チャチャ20-ポリ1305

ChaCha20-Poly1305は、ChaCha20ストリーム暗号とPoly1305メッセージ認証コードを組み合わせた、関連データ付き認証暗号化（AEAD）アルゴリズムです。 ^[1]ソフトウェアパフォーマンスが高速で、ハードウェアアクセラレーションがない場合でも、通常はAES-GCMよりも高速です。^{[1] : §B}

構築の2つの構成要素であるPoly1305アルゴリズムとChaCha20アルゴリズムは、2005年と2008年にDaniel J. Bernsteinによって独立して設計されました。^{[2] [3]}

2013年3月、IETF TLSワーキンググループに、古くなったRC4ベースの暗号スイートを置き換えるため、 eSTREAMコンペティション^[4]の優勝者であるSalsa20を組み込む提案がなされました。その後、IETF TLSメーリングリストで議論が行われ、Salsa20の代わりにChacha20を使用することや、パフォーマンスのためにユニバーサルハッシュベースのMACを使用することなど、さまざまな機能強化の提案が出されました。このプロセスの結果として、Adam Langleyの提案である、オリジナルのChaCha20アルゴリズムのバリアント（32ビットカウンターと96ビットノンスを使用）とオリジナルのPoly1305のバリアント（2つの文字列を認証）がIETFドラフト^{[5] [6]で統合され、} TLSとDTLSで使用されることになり、^[7]セキュリティとパフォーマンス上の理由から、新しくサポートされる暗号として選ばれました。^[8] IETFがTLSを採用した直後、ChaCha20、Poly1305、および複合AEADモードが認証暗号化暗号を介してOpenSSHに追加されました^{[9] [10]}が、ChaCha20アルゴリズムの元の64ビットカウンターと64ビットノンスは維持されました。 chacha20-poly1305@openssh.com

2015年に、AEADアルゴリズムはRFC 7539 ^[11]およびRFC 7634 ^[12]で標準化され、IPsecで使用されました。同年、Cloudflareによって代替暗号スイートとして統合されました。^[13]

2016年にRFC 7905 ^[14]では、TLS 1.2およびDTLS 1.2プロトコルでこれを使用する方法が説明されています。

2018年6月にRFC 7539が更新され、RFC 8439に置き換えられました。^[1]

ChaCha20-Poly1305 アルゴリズムは、256 ビットのキーと 96 ビットのnonceを入力として受け取り、平文を暗号化します^{[1] 。暗号文の拡張は 128 ビット (タグ サイズ) です。ChaCha20-Poly1305 構造では、ChaCha20 をカウンター モードで使用して、平文と}XOR 演算されるキー ストリームを導出します。次に、暗号文と関連データは、最初に 2 つの文字列を 1 つにエンコードする Poly1305 のバリアントを使用して認証されます。暗号とワンタイム認証子を組み合わせる方法は、最初のブロックを使用して認証子をシードし、その後暗号文を 16 バイトのタグで認証する方法において、 AES-GCM構造とまったく同じです。

ChaCha20 の主な外見上の違いは、AES-128 と AES-256 の両方で 16 バイト (128 ビット) であるのに対し、ChaCha20 では 64 バイト (512 ビット) のブロック サイズであることです。ブロック サイズが大きいほど、最新の CPU でより高いパフォーマンスが得られ、32 ビット カウンターがオーバーフローする前により大きなストリームが可能になります。

XChaCha20-Poly1305構造は、ChaCha20-Poly1305構造の拡張された192ビットノンスバリアントであり、ChaCha20の代わりにXChaCha20を使用します。ノンスをランダムに選択する場合、XChaCha20-Poly1305構造は元の構造よりも優れたセキュリティを実現します。この構造を標準化する草案は2020年7月に期限切れになりました。^[15]

Salsa20-Poly1305とXSalsa20-Poly1305はChaCha20-Poly1305とXChaCha20-Poly1305アルゴリズムの派生版で、ChaCha20とXChaCha20の代わりにSalsa20とXSalsa20を使用しています。これらはNaCl ^[16]とlibsodium ^[17]に実装されていますが、標準化されていません。ChaChaを使用する派生版はSalsaよりもラウンドあたりの拡散が優れているため、実際には好まれています。 ^[2]

ChaCha20は、ラウンド数を減らしたChaCha12とChaCha8に置き換えることができ、ChaCha12-Poly1305とChaCha8-Poly1305が生成されます。同じ変更をXChaCha20-Poly1305に適用できます。これらはRustCryptoチームによって実装されており、標準化されていません。^[18]

ChaCha20-Poly1305は、IPsec、^[1] SSH、^[19] TLS 1.2、DTLS 1.2、TLS 1.3、^{[14] [19]} WireGuard、^[20] S/MIME 4.0、^[21] OTR v4 ^[22]などの複数のプロトコルで使用されており、OpenSSLとlibsodiumに実装されています。さらに、このアルゴリズムは、標準的なデータ暗号化を提供するためにバックアップソフトウェアBorg ^[23]で使用され、オプションでファイルシステム全体の暗号化を行うためにコピーオンライトファイルシステムBcachefsでも使用されています。 ^[24]

ChaCha20-Poly1305 は通常、より普及しているAES - GCMアルゴリズムよりも優れたパフォーマンスを発揮しますが、CPU にAES-NI 命令セット拡張^[1]があるシステムでは例外です。その結果、ChaCha20-Poly1305 は、セキュリティ レベルが同等であることや、主にARMベースの CPU を使用するモバイル デバイスに関連する特定のユース ケースでは、AES-GCM よりも好まれることがあります。ChaCha20-Poly1305 は AES-GCM よりもオーバーヘッドが少ないため、モバイル デバイス上の ChaCha20-Poly1305 は AES-GCM よりも消費電力が少ない可能性があります。

ChaCha20-Poly1305構造は、標準モデルと理想的な順列モデルにおいて、シングルユーザーとマルチユーザー設定で一般的に安全です。 ^[25]しかし、GCMと同様に、セキュリティは暗号化されたメッセージごとに一意のナンスを選択することに依存しています。AES-GCMと比較すると、ChaCha20-Poly1305の実装はタイミング攻撃に対して脆弱ではありません。

注意すべき点は、SSHプロトコルが ChaCha20-Poly1305 を基礎プリミティブとして使用する場合、 Terrapin 攻撃に対して脆弱であるということです。

• 認証された暗号化
• ガロア/カウンターモード
• サルサ20
• ポリ1305

• Josefsson, Simon (2013-03-17). 「TLS における Salsa20 ストリーム暗号」。mailarchive.ietf.org。IETF。2024-07-31取得。参考までに、 Salsa20ストリーム暗号がどのように機能するかを説明するドラフトの -00 を公開しました。