国際データ暗号化アルゴリズム

アイデア

IDEAの暗号化ラウンド
一般的な
デザイナー	莱雪佳とジェームズ・マッシー
由来	ペス
後継者	MMB、MESH、アケラレ、 IDEA NXT (FOX)
暗号の詳細
キーサイズ	128ビット
ブロックサイズ	64ビット
構造	ライ・マッシー方式
ラウンド	8.5
最高の公開暗号解読
狭い二分木法を使うと、計算量2 126.1で鍵を復元できる。この攻撃は完全なブルートフォース攻撃よりも計算量が速いが、2013年時点では計算上実現可能ではない。[1]

暗号学において、国際データ暗号化アルゴリズム( IDEA ) は、元々は改良提案暗号化標準( IPES )と呼ばれていた対称鍵 ブロック暗号であり、 ETH チューリッヒのJames MasseyとXuejia Laiによって設計され、1991 年に初めて説明されました。このアルゴリズムは、データ暗号化標準(DES)の代替として意図されていました。IDEA は、以前の暗号である提案暗号化標準 (PES) のマイナーリビジョンです。

この暗号は、Ascom-Tech AGの一部となったHasler Foundationとの研究契約に基づいて設計されました。この暗号は多くの国で特許を取得しましたが、非商用目的では自由に利用できました。「IDEA」という名前も商標です。最後の特許は2012年に失効し、IDEAは現在特許フリーであり、あらゆる用途で完全に無料です。^[2]

IDEAはPretty Good Privacy (PGP) v2.0で使用され、v1.0で使用された元の暗号であるBassOmaticが安全でないことが判明した後に組み込まれました。^{[3] IDEAは}OpenPGP標準のオプションのアルゴリズムです。

IDEA は128 ビットのキーを使用して 64 ビットのブロックで動作し、一連の 8 つの同一変換 (ラウンド、図を参照) と出力変換 (ハーフラウンド) で構成されます。暗号化と復号化のプロセスは似ています。IDEA は、モジュラー加算と乗算、ビット単位の排他的論理和( XOR)など、ある意味で代数的に「互換性がない」さまざまなグループの演算をインターリーブすることで、セキュリティの多くを獲得しています。詳しく言うと、16 ビットの量を扱うこれらの演算子は次のとおりです。

• ビット単位のXOR (排他的論理和) (青い丸で囲まれたプラス記号⊕で示されます)。
• ^{2 16}を法とする加算（緑色の四角で囲まれたプラス記号⊞で示される）。
• ^{2 16} + 1 を法とする乗算。入力内のすべてゼロのワード (0x0000) は 2 ¹⁶として解釈され、出力内の 2 ^{16 はすべてゼロのワード (0x0000) (赤い丸で囲まれた点}⊙で示される) として解釈されます。

8 ラウンドの後に、最後の「半ラウンド」が行われます。これは、以下に示す出力変換です (中央の 2 つの値のスワップにより、最後のラウンドの最後のスワップがキャンセルされるため、純スワップは発生しません)。

IDEA の全体的な構造は、Lai-Massey 方式に従います。減算と加算の両方に XOR が使用されます。IDEA は、キーに依存する半ラウンド関数を使用します。16 ビット ワード (64 ビット ブロック サイズの場合は 2 つの入力ではなく 4 つの入力) を処理するために、IDEA は Lai-Massey 方式を 2 回並列で使用し、2 つの並列ラウンド関数を相互に織り交ぜます。十分な拡散を確保するために、各ラウンドの後に 2 つのサブブロックが交換されます。

各ラウンドでは 6 つの 16 ビット サブキーが使用され、ハーフラウンドでは 4 つが使用されるため、合計 52 個のサブキーが 8.5 ラウンドで使用されます。最初の 8 つのサブキーはキーから直接抽出され、第 1 ラウンドの K1 が下位 16 ビットになります。さらに 8 つのキーのグループは、各 8 つのグループ間でメインキーを左に 25 ビット回転させることによって作成されます。つまり、平均して 1 ラウンドあたり 1 回未満しか回転されず、合計 6 回回転されます。

復号化は暗号化と同様に機能しますが、ラウンドキーの順序が逆になり、奇数ラウンドのサブキーが逆になります。たとえば、サブキー K1 ～ K4 の値は、それぞれのグループ操作で K49 ～ K52 の逆数に置き換えられ、各グループの K5 と K6 は復号化のために K47 と K48 に置き換えられます。

