選択平文攻撃

選択平文攻撃（CPA）は、攻撃者が任意の平文の暗号文を入手できることを前提とした暗号解読の攻撃モデルである。^{[1]この攻撃の目的は、}暗号化方式のセキュリティを低下させる情報を得ることである。 ^[2]

現代の暗号は、選択平文攻撃下での暗号文の判別不能性とも呼ばれる意味的セキュリティを提供することを目的としており、そのため、正しく実装されていれば、設計上、選択平文攻撃の影響を受けないのが一般的です。

選択平文攻撃では、攻撃者は（おそらく適応的に）任意の平文メッセージの暗号文を要求することができます。これは、攻撃者がブラックボックスとして見なされる暗号化オラクルと対話できるようにすることで形式化されます。攻撃者の目的は、秘密の暗号化キーのすべてまたは一部を明らかにすることです。

実際には、攻撃者が与えられた平文の暗号文を取得することは不可能に思えるかもしれません。しかし、現代の暗号化はソフトウェアまたはハードウェアに実装されており、さまざまなアプリケーションに使用されています。多くの場合、選択平文攻撃は非常に実行可能です (「実際の状況」も参照)。選択平文攻撃は、暗号化キーが公開されているため、攻撃者が任意の平文を暗号化できる 公開キー暗号化のコンテキストでは非常に重要になります。

選択平文攻撃には 2 つの形式があります。

• バッチ選択平文攻撃では、攻撃者は対応する暗号文を見る前にすべての平文を選択します。これは、限定されていない場合に「選択平文攻撃」が意図する意味であることが多いです。
• 適応型選択平文攻撃（CPA2）。攻撃者は、いくつかの平文の暗号文を見た後、追加の平文の暗号文を要求できます。

一般的なバッチ選択平文攻撃は次のように実行されます^{[検証失敗]} :

1. 攻撃者はn 個の平文を選択できます。(このパラメータnは攻撃モデルの一部として指定され、制限される場合とされない場合があります。)
2. 次に、攻撃者はこれらの n 個のプレーンテキストを暗号化オラクルに送信します。
3. 暗号化オラクルは、攻撃者の平文を暗号化し、攻撃者に送り返します。
4. 攻撃者はオラクルからn 個の暗号文を受け取り、どの暗号文が各平文に対応するかを把握します。
5. 攻撃者は、平文と暗号文のペアに基づいて、オラクルが平文を暗号化するために使用したキーを抽出しようと試みることができます。このタイプの攻撃では、攻撃者は必要に応じて平文を自由に作成できるため、攻撃の複雑さが軽減される可能性があります。

上記の状況の次の拡張を考えてみましょう。最後のステップの後、

1. 攻撃者は2つの平文m ₀とm ₁を出力します。
2. ビットb は均一にランダムに選択されます。${\displaystyle b\leftarrow \{0,1\}}$
3. 攻撃者はm _bの暗号化を受け取り、どの平文を受け取ったかを「推測」し、ビットb'を出力します。

上記の実験を実行した後、攻撃者が1/2よりも無視できない確率で正しく推測できない場合（b = b' ）、その暗号は選択平文攻撃に対して区別がつかない暗号化を持つ。 ^[3]

次の例は、他のセキュリティ定義を満たす一部の暗号が、選択平文攻撃によってどのように破られる可能性があるかを示しています。

シーザー暗号に対する次の攻撃により、秘密鍵を完全に復元できます。

1. 敵が次のようなメッセージを送信したとしますAttack at dawn。
2. そして神託は返されるNggnpx ng qnja。
3. 攻撃者はその後、シーザー暗号と同じ方法で鍵を復元することができます。攻撃者はA→N、T→Gなどの置換を推測することができます。これにより、攻撃者は 13 がシーザー暗号で使用された鍵であると判断できます。

