選択暗号文攻撃

選択暗号文攻撃( CCA ) は、暗号解読者が選択された暗号文の復号化を取得することで情報を収集できる暗号解読の攻撃モデルです。これらの情報から、攻撃者は復号化に使用された秘密鍵の回復を試みることができます。

選択暗号文攻撃に対するセキュリティの正式な定義については、例えば Michael Luby ^[1]やMihir Bellare et al. ^{[2]を参照のこと。}

選択暗号文攻撃を受けると、他の点では安全な方式の多くが破られる可能性があります。たとえば、 El Gamal暗号システムは選択平文攻撃に対しては意味的に安全ですが、この意味的セキュリティは選択暗号文攻撃によって簡単に破られる可能性があります。SSLプロトコルで使用されていたRSAパディングの初期バージョンは、SSL セッション キーを明らかにする高度な適応型選択暗号文攻撃に対して脆弱でした。選択暗号文攻撃は、一部の自己同期ストリーム暗号にも影響を及ぼします。改ざん防止機能付き暗号化スマート カードの設計者は、これらのデバイスが完全に敵対者の制御下に置かれ、敵対者が大量の選択暗号文を発行して隠された秘密キーを復元しようとする可能性があるため、これらの攻撃を特に意識する必要があります。

1990 年にモニ・ナオールとモティ・ユンが最初の画期的な研究を行い、完全性証明付きの二重暗号化モード(現在「ナオール・ユン」暗号化パラダイムとして知られている) を提案するまで、公開鍵暗号システムが選択暗号文攻撃に耐えられるかどうかはまったく明らかではありませんでした。^[3]この研究により、選択暗号文攻撃に対するセキュリティの概念に対する理解が以前よりもはるかに明確になり、攻撃の変種に対するさまざまな保護を備えたシステムを構築する研究の方向性が開かれました。

暗号システムが選択暗号文攻撃に対して脆弱な場合、実装者は敵対者が選択暗号文を復号できる状況を回避するよう注意する必要があります（つまり、復号オラクルを提供しないようにします）。これは見た目よりも難しい場合があります。部分的に選択された暗号文であっても巧妙な攻撃を許す可能性があるためです。さらに、他の問題も存在し、一部の暗号システム（RSAなど）は、メッセージの署名と復号に同じメカニズムを使用しています。これにより、署名するメッセージにハッシュが使用されていない場合に攻撃を許してしまいます。より良い方法は、選択暗号文攻撃に対して安全であることが証明されている暗号システムを使用することです。これには、ランダムオラクルヒューリスティックに対して安全なRSA-OAEP や、安全であることが証明された最初の公開鍵実用システムであるCramer-Shoup などがあります。対称暗号化方式の場合、対称暗号化に基づくプリミティブである 認証暗号化により、選択暗号文攻撃に対するセキュリティが得られることが知られています 。これは、 Jonathan KatzとMoti Yungによって初めて示されました。^[4]

選択暗号文攻撃は、他の攻撃と同様に、適応型または非適応型です。適応型選択暗号文攻撃では、攻撃者は以前の復号化の結果を使用して、どの暗号文を復号化するかを選択できます。非適応型攻撃では、攻撃者は結果の平文を見ることなく、復号化する暗号文を選択します。平文を見た後、攻撃者は追加の暗号文を復号化できなくなります。

選択暗号文攻撃の特に注目される変種は、「ランチタイム」、「ミッドナイト」、または「無関心」攻撃です。この攻撃では、攻撃者は適応型選択暗号文クエリを実行できますが、それは特定の時点までであり、その後は攻撃者はシステムを攻撃するための改善された能力を示さなければなりません。^[5] 「ランチタイム攻撃」という用語は、ユーザーが昼食に出かけている間、復号化機能を備えたユーザーのコンピューターが攻撃者に利用可能になるという考えを指します。この形式の攻撃は、一般的に議論された最初の攻撃です。明らかに、攻撃者が適応型選択暗号文クエリを実行できる場合、少なくともその能力が奪われるまでは、暗号化されたメッセージは安全ではありません。この攻撃は、「非適応型選択暗号文攻撃」と呼ばれることがあります。^[6]ここで、「非適応型」とは、攻撃者が選択暗号文クエリを実行できる能力が期限切れになった後に与えられるチャレンジに応じてクエリを適応させることができないという事実を指します。

（完全）適応型選択暗号文攻撃は、チャレンジ暗号文が攻撃者に与えられる前と後に暗号文が適応的に選択される攻撃であり、チャレンジ暗号文自体は照会できないという条件のみがある。これはランチタイム攻撃よりも強力な攻撃概念であり、CCA1（ランチタイム）攻撃と比較して、一般的にCCA2攻撃と呼ばれている。^[6] この形式の実際の攻撃はほとんどない。むしろ、このモデルは選択暗号文攻撃に対するセキュリティの証明に使用するために重要である。このモデルでの攻撃が不可能であるという証明は、現実的な選択暗号文攻撃が実行できないことを意味する。

実用的な適応型選択暗号文攻撃としては、 PKCS#1に対するBleichenbacher攻撃がある。^[7]

数多くの暗号システムが適応型選択暗号文攻撃に対して安全であることが証明されていますが、その安全性を証明しているものの中には代数的仮定のみに基づいているものもあれば、理想化されたランダムオラクル仮定を追加で必要とするものもあります。たとえば、Cramer-Shoup システム^[5]は数論的仮定に基づいており、理想化は行われていません。また、多くの綿密な調査の後、実用的なスキームRSA-OAEP は理想化されたランダムオラクルモデルにおける RSA 仮定の下で安全であることも確立されました。^[8]

• RCCA セキュリティ

• 火山の縁で踊る: Apple iMessage に対する選択された暗号文攻撃 (Usenix 2016)