暗号化されたアドレス

暗号生成アドレス（CGA ）は、暗号ハッシュ関数から計算されたホスト識別子を持つインターネットプロトコルバージョン6 （IPv6）アドレスです。^{[1]この手順は、}セキュア近隣探索プロトコル（SEND）で公開署名鍵をIPv6アドレスにバインドする方法です。^[2]

暗号化生成アドレスは、インターフェイス識別子が CGA 生成方法に従って生成された IPv6 アドレスです。インターフェイス識別子は、IPv6 アドレスの最下位 64 ビットで構成され、サブネット上のホストのネットワーク インターフェイスを識別するために使用されます。サブネットは、最上位 64 ビット、つまりサブネット プレフィックスによって決定されます。

CGA にバインドされる公開キーとは別に、CGA 生成メソッドは、定義済みのサブネット プレフィックスを含むいくつかの他の入力パラメータを受け取ります。これらのパラメータは、CGA 生成メソッドの実行中に生成される他のパラメータとともに、CGA パラメータ データ構造と呼ばれるパラメータ セットを形成します。対応する CGA を検証するには、CGA パラメータの完全なセットを知る必要があります。

CGA パラメータ データ構造は次の要素で構成されます。

• modifier: ランダムな 128 ビットの符号なし整数。
• subnetPrefix: CGA がどのサブネットに属するかを定義する 64 ビットのプレフィックス。
• collCount: 0、1、または 2 のいずれかの 8 ビット符号なし整数。
• publicKey: SubjectPublicKeyInfo 型のDERエンコードされたASN.1構造としての公開鍵。
• extFields: オプションの可変長フィールド (デフォルトの長さは 0)。

さらに、セキュリティ パラメータによって、ブルート フォース攻撃Secに対する CGA の強度が決まります。これは 3 ビットの符号なし整数で、0 から 7 までの任意の値を取ることができ、CGA のインターフェイス識別子の左端の 3 ビットにエンコードされます。の値が大きいほど、セキュリティ レベルが高くなりますが、CGA の生成にかかる時間も長くなります。便宜上、以下の疑似コード内の中間値は、7 を超える値を取ることができない 8 ビットの符号なし整数として格納されているものと想定されています。 SecSec

次の疑似コードは、新しい暗号化生成アドレスを作成するために使用される CGA 生成メソッドを表しています。

1 つの  プロシージャgenerateCGA( Sec、subnetPrefix、publicKey、extFields ):
 2      修飾子 := random(0x000000000000000000000000000000000, // 16オクテット (128ビット)
 3 0xffffffffffffffffffffffffffffffffff)
 4
 5  ラベル1 :
 6       concat  := concatenate( modifier , 0x000000000000000000, // 9 ゼロオクテット
 7                            公開キー、extFields )
 8
 9      ダイジェスト := SHA1(連結)
10       Hash2  := digest [0:14] // 14*8 = 112 左端のビット
11
12       if  Sec ≠ 0 and  Hash2 [0:2* Sec ] ≠ 0: // 2*Sec*8 = 16*Sec 左端のビット
13          修飾子 :=修飾子+ 1
14          ラベル1に移動
15      終了の場合
16
17       collCount  := 0x00 // 8ビットの衝突カウント
18
19  ラベル2 :
20       concat  := concatenate(修飾子,サブネットプレフィックス,連結数,
21                            公開キー、extFields )
22
23      ダイジェスト := SHA1(連結)
24      ハッシュ1  :=ダイジェスト[0:8] // 8*8 = 左端の64ビット
25
26       intID  := Hash1                                              // Hash1 はインターフェース識別子になります...
27       intID [0] := intID [0]バイナリと0x1cバイナリまたは( Sec << 5) // ...Sec と u/g ビットを書き込んだ後
28
29       CGA  := concatenate( subnetPrefix , intID ) // 連結してCGAを形成する
30
31      重複している場合( CGA ):
32          列数 :=列数+1
33
34           collCount = 3の場合 :
35              中止
36          終了
37
38          ラベル2に移動
39      終了の場合
40
41       [ CGA ,[ modifier , subnetPrefix , collCount , publicKey , extFields ]]を返す
42  終了手順

