ドメイン分離

暗号学において、ドメイン分離とは、1つの基礎テンプレートのみを使用して複数の異なる機能を効率的に実装するために使用される構造です。^{[1]ドメイン分離は}、機能のドメインを分割して、同じ機能の異なるアプリケーションに別々のサブドメインを割り当てることと定義できます。 ^[2]

たとえば、暗号化プロトコルは通常、ランダム オラクル(RO、入力によって完全に決定されるがそれ以外はランダムな値を返す関数) に依存します。これらのプロトコルのセキュリティ証明は、ランダム オラクルがプロトコルに固有であるという仮定に基づいています。2 つのプロトコルが同じ RO を共有する場合、証明の仮定は満たされなくなります。RO が必要になるたびに新しい暗号化プリミティブを最初から作成するのは非現実的であるため、複数の RO (たとえば、RO1 と RO2) は、固有のドメイン分離タグ(DST、ドメイン セパレータとも呼ばれる) を基本オラクル RO の入力の先頭に 追加することによって生成されます。

RO1(x) := RO("RO1" || x)

RO2(x) := RO("RO2" || x)

ここで、「RO1」と「RO2」は一意のDSTを表す文字列であり、||は連結演算子です。^[3]基礎となるRO関数が安全である場合（たとえば、暗号ハッシュである場合）、RO1とRO2は統計的に独立しています。^[1]この手法は、1993年にBellareとRogawayによって最初に提案されました^[4]。[5]

ドメイン分離構造は、複数の目的に使用できます。

• プロトコルに独立したROを提供する。^[6]
• ROの出力サイズを拡張する（例えば、ROを複数回使用し（1からLまで番号が付けられ）、そのたびにオラクル番号の表現をDSTとして使用する）。この手法は、ブロック暗号のカウンターモードに似ているため、「カウンターモード」と呼ばれます。^[7]
• 暗号化キーをDSTとして使用してオラクルを「キーイング」する。^[8]

実用的な意味では、ドメイン分離はプログラミングにおける強い型付けに相当する「カスタマイズ」を提供することができます。つまり、異なるタスクに対して独立した計算の使用を強制するため、ある計算の結果を知った攻撃者は、別の計算に関する情報を得ることができません。^[9]

ドメイン分離は、異なる暗号化プリミティブを実装する関数で使用できます。

ドメイン分離はハッシュ関数で最もよく使用されます。ハッシュ関数の入力ドメインは実質的に無制限であり、たとえばメッセージの先頭または末尾にDSTを追加することで、任意の数の派生関数に分割することは簡単です。^{[10] [1]}

ドメイン分離は、ハッシュ関数の実装において、同じ設計から複数の異なる関数を生成するために使用されます。^[11]たとえば、SHA-3では、ドメイン分離により、異なる名前の関数（ SHA3-512やSHAKE128など）が独立していることが保証されます。 ^[9]

対称暗号とMACのセキュリティは、鍵が他の目的に使用されていないことに大きく依存します。アプリケーションが複数の鍵を必要とするが、鍵素材のソースが1つしかない場合、通常は鍵導出関数を使用して鍵を生成します。KDFは通常、任意の長さの出力を生成できるため、任意の数の鍵を生成するために使用できます。^[12]

また、ハッシュ関数と同様に、一部の対称暗号とMACは内部的にドメイン分離を使用します。^[13]

多くの場合、異なる目的のデジタル署名を生成するために単一の署名鍵を使用することが望ましい。これを行う場合、ある目的のために意図された署名メッセージが他の目的に使用されないようにすることが重要です。これを実現する簡単な方法は、各メッセージに目的を示す識別子を追加し、識別子が一致しない場合はメッセージを拒否することです。^[14]

• Bellare, Mihir; Rogaway, Phillip (1993). ランダムオラクルは実用的: 効率的なプロトコルを設計するためのパラダイム(PDF) . ACM Press. doi :10.1145/168588.168596. ISBN 978-0-89791-629-5。
• Bellare, Mihir; Bernstein, Daniel J.; Tessaro, Stefano (2016)。「ハッシュ関数ベースの PRF: AMAC とそのマルチユーザー セキュリティ」。Advances in Cryptology – EUROCRYPT 2016。第 9665 巻。ベルリン、ハイデルベルク: Springer Berlin Heidelberg。doi : 10.1007 / 978-3-662-49890-3_22。ISBN 978-3-662-49889-7。
• Faz-Hernandez, A.; Scott, S.; Sullivan, N.; Wahby, RS; Wood, CA (2023 年 8 月)。「RFC 9380: 楕円曲線へのハッシュ」。RFC シリーズ。2.2.5. ドメイン分離。ISSN 2070-1721  。
• Hampiholi, Brinda; Alpár, Gergely; van den Broek, Fabian; Jacobs, Bart (2015)。「実用的な属性ベース署名に向けて」。セキュリティ、プライバシー、および応用暗号工学。第 9354 巻。Cham: Springer International Publishing。pp. 310–328。doi : 10.1007 / 978-3-319-24126-5_18。ISBN 978-3-319-24125-8。
• Kelsey, John; Chang, Shu-jen; Perlner, Ray (2016). 「NIST SP 800-185: SHA- 3派生関数: cSHAKE、KMAC、TupleHash、ParallelHash」。NISTコンピュータ セキュリティ リソース センター。NIST。2024年5 月 6 日に閲覧。
• ミッテルバッハ、アルノ、フィッシュリン、マルク（2021）。ハッシュ関数とランダムオラクルの理論：現代暗号へのアプローチ。情報セキュリティと暗号。シュプリンガー・インターナショナル・パブリッシング。ISBN 978-3-030-63287-8. 2023年6月22日閲覧。

• リンゴ、バナナ、チェリーのハッシュ