ダブルラチェットアルゴリズム

暗号学において、ダブルラチェットアルゴリズム（以前はアホロートルラチェット^{[ 2 ] [ 3 ]}と呼ばれていた）は、 2013年にトレバー・ペリンとモクシー・マーリンスパイクによって開発された鍵管理アルゴリズムです。これは、インスタントメッセージングのエンドツーエンド暗号化を提供する暗号プロトコルの一部として使用できます。最初の鍵交換の後、短期間のセッション鍵の継続的な更新と維持を管理します。これは、ディフィー・ヘルマン鍵交換（DH）に基づく暗号学的ないわゆる「ラチェット」と、ハッシュ関数などの鍵導出関数（KDF）に基づくラチェットを組み合わせたもので、そのためダブルラチェットと呼ばれています。

このアルゴリズムはメッセージの前方秘匿性と前方鍵の暗黙的な再交渉を提供します。プロトコルの名前の由来となっている特性です。^{[ 4 ]}

これは2025年10月現在、CRYSTALS-Kyber量子ラチェットを備えたスパースポスト量子ラチェット（SPQR）に拡張され、Signalの著者らがトリプルラチェットと呼ぶものにおいて、ポスト量子前方秘匿性とポスト侵害セキュリティの保証を提供する。^{[ 5 ]}

ダブルラチェットアルゴリズムは、2013 年にTrevor Perrin と Moxie Marlinspike ( Open Whisper Systems ) によって開発され、2014 年 2 月にSignal Protocolの一部として導入されました。ダブルラチェットアルゴリズムの設計は、Off-the-Record Messaging (OTR)によって導入された DH ラチェットに基づいており、 Silent Circle Instant Messaging Protocol (SCIMP)をモデルにした対称鍵ラチェットと組み合わせています。このラチェットは当初、驚異的な自己修復能力を持つ絶滅危惧種の水生サンショウウオ、アホロートルにちなんで名付けられました。 ^{[ 6 ]} 2016 年 3 月、開発者は、ラチェットと完全なプロトコルをより明確に区別するために、アホロートルラチェットをダブルラチェットアルゴリズムに改名しました。^{[ 3 ]}これは、Signal Protocol を指す際にアホロートルという名前が使われていたためです。^{[ 7 ] [ 3 ]}

ダブルラチェットアルゴリズムは、エンドツーエンド暗号化システムで長年一般的に利用されてきた特性を備えています。すなわち、伝送経路全体にわたるコンテンツの暗号化、リモートピアの認証、およびメッセージの改ざん防止です。DHラチェットとKDFラチェットのハイブリッドとして、両方の原理の望ましい機能を複数組み合わせています。OTRメッセージングからは、前方秘匿性とセッションキーが漏洩した場合の秘匿性の自動再確立、秘密の永続メインキーが漏洩した場合の前方秘匿性、およびメッセージの作成者に関するもっともらしい否認可能性といった特性を受け継いでいます。さらに、セカンダリKDFラチェットを使用することで、リモートピアとのやり取りなしにセッションキーを更新できます。順序が乱れたメッセージのセッションキーを後続のキーを危険にさらすことなく保持できるように、追加のキー導出ステップが実行されます。

送信済みメッセージの並べ替え、削除、およびリプレイを検知し、OTRメッセージングと比較して、受動的な盗聴に対する前方秘匿性を向上させると言われている。

事前に生成されたワンタイムキー (prekeys) を保持するための公開鍵インフラストラクチャと組み合わせることで、リモートピアが存在しない場合でもメッセージングセッションを初期化できます (非同期通信)。初期鍵交換方法としてトリプルディフィー・ヘルマン鍵交換 (3-DH)を使用すると、否認性が向上します。その例として、ダブルラチェットアルゴリズム、prekeys、および 3-DH ハンドシェイクを組み合わせた Signal プロトコルがあります。^{[ 8 ]}このプロトコルは、機密性、完全性、認証、参加者の一貫性、宛先検証、前方秘匿性、後方秘匿性 (別名将来秘匿性)、因果関係の保持、メッセージのリンク不可性、メッセージの否認、参加の否認、および非同期性を提供します。^{[ 9 ]}匿名性の保持は提供されず、メッセージの中継と公開鍵マテリアルの保存のためにサーバーが必要です。^{[ 9 ]}

動作原理の図

クライアントは、Diffie-Hellman (DH) ラチェットを使用してリモート ピアと対話的にセッション キー マテリアルを更新しようとします。これが不可能な場合、クライアントはハッシュ ラチェットを使用してセッション キーを個別に更新します。クライアントは、メッセージを送信するたびに、送信用と受信用の 2 つのハッシュ ラチェットのうちの 1 つを進めます。これらの 2 つのハッシュ ラチェットには、DH ラチェットから共通の秘密情報がシードされます。同時に、クライアントは、リモート ピアに新しい公開 DH 値を提供する機会を常に利用し、リモート ピアから新しい DH 値が到着するたびに DH ラチェットを進めようとします。新しい共通の秘密情報が確立されるとすぐに、新しいハッシュ ラチェットが初期化されます。

ダブルラチェットアルゴリズムは、暗号プリミティブとして、

DHラチェット用

Curve25519を使用した楕円曲線ディフィー・ヘルマン (ECDH) 、

メッセージ認証コード（MAC、認証）

SHA-256に基づく鍵付きハッシュメッセージ認証コード（HMAC） 、

対称暗号化の場合

高度暗号化標準（ AES）を、 PKCS #5に従ってパディング付きの暗号ブロック連鎖モード（CBC）で部分的に使用し、パディングなしのカウンタモード（CTR）で部分的に使用する。 

ハッシュラチェット用

HMAC。^{[ 10 ]}

以下は、ダブルラチェットアルゴリズム、またはそのカスタム実装を使用するアプリケーションの一覧です。

• Open Whisper Systemsによる仕様
• 「高度な暗号ラチェット」、モクシー・マーリンスパイクによる概要説明
• Olm ： Apache 2.0ライセンスに基づくC++実装
• Vodozemac ： Apache 2.0ライセンスの下で提供される、Olmの派生版のRust実装。
• ダブルラチェットアルゴリズム：SignalとWhatsAppの暗号化を巡るピンポンゲーム（ YouTube解説）