攻撃の識別

暗号学において、識別攻撃とは、暗号によって暗号化されたデータに対する暗号解読のあらゆる形態のことであり、攻撃者は暗号化されたデータをランダムデータと区別することができます。 ^[1]現代の対称鍵暗号は、特にそのような攻撃を受けないように設計されています。^[2]言い換えれば、現代の暗号化方式は疑似ランダム順列であり、暗号文が区別できないように設計されています。ブルートフォース検索よりも速く出力をランダムと区別できるアルゴリズムが見つかった場合、それは暗号の破綻とみなされます。

同様の概念に既知鍵識別攻撃があり、攻撃者は鍵を知っており、暗号の構造的特性を見つけることができ、平文から暗号文への変換はランダムではない。^[3]

暗号関数が安全であることを証明するために、ランダム オラクルと比較されることがよくあります。関数がランダム オラクルである場合、攻撃者は関数の出力をまったく予測できません。関数がランダム オラクルと区別できる場合、その関数は非ランダムな特性を持ちます。つまり、異なる出力間、または入力と出力間に関係が存在し、攻撃者はこれを使用して、たとえば入力 (の一部) を見つけることができます。

例

T をランダムオラクルによって生成されたランダムビットのシーケンス、S を疑似ランダムビットジェネレータによって生成されたシーケンスとします。2 つのパーティが 1 つの暗号化システムを使用して、長さ n のメッセージ M を、それぞれ T または S の次の n ビットと M のビット単位の XOR として暗号化します。T を使用した暗号化の出力は完全にランダムです。ここで、シーケンス S が T と区別できない場合、S を使用した暗号化の出力もランダムになります。シーケンス S が区別できる場合、S を使用した M の暗号化により、M の情報が明らかになる可能性があります。

2 つのシステム S と T は、S または T のどちらに接続されていても、それが S または T のどちらに接続されているかを判断できるアルゴリズム D が存在しない場合は、区別できないと言われます。

識別攻撃は、このようなアルゴリズム D によって行われます。これは、攻撃者が未知のキーを持つ攻撃対象のシステムのインスタンス、またはシステムがエミュレートしようとしているドメイン内のランダム オブジェクトのいずれかを含むブラック ボックスを与えられた場合、アルゴリズムがシステムまたはランダム オブジェクトのどちらがブラック ボックス内にあるかを判断できる場合に、攻撃が成立する攻撃です。たとえば、RC4などのストリーム暗号に対する識別攻撃は、特定のバイト ストリームがランダムであるか、未知のキーを持つ RC4 によって生成されたものであるかを判断する攻撃です。

一般的なストリーム暗号に対する攻撃を区別する典型的な例は、Itsik Mantin とAdi Shamirによるもので、RC4 の 2 番目の出力バイトがゼロに大きく偏っていることを示しました。^[4]別の例として、COSICのSouradyuti PaulとBart Preneel は、 RC4の 1 番目と 2 番目の出力の XOR 値も不均一であることを示しました。重要なことに、上記の理論的な偏りは両方とも、コンピューター シミュレーションによって実証できます。^[5]

• ランダム性テスト

• ソース
• 無差別性