否認可能な暗号化

暗号学とステガノグラフィーにおいて、もっともらしく否認可能な暗号化とは、暗号化されたファイルやメッセージの存在が、敵対者が平文データが存在することを証明できないという意味で否認可能な暗号化技術を指します。[ 1 ^]

ユーザーは、特定のデータが暗号化されていることや、暗号化されたデータの復号化ができること、あるいは特定の暗号化データが存在することを説得力を持って否定する場合があります。 ^[2]このような否定は本物である場合もあれば、そうでない場合もあります。たとえば、ユーザーの協力なしにデータが暗号化されていることを証明することは不可能です。データが暗号化されている場合、ユーザーは本当にそれを復号化できない可能性があります。否認可能な暗号化は、データが暗号化されていること、またはデータを所有している人がそれを復号化して関連する平文を提供できることについての攻撃者の信頼を損なうのに役立ちます。

ラン・カネッティ、シンシア・ドワーク、モニ・ナオール、ラファイル・オストロフスキーは、1996年の重要な論文で、否認可能暗号化の概念を紹介した。これは、強制下でもプライバシーを保証する暗号の画期的な進歩である。この概念により、暗号化された通信の参加者は、メッセージの真の内容をもっともらしく否定することができる。彼らの研究は否認可能暗号化の基本原理を築き、強制開示からプライバシーを保護する上でのその重要な役割を示している。この研究は、暗号の将来の進歩の礎となり、通信のセキュリティを維持する上での否認可能暗号化の重要性を強調している。^[3]の概念は、ジュリアン・アサンジとラルフ・ウェインマンによってラバーホースファイルシステムで使用された。^{[4] [2]}

否認可能な暗号化により、適切な復号化キーがなければ、平文メッセージの出所や存在を証明することが不可能になります。これは、暗号化されたメッセージを、使用されるキーに応じて異なる意味のある平文に復号化できるようにすることで実現できます。これにより、送信者は、暗号化キーを放棄するよう強制された場合に、 もっともらしい否認が可能になります。

一部の法域では、人間のオペレーターが暗号鍵などにアクセスできることを法令で想定している。一例としては、英国の捜査権限規制法^{[5] [6]}があり、同法で認められた政府職員の要求に応じて暗号鍵を渡さないことは犯罪とされている。内務省によると、被告人が鍵を所持していることの立証責任は検察側にある。さらに、同法には鍵を紛失または忘れたオペレーターに対する弁護が含まれており、鍵を取り戻すために最善を尽くしたと判断された場合は責任を負わない。^{[5] [6]}

暗号学において、ゴムホース暗号解読とは、数学的または技術的な暗号解読攻撃とは対照的に、ゴムホースで人を殴るなどの強制や拷問^[7]によって人から暗号の秘密（暗号化されたファイルのパスワードなど）を抽出することを婉曲的に表現したものです。

この用語の初期の使用例は、1990 年 10 月 16 日にMarcus J. Ranumがsci.cryptニュースグループに投稿したメッセージで、体罰をほのめかしています。

...暗号解読のゴムホース技術。（暗号システムの鍵が発見されるまで、ゴムホースを足の裏に強く頻繁に当てる。このプロセスは驚くほど短時間で完了し、計算コストも非常に低い）。^[8]

否認可能な暗号化により、暗号化されたメッセージの送信者はそのメッセージの送信を否認できます。これには信頼できる第三者が必要です。考えられるシナリオは次のようになります。

1. ボブは妻のアリスが不倫をしているのではないかと疑っています。アリスは秘密の恋人であるカールと連絡を取りたいと考えています。アリスは 2 つの鍵を作成します。1 つは秘密にしておくための鍵、もう 1 つは犠牲にするための鍵です。アリスは秘密鍵 (または両方) をカールに渡します。
2. アリスは、カール宛ての無害なメッセージ M1 (発見された場合にボブに明かす予定) と、カール宛ての有罪を示すラブレター M2 を作成します。アリスは、両方のメッセージ M1 と M2 から暗号文 C を作成し、カール宛てに電子メールで送信します。
3. カールは自分の鍵を使って M2 を復号化します (偽のメッセージを読むために、おそらく M1 も復号化します)。
4. ボブはカール宛の電子メールについて知り、疑念を抱き、アリスにメッセージを解読するよう強要します。
5. アリスは犠牲鍵を使用して、無害なメッセージ M1 をボブに公開します。ボブは C に他のメッセージが含まれているかどうかを確実に知ることは不可能なので、他のメッセージは存在しないと想定する可能性があります。

もう 1 つのシナリオでは、アリスがボブとカールに同じ暗号文 (何らかの秘密の指示) を送信しますが、ボブとカールにはそれぞれ異なるキーを渡します。ボブとカールはそれぞれ異なる指示を受け取り、お互いの指示を読めないようにする必要があります。ボブは最初にメッセージを受け取り、次にそれをカールに転送します。

