暗号文のみの攻撃

暗号学において、暗号文のみの攻撃( COA ) または既知暗号文攻撃は、攻撃者が暗号文のセットにのみアクセスできると想定される暗号解読の攻撃モデルです。攻撃者は暗号化前に平文にアクセスできるチャネルを持っていませんが、すべての実用的な暗号文のみの攻撃では、攻撃者は依然として平文に関するある程度の知識を持っています。たとえば、攻撃者は平文が書かれている言語や、平文内の文字の予想される統計的分布を知っている可能性があります。標準プロトコル データとメッセージは、多くの導入されたシステムで一般に平文の一部であり、通常、これらのシステムに対する暗号文のみの攻撃の一部として効率的に推測または知ることができます。

対応する平文を推測できれば、あるいはさらに良いことには鍵 が推測できれば、攻撃は完全に成功したといえます。攻撃者が事前に知っていた情報を超えて、基礎となる平文に関する情報を少しでも入手できれば、攻撃は成功したとみなされます。たとえば、トラフィックフローのセキュリティを維持するために敵対者が暗号文を継続的に送信している場合、実際のメッセージとヌルを区別できれば非常に便利です。実際のメッセージが存在するかどうかの情報に基づいた推測さえできれば、トラフィック分析が容易になります。

暗号の歴史において、ペンと紙を使って実装された初期の暗号は、暗号文のみを使って日常的に解読されていました。暗号学者は、頻度分析など、暗号文を攻撃するための統計的手法を考案しました。エニグマなどの機械式暗号化装置により、これらの攻撃ははるかに困難になりました（ただし、歴史的には、ポーランドの暗号学者は、メッセージ設定を示す安全でないプロトコルを利用して、暗号文のみのエニグマの暗号解読に成功しました）。エニグマに対するより高度な暗号文のみの攻撃は、第二次世界大戦中にブレッチリー・パークで行われ、傍受した暗号文に対応する平文をインテリジェントに推測することで行われました。

現代の暗号はすべて、暗号文のみの攻撃に対する保護を提供しようとしています。新しい暗号設計標準の審査プロセスには通常何年もかかり、大量の暗号文を徹底的にテストしてランダム ノイズからの統計的逸脱がないかどうか調べます。Advanced Encryption Standard プロセスを参照してください 。また、ステガノグラフィーの分野は、あるデータが別のデータの統計プロファイルを採用できるようにするミミック関数などの方法を開発するために進化しました。しかし、暗号の不適切な使用や、徹底的な調査を受けていない自社製の独自アルゴリズムへの依存により、多くのコンピューター時代の暗号化システムが依然として暗号文のみの攻撃にさらされています。例:

• MicrosoftのPPTP 仮想プライベート ネットワークソフトウェアの初期バージョンでは、送信者と受信者に同じRC4キーが使用されていました (後のバージョンでは別の問題がありました)。RC4 のようなストリーム暗号が同じキーで 2 回使用される場合、暗号文のみの攻撃を受ける可能性があります。参照: ストリーム暗号攻撃
• Wi-Fiの最初のセキュリティ プロトコルであるWired Equivalent Privacy (WEP) は、いくつかの攻撃に対して脆弱であることが判明しましたが、そのほとんどは暗号文のみに対する攻撃でした。
• GSMのA5/1とA5/2
• 最近の暗号設計の中には、暗号文のみの攻撃に対して脆弱であることが後に判明したものもあります。たとえば、Akelarre です。
• キー空間が小さすぎる暗号は、すべての可能なキーを試すだけで暗号文にしかアクセスできないブルートフォース攻撃の対象になります。必要なのは、有効な平文とランダムノイズを区別する方法だけです。これは、暗号文が単一性距離よりも長い自然言語では簡単に実行できます。1 つの例は、56 ビットのキーしかないDESです。現在よくある例は、AESなどの難攻不落の暗号のキーをユーザーが選択したパスワードから導出する商用セキュリティ製品です。ユーザーが暗号のキー空間のエントロピーに近いパスワードを使用することはめったにないため、このようなシステムは実際には暗号文のみを使用して簡単に破ることができます。DVDビデオディスクの暗号化に使用される40 ビットのCSS暗号は、 MPEG-2ビデオ データを探すだけでよいため、この方法で常に破ることができます。

• Alex Biryukovと Eyal Kushilevitz、「差分暗号解析から暗号文のみの攻撃へ」、CRYPTO 1998、pp72–88。