拡張可能な出力機能

拡張出力関数（XOF ）は、出力が任意に長くなる暗号学的ハッシュ関数の一種であり、暗号学的に安全な擬似乱数生成器として使用できます。^{[ 1 ]}

特定のハッシュ構造であるスポンジ構造では、任意のスポンジハッシュが自然な XOF になります。スクイーズ操作を繰り返すことで XOF が得られます (固定サイズの結果を持つ通常のハッシュ関数は、固定ビット数を取得した後にスクイーズフェーズを停止することでスポンジメカニズムから得られます)。^{[ 2 ]}

安全な XOF は、衝突、原像、および第 2 原像に対して耐性があります。技術的には、結果を固定長に切り詰めることで任意の XOF を暗号学的ハッシュに変換できますが、現実世界では、ハッシュと XOF はドメイン分離を使用して異なる方法で定義される傾向があります。^{[ 3 ]} ) スポンジ構成 XOF の例には、 Keccakファミリーのアルゴリズム、SHAKE128、SHAKE256、および効率の高いバリアントKangarooTwelve があります。^{[ 1 ]}

SkeinやRadioGatúnなど、スポンジ構造ではないXOFも存在する。

XOFは鍵導出関数（KDF）、ストリーム暗号^{[ 1 ]}、マスク生成関数^{[ 4 ]}として使用されます。

XOF はその性質上、関連する出力 (長い結果には短い結果が接頭辞として含まれる) を生成する可能性があります。そのため、鍵導出に KDF を使用すると、関連する出力の問題が発生する可能性があります。単純な例として、Triple DES鍵が XOF で生成され、実装に混乱があり、一部の操作が 3TDEA (3 × 56 = 168 ビット鍵) として実行され、一部が 2TDEA (2 × 56 = 112 ビット鍵) として実行される場合、暗号化結果を比較すると、攻撃の複雑さが 56 ビットに低下します。同様の問題は、NIST SP 800-108のハッシュをKDF で単純に置き換える場合にも発生する可能性があります。 ^{[ 5 ]}

• ミッテルバッハ、アルノ；フィシュリン、マルク（2021）。「拡張可能な出力関数（XOF）」。ハッシュ関数とランダムオラクルの理論：現代暗号へのアプローチ。情報セキュリティと暗号。シュプリンガー・インターナショナル・パブリッシング。ISBN 978-3-030-63287-82023年6月22日に取得。
• Peyrin, Thomas; Wang, Haoyang (2020). "MALICIOUS Framework: Embedding Backdoors into Tweakable Block Ciphers" (PDF) . Advances in Cryptology – CRYPTO 2020 . Lecture Notes in Computer Science. Vol.  12172. Springer International Publishing. pp. 249–278 . doi : 10.1007/978-3-030-56877-1_9 . ISBN  978-3-030-56876-4ISSN 0302-9743 S2CID 221107066​​​  
• Perlner, Ray (2014年8月22日). "拡張可能出力関数 (XOF)" . csrc.nist.gov . NIST . 2023年6月22日取得.
• ドウォーキン、モリス（2014年8月22日）。「ドメイン拡張」。csrc.nist.gov。NIST 。2023年6月22日取得。