルゴリズムを使用した Camellia カウンター
RFC 5529 IPsec で使用する Camellia の動作モード
RFC 5581 Camellia Cipher をOpenPGPの IETF 標準として認定
RFC 5932 TLS 用 Camellia 暗号スイート
RFC 5990 暗号メッセージ構文 (CMS) における RSA-KEM キー転送アルゴリズムの使用
RFC 6030 ポータブル対称鍵コンテナ (PSKC)
RFC 6272 スマートグリッド向けインターネットプロトコル
RFC 6367 トランスポート層セキュリティ (TLS) への Camellia 暗号スイートの追加
ISO/IEC 18033-3:2010 情報技術 - セキュリティ技術 - 暗号化アルゴリズム - パート 3: ブロック暗号

[Cryptanalysis-of-Camellia-1] Lee, Seonhee; Hong, Seokhie; Lee, Sangjin; Lim, Jongin; Yoon, Seonhee (2001)。「Camellia の切断差分暗号解析」。Kim, Kwangjo (編)。情報セキュリティと暗号学 - ICISC 2001、第 4 回国際会議、ソウル、韓国、2001 年 12 月 6 ～ 7 日、議事録。コンピュータサイエンスの講義ノート。第 2288 巻。Springer。pp. 32 ～ 38。doi : 10.1007 /3-540-45861-1_3。

[Impossible_differential_attack_on_13-round_Camellia-192-2] ^ Céline Blondeau、Seokhie Hong、Sangjin Lee、Jongin Lim、Seonhee Yoon (2015)。「13ラウンドCamellia-192に対する不可能な差分攻撃」。Information Processing Letters。115 (9): 660–666。doi : 10.1016 /j.ipl.2015.03.008 。 2022年10月22日閲覧。

[camellia-aes-3] 「ニュースリリース 050710: 日本初 128 ビットブロック暗号「Camellia」がインターネットの新標準暗号化アルゴリズムとして承認」NTT。2005 年 7 月 20 日。

[4] RFC 4132 トランスポート層セキュリティ (TLS) への Camellia 暗号スイートの追加

[quadratic-5] Alex Biryukov、Christophe De Canniere (2003)、「ブロック暗号と二次方程式のシステム」、Fast Software Encryption、Lecture Notes in Computer Science、vol. 2887、Springer-Verlag、pp. 274–289、CiteSeerX 10.1.1.95.349、doi :10.1007/978-3-540-39887-5_21、ISBN 978-3-540-20449-7

[6] Nicolas T. Courtois、Josef Pieprzyk (2002)、「過剰定義方程式系によるブロック暗号の暗号解析」(PDF)、Springer-Verlag、pp. 267–287、2010-08-13取得

[7] 「NTT暗号・デジタル署名アルゴリズムの必須特許の無償ライセンスのお知らせ」（プレスリリース）NTT. 2001-04-17.

[8] 「オープンソースコミュニティ OpenSSL プロジェクト、日本で開発された次世代国際標準暗号「Camellia」を採用」（プレスリリース）。NTT。2006-11-08。

[firefox-9] 金井元 (2007年7月30日). 「Camellia cipher added to Firefox」. Mozilla . 2012年12月21日時点のオリジナルよりアーカイブ。

[10] 「バグ 1036765 – 「ブラウザ暗号スイート」提案に含まれていないがまだ有効になっている暗号スイートを無効にする」。Mozilla。2015年1 月 9 日閲覧。

[11] Smith, Brian (2013 年 8 月 8 日)。「ブラウザーが提供するデフォルトの TLS 暗号スイートを変更する提案」Briansmith.org。2015年 1 月 9 日閲覧。

[12] 「バグ 1037098 – バグ 1036765 で無効になっている暗号スイートの設定を削除します (Camellia および一部の 3DES および DSS 暗号スイート)」。Mozilla。2015年 2 月 26 日閲覧。

[13] Moonchild (2016年1月26日). 「Pale Moon 26.0 リリースノート」. PaleMoon.org .

[14] 「FreeBSD システム管理者マニュアル: GELI(8)」。FreeBSD.org。2011年3月9日。

[15] 「GnuPG 1.4.10 リリース」。GnuPG.org。2009年 9 月 2 日。

[16] 「Camellia」。VeraCryptドキュメント。IDRIX。2018年 2 月 3 日閲覧。

[17] 「商品情報（海外）」

[18] 「Camellia 暗号化アルゴリズムが新しい電子政府推奨暗号リストに選出」MitsubishiElectric.com 2013 年 3 月 26 日。

[19] Wu, Wen-Ling; Zhang, Wen-Tao; Feng, Deng-Guo (2007 年 5 月 3 日)。「縮小ラウンド ARIA および Camellia の不可能な差分暗号解析」。Journal of Computer Science and Technology。22 ( 3): 449–456。doi : 10.1007 /s11390-007-9056-0。S2CID 855434。

[20] Kivilinna, Jussi (2013). ブロック暗号: x86-64 アーキテクチャでの高速実装(PDF) (M.Sc.).オウル大学. pp. 33, 42 . 2017-06-22閲覧。

[21] Kivilinna, Jussi (2022-05-01). 「camellia: amd64 GFNI/AVX512 実装を追加」. git.gnupg.org Gitweb . 2022-07-06閲覧。

[22] 「Camellia標準化関連情報」。2013年11月30日閲覧。