収束暗号化

収束暗号化はコンテンツハッシュキーとも呼ばれ、同一の平文ファイルから同一の暗号文を生成する暗号システムです。クラウドコンピューティングでは、プロバイダーが暗号鍵にアクセスすることなくストレージから重複ファイルを削除するために使われます。 ^[1]重複排除と収束暗号化の組み合わせは、 1995年にStac Electronics が出願したバックアップシステムの特許に記載されています。 ^{[2]この組み合わせは、Farsite、 [3]} Permabit、^[4] Freenet、MojoNation、GNUnet、flud、Tahoe Least-Authority File Store で使用されています。^[5]

このシステムは、クラウドストレージプロバイダーのBitcasaが、クラウドストレージサービスでデータの重複排除を可能にするためにコンバージェント暗号化を使用していると発表した2011年にさらに注目を集めました。^[6]

1. システムは、問題の平文の暗号ハッシュを計算します。
2. 次に、システムはハッシュをキーとして使用してプレーンテキストを暗号化します。
3. 最後に、ハッシュ自体が、ユーザーが選択したキーで暗号化されて保存されます。

収束暗号化は「ファイル確認攻撃」に対して脆弱であり、攻撃者は暗号化されていない、つまりプレーンテキストのバージョンを暗号化し、その出力をターゲットが所有するファイルと比較するだけで、ターゲットが特定のファイルを所有しているかどうかを効果的に確認できます。^[7] この攻撃は、一意でない情報、つまり公開されているか、または攻撃者がすでに所有している情報を保存しているユーザーにとって問題となります。たとえば、禁止された書籍や著作権侵害を引き起こすファイルなどです。暗号化前にプレーンテキストにランダムな文字をいくつか追加するなど、一意のデータを追加することで、ファイル確認攻撃の効果が低下するという議論もあります。これにより、アップロードされたファイルが一意になり、暗号化されたファイルも一意になります。ただし、プレーンテキストがファイルの内容に基づいてブロックに分割され、各ブロックが独立して収束暗号化される収束暗号化の実装によっては、先頭または末尾にバイトを追加することでファイルを一意にしようとする試みが意図せず無効になる場合があります。^[8]

確認攻撃よりもさらに恐ろしいのは、2008 年に Drew Perttula が説明した「残存情報学習攻撃」です。 ^[9]このタイプの攻撃は、公開文書のわずかなバリエーションであるファイルの暗号化に適用されます。たとえば、防御側が 10 桁の銀行口座番号を含む銀行フォームを暗号化した場合、一般的な銀行フォームの形式を知っている攻撃者は、考えられるすべての銀行口座番号の銀行フォームを作成し、それらを暗号化して、それらの暗号化を防御側の暗号化ファイルと比較することで、防御側の銀行口座番号を抽出できます。この攻撃は、一度に多数のターゲット (上記の例のターゲット銀行顧客のすべてのスペル バリエーション、またはすべての潜在的な銀行顧客) を攻撃するように拡張できることに注意してください。また、この問題は、納税申告書、財務文書、医療フォーム、雇用フォームなど、あらゆる種類のフォーム ドキュメントに及んでいます。また、この攻撃の重大性を軽減する方法は知られていないことにも注意してください。ファイルを保存するときにランダムなバイトをいくつか追加しても役に立ちません。これらのバイトは、「残りの情報を知る」アプローチで同様に攻撃できるためです。この攻撃を軽減する唯一の効果的な方法は、保存する前に非収束シークレットを使用してファイルのコンテンツを暗号化するか (収束暗号化の利点を無効にする)、または最初から収束暗号化を使用しないことです。

• ソルト（暗号化）
• 決定論的暗号化