籾殻とふるい分け

籾殻選別法は、安全でないチャネルを介してデータを送信する際に、暗号化を使用せずに機密性を実現する暗号技術です。この名前は農業に由来しています。穀物を収穫して脱穀した後、食べられない繊維質の籾殻が混ざったままになります。籾殻と穀物は籾殻選別によって分離され、籾殻は廃棄されます。この暗号技術はロン・リベスト氏によって考案され、1998年3月18日にオンライン記事で発表されました。^{[1]これは従来の暗号化と}ステガノグラフィの両方に類似していますが、どちらのカテゴリにも分類することはできません。

この技術により、送信者はメッセージを暗号化した責任を否定できます。チャフィングとウィノウイングを使用すると、送信者はメッセージを暗号化せずに平文で送信します。送信者と受信者は秘密鍵を共有しますが、その鍵は認証にのみ使用されます。ただし、第三者は特別に細工したメッセージを同じチャネルから同時に送信することで、通信を秘密にすることができます。

送信者 (アリス) は受信者 (ボブ)にメッセージを送信します。最も単純な設定では、アリスはメッセージ内のシンボルを列挙し、それぞれを別のパケットで送信します。シンボルが自然言語テキストのように十分に複雑な場合、攻撃者は本物のシンボルと偽造が不十分なチャフ シンボルを区別できる可能性があり、非常にリアルな偽物を生成する必要があるというステガノグラフィーと同様の問題が生じます。これを回避するには、シンボルを 0/1 の単一のビットに減らし、リアルな偽物を 50:50 でランダムに生成するだけで、本物のシンボルと区別がつかなくなります。一般に、この方法では各シンボルが順番に到着し、受信者によって認証される必要があります。パケットの順序が変わる可能性のあるネットワーク上で実装する場合、送信者はパケットにシンボルのシリアル番号、シンボル自体 (どちらも暗号化されていない)、およびメッセージ認証コード(MAC) を配置します。多くの MAC はアリスがボブと共有する秘密鍵を使用しますが、受信者がパケットを認証する方法があれば十分です。

Rivest は、chaffing-and-winnowing の興味深い特性として、第三者 (ISP など) が送信者/受信者の許可や調整を必要とせずに、都合よく通信にそれを追加できることを指摘しています。Alice のパケットを Bob に送信する第三者 ( 「Charles」と呼びます) は、対応するシリアル番号、任意のシンボル、および MAC の代わりにランダムな数値を含む、対応する偽のパケット (「chaff」と呼ばれる) をパケットに挿入します。Charles はこれを行うためにキーを知る必要はありません (実際の MAC は十分に大きいため、例とは異なり、有効な MAC が偶然生成される可能性は極めて低い)。Bob は MAC を使用して本物のメッセージを見つけ、「chaff」メッセージをドロップします。このプロセスは「winnowing」と呼ばれます。

アリスとチャールズの間にいる盗聴者は、アリスのメッセージを簡単に読むことができます。しかし、チャールズとボブの間にいる盗聴者は、どのパケットが偽物でどれが本物かを見分ける必要があります (つまり、選別する、つまり「小麦と籾殻を分ける」)。使用されている MAC が安全で、チャールズがパケットの真正性に関する情報を漏らさない場合 (たとえば、タイミングを介して)、これは不可能です。

この例に、偽造メッセージを送信して Alice になりすまそうとする第 4 の人物 ( Darthという名前) が加わった場合、Alice は秘密鍵を公開する必要があります。Darth が Alice に認証鍵を公開するよう強制できない場合 (この鍵を知っていれば Alice からのメッセージを偽造できます)、彼女のメッセージは機密のままです。一方、Charles は公開できる秘密鍵すら持っていないため、Darth のターゲットにはなりません。

上で説明したチャフィングとウィンノウイングの手法の単純なバリエーションでは、元のメッセージの 1 ビットあたりに多くのオーバーヘッドが追加されます。送信をより効率的にするために、アリスはメッセージをオール オア ナッシング変換で処理し、それをはるかに大きなチャンクで送信することができます。チャフ パケットはそれに応じて変更する必要があります。元のメッセージはすべてのチャンクがわかっている場合にのみ再構築できるため、チャールズは正しいパケットの組み合わせを見つけることが計算上不可能になるだけのチャフ パケットを送信する必要があります。

チャフィングとウィンノウイングは、インターネットなどのパケット交換ネットワーク環境での使用に特に適しています。この環境では、各メッセージ (ペイロードは通常小さい) が個別のネットワーク パケットで送信されます。この手法の別のバリエーションでは、チャールズは複数の送信者からのパケットを慎重にインターリーブします。これにより、チャールズが偽のパケットを生成して通信に挿入する必要がなくなります。ただし、アリスのメッセージのテキストは、チャールズを介して同時に通信している他の当事者から十分に保護されません。このバリエーションは、情報漏洩やトラフィック分析からの保護にも役立ちます。^[要出典]

ロン・リベストは、暗号化に関する法律、特に輸出規制は、暗号化を一切使用していないため、チャッフィングとウィンノウイングには適用されないと示唆している。 ^[1]

認証する力は多くの場合、管理する力であり、すべての認証権限を政府に委ねることは全く理不尽である。

— ロナルド・L・リベスト、1998年^[1]

論文の著者は、法執行の目的で全員の認証キーを政府に渡すことのセキュリティ上の意味合いは、キーを所有することで誰かが航空会社の管制官など別の組織になりすまして通信できるようになるため、非常に危険であると主張している。さらに、ロン・リベストは、不正な法執行官が通信に偽装情報を持ち込んで無実の当事者を陥れる可能性を考慮し、偽装情報やふるい分けを制限する法律を起草するのは非常に困難であると結論付けている。^[1]

選別という用語はロナルド・リベストの父親によって提案された。1998年にリベストの論文が出版される前に、他の人々が1965年の小説、 レックス・スタウトの『ドアベルが鳴った』を彼に紹介した。この小説は同じ概念を描写しており、論文の参考文献に含まれていた。^[1]

• ヌル暗号 – シンプルな暗号化形式
• 電子メールスパム – 電子メールによる迷惑な電子広告