設計者は差分解読法に対する IDEA の強度を測定するために IDEA を分析し、特定の仮定の下では耐性があると結論付けました。線形または代数的な弱点が発見されたという報告はありません。2007 年現在^{[アップデート]}、すべてのキーに適用された最良の攻撃は、6 ラウンドに短縮された IDEA を破ることができました (完全な IDEA 暗号は 8.5 ラウンドを使用します)。^[4]「破る」とは、2 ¹²⁸未満の操作を必要とする攻撃であることに注意してください。6 ラウンドの攻撃には、2 ⁶⁴の既知の平文と 2 ^{126.8 の}操作が必要です。

ブルース・シュナイアーは1996年にIDEAを高く評価し、「私の意見では、これは現時点で一般に公開されているブロックアルゴリズムの中で最良かつ最も安全なものだ」と書いている（応用暗号学、第2版）。しかし、1999年までに、より高速なアルゴリズムが利用可能になり、暗号解読が進歩し、特許の問題が発生したため、彼はIDEAを推奨しなくなった。 ^[5]

2011年に、完全な8.5ラウンドのIDEAは、ミート・イン・ザ・ミドル攻撃を使用して破られました。^{[6] 2012年には、完全な8.5ラウンドのIDEAがナロー}・バイクリーク攻撃を使用して破られ、暗号強度が約2ビット低下しました。これは、以前のAESに対するバイクリーク攻撃の影響に似ていますが、この攻撃は実際にはIDEAのセキュリティを脅かすものではありません。^[7]

非常に単純な鍵スケジュールにより、IDEA は弱い鍵のクラスの対象となります。多数の 0 ビットを含む鍵は弱い暗号化を生成します。^[8]これらは実際にはほとんど問題にならず、十分にまれであるため、鍵をランダムに生成するときに明示的に回避する必要はありません。簡単な修正が提案されました。各サブキーを 0x0DAE などの 16 ビット定数で XOR します。^{[8] [9]}

2002年にはより大きなクラスの弱い鍵が発見されました。^[10]

これはランダムに選択されたキーにとって問題となる可能性は依然として無視できるほど低く、問題の一部は以前に提案された定数XORによって解決されますが、論文ではすべてが解決されるかどうかは定かではありません。IDEAキースケジュールのより包括的な再設計が望ましいかもしれません。^[10]

IDEAの特許出願は、 1990年5月18日にスイスで最初に提出され（CH A 1690/90）、その後、 1991年5月16日に特許協力条約に基づいて国際特許出願が提出されました。特許は最終的にオーストリア、フランス、ドイツ、イタリア、オランダ、スペイン、スウェーデン、スイス、英国（欧州特許番号0482154の欧州特許登録簿への記載、1991年5月16日出願、1994年6月22日発行、2011年5月16日失効）、米国（米国特許5,214,703、1993年5月25日発行、2012年1月7日失効）、日本（JP 3225440、2011年5月16日失効）で付与されました。^[11]

MediaCrypt AG は現在、IDEA の後継製品を提供しており、以前は FOX と呼ばれていた新しい暗号 (2005 年 5 月に正式リリース) IDEA NXTに重点を置いています。

• Demirci, Hüseyin; Selçuk, Ali Aydin; Türe, Erkan (2004)。「IDEA ブロック暗号に対する新しい Meet-in-the-Middle 攻撃」。暗号化の分野選択。コンピュータ サイエンスの講義ノート。第 3006 巻。pp. 117–129。doi : 10.1007 / 978-3-540-24654-1_9。ISBN 978-3-540-21370-3。
• Lai, Xuejia; Massey , James L. (1991)。「新しいブロック暗号化標準の提案」。暗号学の進歩 - EUROCRYPT '90。コンピュータサイエンスの講義ノート。第 473 巻。389 ～ 404 ページ。CiteSeerX 10.1.1.14.3451。doi :  10.1007 / 3-540-46877-3_35。ISBN 978-3-540-53587-4。
• Lai, Xuejia、Massey, James L.、Murphy, Sean (1991)。「マルコフ暗号と差分暗号解析」。暗号学の進歩 — EUROCRYPT '91 。コンピュータサイエンスの講義ノート。第 547 巻。pp . 17–38。doi :10.1007/ 3-540-46416-6_2。ISBN 978-3-540-54620-7。

• ブロック暗号に関する RSA FAQ
• IDEAのSCANエントリー
• 80x86の448バイトのIDEA
• IDEA アプレット
• Javaソースコード