CGA のインターフェイス識別子は、主に によって形成されますHash1。これは、ダイジェストされた CGA パラメータ データ構造の最初の 64 ビットから取得されます (行 20 ～ 24)。行 27 では、最初の 3 ビットが のSec値で上書きされ、予約済みの "u" ビットと "g" ビット (7 番目と 8 番目のビット) が 0 に設定されます。

パラメータは、別のハッシュ のSec最初の 16 ビットを 0 に強制することでハッシュ拡張を実装します。このハッシュは、と が基本的に 0 に設定されたダイジェストされた CGA パラメータ データ構造の結果です。適切な を見つけるために総当たり検索が実行され、各反復で が 1 ずつ増加します (行 6 ～ 15)。値が大きいほど 0 になるビットが多くなるため、検索の実行に必要な平均時間は の値とともに指数関数的に増加します。 SecHash2subnetPrefixcollCountHash2modifierSecSec

サブネット プレフィックスと生成されたインターフェイス識別子を連結して CGA を作成した後、重複アドレスの検出を実行できます。アドレスがすでに使用されている場合、衝突カウンタcollCountが 1 増加し、新しいインターフェイス識別子が生成されます (行 20 ～ 39)。 はcollCountの計算に使用されないためHash2、アドレス衝突が発生した場合に新しい を検索する必要はありませんHash2。同様の理由で、subnetPrefixも使用されないことにより、アドレスのサブネット プレフィックスが変更されてもホストの公開キーが変更されない場合は、同じ修飾子を再利用できるため、新しい を検索する必要はありませんHash2。

41 行目では、CGA が CGA パラメータ データ構造とともに返されます。

暗号化により生成されたアドレスは、受信した署名付きメッセージが、そのアドレスが割り当てられたホストから送信されたものであることを確認するために使用されます。これは、署名に使用されたキー ペアが CGA にバインドされていることを確認することによって行われます。公開キーの信頼性はこのようにして確認できるため、公開キー インフラストラクチャは必要ありません。ただし、ホスト自体も認証する必要がある場合は、アドレスが信頼されていない場合はバインドされた公開キーを信頼できないため (CGA 以外の方法で検証されていないと仮定)、CGA 自体を事前に認証する必要があります。

公開鍵が CGA にバインドされていることを検証する CGA 検証方法では、対応する CGA パラメータ データ構造を入力として必要とし、次のように実装できます。

1  手順verifyCGA( CGA、[ modifier、subnetPrefix、collCount、publicKey、extFields ]):collCount > 2またはCGA [0:8] ≠ subnetPrefixの場合は 
 2       : 
 3          偽を返す
 4      終了の場合
 5
 6       concat  := concatenate(修飾子,サブネットプレフィックス,連結数,
 7                            公開キー、extFields )
 8
 9      ダイジェスト := SHA1(連結)
10      ハッシュ1  :=ダイジェスト[0:8] // 8*8 = 左端の64ビット
11       Hash1 [0] := Hash1 [0]バイナリと0x1c // Secとu/gビットを無視
12
13       intID  := CGA [8:16] // インターフェース識別子（右端64ビット）
14       intID [0] := intID [0]バイナリおよび0x1c // Secおよびu/gビットを無視
15
16       Hash1 ≠ intIDの場合 :
17          偽を返す
18      終了の場合
19
20       Sec  := CGA [8] >> 5 // インターフェース識別子からSecを抽出
21
22       concat  := concatenate( modifier , 0x000000000000000000, // 9 つのゼロオクテット
23                            公開キー、extFields )
24
25      ダイジェスト := SHA1(連結)
26       Hash2  := digest [0:14] // 14*8 = 112 左端のビット
27
28       Sec ≠ 0かつHash2 [0:2* Sec ] ≠ 0の場合 : // 2*Sec*8 = 16*Sec 左端のビット 
29          偽を返す
30      終了の場合
31
32       trueを返す// 検証に成功
33  終了手順

このメソッドは、collCountCGA パラメータ データ構造に有効な値があるかどうか、およびsubnetPrefix同じデータ構造が CGA のサブネット プレフィックス (2 行目) と一致するかどうかを確認することから始まります。これはセキュリティ上の理由で行われます。