1. アリスは、メッセージ M1 と M2 の両方から暗号文を作成し、それをボブに電子メールで送信します。
2. ボブは自分のキーを使用して M1 を復号化しましたが、M2 を読み取ることができません。
3. ボブは暗号文をカールに転送します。
4. カールは自分のキーを使用して M2 を復号化しましたが、M1 を読み取ることができません。

通常、暗号文は、秘密にしておくことを意図した単一の平文に復号されます。しかし、否認可能な暗号化の 1 つの形式は、ユーザーが暗号文を復号して別の (無害だがもっともらしい) 平文を生成し、それが暗号化したものだともっともらしく主張することを可能にします。暗号文の所有者は、真の平文と偽りの主張の平文を区別することはできません。一般に、鍵が平文と同じ大きさでない限り、1 つの暗号文をすべての可能な平文に復号することはできないため、ほとんどの場合、暗号文がその平文についてまったく情報を明らかにしないことは現実的ではありません。^{[9]ただし、一部の方式では、何らかの基準 (}編集距離など) で元の平文に近い平文をデコイして復号することができます。^[10]

現代の否認可能暗号化技術は、鍵がなければ、ブロック暗号からの暗号文と暗号的に安全な疑似乱数生成器によって生成されたデータ（暗号の疑似乱数順列特性）を区別することが不可能であるという事実を利用しています。^[11]

これは、ユーザーが秘密にしておきたいと思われるおとりデータと組み合わせて使用​​され、攻撃者に公開されて、これがすべてであると主張します。これはステガノグラフィーの一種です。^{[引用が必要]}

ユーザーが本当に秘密のデータに対して正しいキーを提供しない場合、そのデータを復号化すると、そこに特定のデータが保存されていないことと区別がつかない、一見ランダムなデータになります。^{[引用が必要]}

否認可能な暗号化の一例としては、抽象的な「レイヤー」の概念を採用した暗号化ファイルシステムが挙げられます。このレイヤーでは、各レイヤーを異なる暗号化キーで復号化できます。 ^[要出典]さらに、実際のレイヤーとその暗号化キーの存在をもっともらしく否認できるように、特別な「チャフレイヤー」にランダム データが格納されます。 ^[要出典]ユーザーは、デコイ ファイルを 1 つ以上のレイヤーに保存し、他のレイヤーの存在を否定して、残りのスペースはチャフ レイヤーによって占有されていると主張することができます。^{[要出典]物理的には、これらのタイプのファイルシステムは通常、}ランダム化されたファイル名(チャフ レイヤーに属する場合) またはブロックを識別する文字列の暗号化ハッシュを持つ、同じ長さのファイルで構成される単一のディレクトリに保存されます。[^要出典]これらのファイルのタイムスタンプは常にランダム化されます。[要^{出典]この}アプローチの例には、Rubberhose ファイルシステムがあります。

ラバーホース（開発コード名マルトゥックとも呼ばれる）^[12]は、ストレージデバイス上のデータを暗号化し、暗号化されたデータを隠す否認可能な暗号化プログラムです。暗号化されたデータの存在は、適切な暗号キーを使用してのみ確認できます。これは、現場で機密データを保護する必要がある人権活動家のためのツールとしてジュリアン・アサンジによって作成され、1997年に最初にリリースされました。^[12]

「ラバーホース」という名前は、暗号鍵を暴力によって入手する サイファーパンク用語「ラバーホース暗号解読」を揶揄したものです。

これは、1997年から2000年にかけて、ジュリアン・アサンジ、スーレット・ドレイファス、ラルフ・ウェインマンによってLinuxカーネル2.2、NetBSD、FreeBSD向けに書かれました。現在アルファ段階にある最新バージョンはv0.8.3です。^[13]

従来のディスク暗号化ソフトウェアスイートの一部で使用されている別のアプローチは、コンテナ ボリューム内に2 番目の暗号化ボリュームを作成することです。コンテナ ボリュームは、最初に暗号化されたランダム データで埋められてフォーマットされ、 ^[14]、次にその上にファイル システムを初期化します。次に、ユーザーは、ファイル システムの一部を、ユーザーが隠す動機があると思われる、正当だがもっともらしいおとりファイルで埋めます。次に、新しい暗号化ボリューム (隠しボリューム) が、ユーザーが実際に隠したいデータに使用されるコンテナ ファイル システムの空き領域内に割り当てられます。攻撃者は、暗号化されたデータと外側のボリュームを初期化するために使用されたランダム データを区別できないため、この内側のボリュームは検出できなくなります。LibreCrypt ^[15]とBestCrypt は、コンテナ内に複数の隠しボリュームを持つことができますが、TrueCrypt は隠しボリュームが 1 つに制限されています。^[16]