より複雑で複雑な暗号化方法では、復号化方法のリソース消費量が増えますが、中核となる概念はほぼ同じです。

ワンタイム パッドに対する次の攻撃により、秘密鍵を完全に復元できます。メッセージの長さと鍵の長さがnに等しいと仮定します。

1. 攻撃者はn 個のゼロで構成される文字列をオラクルに送信します。
2. オラクルは、キーとゼロの文字列のビット単位の 排他的論理和を返します。
3. オラクルによって返される文字列が秘密鍵です。

ワンタイム パッドは情報理論的に安全な暗号システムの例として使用されていますが、このセキュリティは CPA セキュリティよりも弱いセキュリティ定義の下でのみ有効です。これは、CPA セキュリティの正式な定義では、暗号化オラクルに状態がないためです。この脆弱性は、すべての実用的な実装に当てはまるわけではありません。キーの再利用を回避すれば、ワンタイム パッドを安全にすることができます (これが「ワンタイム」パッドという名前が付けられた理由です)。

第二次世界大戦中、米海軍の暗号解読者は日本が「AF」と呼ばれる場所を攻撃する計画を立てていることを発見した。ハワイ諸島の他の場所には「A」で始まる暗号があったため、彼らは「AF」はミッドウェー島ではないかと考えた。「AF」が「ミッドウェー島」に相当するという仮説を証明するために、彼らはミッドウェーの米軍に物資不足に関する平文メッセージを送るよう依頼した。日本軍はそのメッセージを傍受し、すぐに上層部に「AF」の水が不足していると報告した。これにより海軍の仮説が裏付けられ、戦闘に勝つための部隊配置が可能になった。 [ ^{3] [4]}

また、第二次世界大戦中、ブレッチリー・パークの連合軍の暗号解読者は、ドイツ海軍のグリッド参照システムに略語や代替案がない位置に機雷を敷設するようイギリス空軍に依頼することがあった。機雷を見たドイツ軍がエニグマ機を使って機雷に関する警告メッセージと機雷除去後の「クリア」メッセージを暗号化し、連合軍にドイツ海軍のエニグマを解読するのに十分な情報を与えることを期待していた。この既知平文を埋め込むプロセスはガーデニングと呼ばれた。^[5]連合軍の暗号解読者は、二重スパイのフアン・プジョル・ガルシアが送信したメッセージの作成にも協力した。プジョル・ガルシアの暗号化された無線報告はマドリードで受信され、手動で解読された後、エニグマ機で再暗号化されてベルリンに送信された。^{[6]これにより、暗号解読者は元の}テキスト を提供して、第2区間で使用されたコードを解読することができた。^[7]

現代では、対称暗号を破るために選択平文攻撃 (CPA) がよく使用されます。対称暗号が CPA に対して安全であるとみなされるためには、選択平文攻撃に対して脆弱であってはなりません。したがって、対称暗号の実装者は、攻撃者が暗号を破ろうとする方法を理解し、適切な改善を行うことが重要です。

一部の選択平文攻撃では、攻撃者が平文のごく一部を選択するだけで済む場合があります。このような攻撃は、平文インジェクション攻撃と呼ばれます。

選択平文攻撃は既知平文攻撃よりも強力です。これは、攻撃者が特定の用語やパターンが自然に現れるのを待つことなく直接それらをターゲットにできるため、暗号解読に関連するデータをより速く収集できるためです。したがって、選択平文攻撃を防ぐ暗号は、既知平文​​攻撃や暗号文のみの攻撃に対しても安全です。

しかし、選択平文攻撃は、攻撃者が任意の暗号文の平文を取得できる選択暗号文攻撃ほど強力ではありません。CCA攻撃者は、CPAセキュアシステムを破ることができる場合があります。^[3]たとえば、 エルガマル暗号は選択平文攻撃に対しては安全ですが、無条件に可鍛性があるため、選択暗号文攻撃に対しては脆弱です。

• GMR（暗号化）

この記事を聞く（11分）

この音声ファイルは、2023年12月28日付のこの記事の改訂版から作成されたもので、その後の編集は反映されていません。 ( 2023-12-28 )

(音声ヘルプ ·その他の音声記事)