6 行目から 18 行目では、Hash1CGA パラメータ データ構造 (公開キーとサブネット プレフィックスを含む) から計算され、関連するビットが CGA のインターフェイス識別子のビットと比較されます。この場合、比較を容易にするために、11 行目と 14 行目で、インターフェイス識別子の最初の 3 ビット ( )Secと 7 番目と 8 番目のビット (「u」ビットと「g」ビット) をHash10 に設定することでこれを実行します。

SecCGA のインターフェイス識別子を抽出した後、Hash2が計算され、ハッシュの最初の 16 ビットSecが 0 と比較されます (行 22 ～ 30)。すべてのチェックが正常であれば、公開キーがその CGA にバインドされていること (つまり、有効であること) が検証されたことになります。

攻撃者が、自分が所有していない特定の CGA から有効なメッセージを受信したとクライアントに信じ込ませるには、ブルート フォース攻撃を実行して、およびの関連ビットのハッシュ衝突を見つける必要があります。攻撃者が、ターゲット CGA と同じ CGA を生成するために使用できる CGA パラメータ セット (攻撃者が秘密鍵を知っている公開鍵を含む) を見つけた場合、攻撃者は検出されることなく、実際に CGA を所有するホストになりすますことができます (クライアントが以前にホストに接続し、公開鍵が変更されたが CGA は変更されていないことに気付いた場合を除く)。 Hash1Hash2

の 64 ビットのうちHash1、5 ビットが上書きされるため、インターフェイス識別子で使用されるのは 59 ビットだけです。 がSec0 に等しい CGA の場合、必要な 59 ビットを生成する CGA パラメータのセットを検索するコストは、およそ(大文字の O 表記で) になります。ただし、 の値が大きいほど、の最初の 16 倍のビットが関連するようになるため (つまり、それらのビットが 0 に等しいことを要求することでハッシュ拡張を実装するため)、このコストはからの係数で増加します。 CGA 生成プロセスでは、 の値に応じてアドレス生成コストが同じ係数で増加しますが、CGA の使用および検証コストは一定のままです。 ${\displaystyle O(2^{59})}$Sec${\displaystyle 2^{16\times Sec}}$${\displaystyle O(2^{59+16\times Sec})}$SecHash2Sec

Secは CGA パラメータ データ構造の一部ではなく、アドレス自体の一部であるため、攻撃者は、Secターゲット アドレスの値よりも小さい値 (0 など) を使用して、 に対するブルート フォース攻撃をスキップ (またはスケール ダウン) することはできませんHash2。これにより、インターフェイス識別子の左端の 3 ビットのうち少なくとも 1 つが一致しないため、ターゲット CGA とは異なる CGA が生成されます。ターゲットSec値がインターフェイス識別子に書き込まれると、Hash2検証プロセス中に、左端の 0 ビットの必要な数が不足していることが (ほぼ確実に) 検出されます。

CGA 生成プロセス中に、3 つのアドレス衝突が発生する可能性は非常に低いです。重複アドレスが 3 回目に検出された場合、これは設定または実装エラー、あるいはサービス拒否攻撃によるものである可能性が最も高くなります。このため、 の有効な値の数はcollCount0 ～ 2 の範囲に制限されています。攻撃者がこのパラメータを悪用して、異なる値を試すたびに別のブルート フォース検索を実行することなく、すべての異なる値を試すことを防ぐために、CGA 検証プロセス中にこのパラメータがこのHash2範囲内にあることを確認する必要があります。

となるダイジェスト操作にサブネット プレフィックスを含めることでHash1、攻撃者が単一の事前計算済みデータベースを使用して、異なるサブネット プレフィックスを持つアドレスを攻撃するのを防ぐことができます。検証者は、公開キーがこの正確なアドレスにバインドされており、同じインターフェイス識別子を持つがサブネット プレフィックスが異なるアドレスにバインドされていないことを確認することもできます。CGA 仕様ではsubnetPrefix、ダイジェスト操作に CGA パラメータ データ構造の を使用するように規定されているため、CGA 検証プロセス中に、それが CGA のサブネット プレフィックスと一致することを検証する必要があります。

• SHA-1