• OpenPuff は、MS Windows 用のフリーウェアの半オープンソース ステガノグラフィです。
• LibreCryptは、否認可能な暗号化ともっともらしい否認可能性の両方を提供する、MS WindowsとPocketPC PDA用のオープンソースの 透過的なディスク暗号化です。^{[14] [17]}広範な暗号化オプションを提供し、ユーザーが管理者権限を持っている限り、使用前にインストールする必要はありません。
• オフザレコード メッセージングは​​、インスタント メッセージングに真の否認可能性を提供する暗号化技術です。
• StegFS は、Rubberhose および PhoneBookFS ファイルシステムによって具体化されたアイデアの現在の後継です。
• VeraCrypt （販売中止となったTrueCryptの後継）は、 Windows、Mac、Linux用のオンザフライディスク暗号化ソフトウェアで、限定的な否認可能な暗号化^[18]と、ある程度の（作成可能な隠しボリュームの数に制限があるため^[16]）もっともらしい否認を提供し、ユーザーが完全な管理者権限を持っている限り、使用前にインストールする必要はありません。
• Vanish は、自己破壊型データストレージの研究プロトタイプ実装です。

隠された暗号化データの存在は、実装上の欠陥によって明らかになる可能性がある。^{[19] [自己出版ソース]}また、不適切な暗号モードが使用されている場合、いわゆる透かし攻撃によって明らかになることもある。 ^[20] データの存在は、暗号化されていないディスク領域に「漏れる」ことによって明らかになる可能性があり^[21]、フォレンジックツールによって検出される可能性がある。^{[22] [自己出版ソース]}

「隠しボリューム」のもっともらしい否認可能性のレベルについて疑問が提起されている^{[23] [自費出版ソース]} - ユーザーが隠しボリュームを破損するのを防ぐために、「外側の」コンテナファイルシステムの内容は初期状態で「凍結」されている必要があり (これはアクセスと変更のタイムスタンプから検出できます)、疑惑を引き起こす可能性があります。この問題は、隠しボリュームを保護しないようにシステムに指示することで排除できますが、これによりデータが失われる可能性があります。^{[引用が必要]}

否認可能な暗号化ツールを所有していると、攻撃者はユーザーがすべての鍵を公開した後でもユーザーを苦しめ続ける可能性があります。なぜなら、攻撃者はユーザーが最後の鍵を公開したかどうかを知ることができないからです。しかし、この事実を知ることで、ユーザーは攻撃者に最後の鍵を公開したことを証明することができないため、そもそも鍵を公開する意欲をなくすことができます。^[24]

Off-the-Record Messagingなどの一部の転送中暗号化メッセージング スイートは、参加者に会話のもっともらしい否認を与える否認可能な認証を提供します。否認可能な認証は、メッセージの暗号化が否定されないという点で技術的には「否認可能な暗号化」ではありませんが、その否認可能性は、参加者が会話をしたことや特定のことを言ったことを敵対者が証明できないことを意味します。

これは、メッセージを偽造するために必要なすべての情報が暗号化されたメッセージに付加されることによって実現されます。つまり、攻撃者が会話でデジタル的に真正なメッセージを作成できる場合 (ハッシュベースのメッセージ認証コード(HMAC) を参照)、会話でメッセージを偽造することもできます。これは、完全な前方秘匿性と併用され、個々のメッセージの暗号化キーが侵害されても、追加の会話やメッセージが侵害されないことを保証します。

• 脱穀と選別 – 暗号技術
• 否認可能な認証 – 参加者同士のメッセージ認証。参加者自身はメッセージの真正性に自信があるが、イベント後に第三者に証明することはできない。Pages displaying wikidata descriptions as a fallback
• dm-crypt  – ディスク暗号化ソフトウェア
• 鍵開示法 – 個人が法執行機関に暗号鍵を提出することを義務付ける法律
• もっともらしい否認 – 責任を否定する能力
• ステガノグラフィー – 他のメッセージの中にメッセージを隠す
• 単一性距離 – 暗号を一義的に解読するために必要な暗号文の長さ

• Czeskis, A.; St. Hilaire, DJ; Koscher, K.; Gribble, SD; Kohno, T.; Schneier, B. (2008)。「暗号化されたファイル システムと否認可能なファイル システムの無効化: TrueCrypt v5.1a と告げ口をする OS とアプリケーションの事例」(PDF)。第 3 回セキュリティのホット トピックに関するワークショップ。USENIX。
• Howlader, Jaydeep; Basu, Saikat (2009)。「送信側公開鍵否認暗号化方式」。通信とコンピューティングにおける最新技術の進歩に関する国際会議議事録。IEEE。doi : 10.1109 /ARTCom.2009.107。
• Howlader, Jaydeep; Nair, Vivek; Basu, Saikat (2011)。「強制を防ぐために、盗聴不可能なチャネルの代わりに否認可能な暗号化を使用する」。ネットワークと通信の進歩に関する議事録。コンピューターと情報科学における通信。第 132 巻。Springer。pp. 491–501。doi : 10.1007 /978-3-642-17878-8_50。