Loading article…
暗号学において、鍵導出関数（KDF）は、疑似乱数関数（通常は暗号ハッシュ関数またはブロック暗号を使用）を使用して、マスターキー、パスワード、パスフレーズなどの秘密値から1つ以上の秘密鍵を導出する暗号アルゴリズムです。[1] [2] [3] KDFは、鍵をより長い鍵に引き伸ばしたり、 Diffie-Hellman鍵交換の結果であるグループ要素をAESで使用するための対称鍵に変換するなど、必要な形式の鍵を取得したりするために使用できます。鍵付き暗号ハッシュ関数は、鍵導出に使用される疑似乱数関数の一般的な例です。[4]
歴史
最初の[要出典]意図的に遅い (キー ストレッチ) パスワード ベースのキー導出関数は、" crypt " (またはマニュアル ページにちなんで "crypt(3)") と呼ばれ、 1978 年にRobert Morrisによって発明されました。これは、ユーザーのパスワードの最初の 8 文字をキーとして使用し、修正されたDES暗号化アルゴリズム (リアルタイム コンピュータ クロックから読み取られた 12 ビットの数値を使用して計算を乱す) を 25 回繰り返して定数 (ゼロ) を暗号化します。結果として得られる 64 ビットの数値は、11 の印刷可能な文字としてエンコードされ、Unixパスワード ファイルに保存されます。[5]これは当時としては大きな進歩でしたが、PDP-11時代以降のプロセッサ速度の向上により、crypt に対するブルート フォース攻撃が可能になり、ストレージの進歩により 12 ビットの salt では不十分になりました。 crypt 関数の設計では、ユーザー パスワードも 8 文字に制限されるため、キー空間が制限され、強力なパスフレーズが不可能になります。[引用が必要]
汎用ハッシュ関数では高スループットが望ましい特性ですが、ブルートフォースクラッキングに対する防御が主な懸念事項であるパスワードセキュリティアプリケーションではその逆が当てはまります。ブルートフォースクラッキング用の GPU、FPGA、さらには ASIC などの超並列ハードウェアの使用が増えているため、適切なアルゴリズムの選択がさらに重要になっています。これは、優れたアルゴリズムは CPU に一定の計算コストを課すだけでなく、そのようなタスク用の最新の超並列プラットフォームのコスト/パフォーマンスの利点に耐える必要があるためです。この目的のために特別に設計されたさまざまなアルゴリズムがあり、bcrypt、scrypt、最近ではLyra2やArgon2 (後者はPassword Hashing Competitionの優勝者) などがあります。約 3,600 万件のパスワードハッシュが攻撃者に盗まれた大規模なAshley Madison データ侵害は、パスワードのセキュリティ保護におけるアルゴリズム選択の重要性を実証しました。ハッシュを保護するためにbcryptが採用されていたが（大規模なブルートフォースクラッキングには費用と時間がかかる）、侵害されたデータ内のアカウントのかなりの部分には高速汎用MD5アルゴリズムに基づくパスワードハッシュも含まれていたため、数週間のうちに1100万以上のパスワードが解読される可能性があった。[6]
2017 年 6 月、米国国立標準技術研究所 (NIST) は、デジタル認証ガイドライン NIST SP 800-63B-3 の新しい改訂版を発行しました。[7] : 5.1.1.2 では 、次のように規定されています。「検証者は、記憶された秘密 (パスワードなど) をオフライン攻撃に耐える形式で保存する必要があります。記憶された秘密は、適切な一方向キー導出関数を使用してソルト化およびハッシュ化する必要があります。キー導出関数は、パスワード、ソルト、およびコスト係数を入力として受け取り、パスワード ハッシュを生成します。その目的は、パスワード ハッシュ ファイルを入手した攻撃者によるパスワード推測の試行をコストの高いものにし、推測攻撃のコストを高くまたは法外なものにすることです。」
PBKDF2などの最新のパスワードベースの鍵導出関数[2] は、SHA-2などの認識された暗号ハッシュに基づいており、より多くのソルト（少なくとも 64 ビットでランダムに選択）と高い反復回数を使用します。NIST は、最小反復回数として 10,000 を推奨しています。[7] : 5.1.1.2 「特に重要な鍵、または非常に強力なシステムやユーザーが認識するパフォーマンスが重要ではないシステムの場合、反復回数 10,000,000 が適切である可能性があります。」 [8] : 5.2
キー導出
KDF の本来の用途は、キー導出、つまり秘密のパスワードまたはパスフレーズからキーを生成することです。このテーマのバリエーションには次のものがあります。
- 非秘密パラメータと組み合わせて、共通の秘密値から 1 つ以上のキーを導出します (「キーの多様化」と呼ばれることもあります)。このように使用すると、導出キーを取得した攻撃者が、入力された秘密値または他の導出キーに関する有用な情報を得るのを防ぐことができます。KDF は、特定の暗号化システムで「弱いキー」を回避するなど、導出キーが他の望ましい特性を持つようにするためにも使用できます。
- マルチパーティ鍵合意プロトコルのコンポーネントとして。このような鍵導出関数の例には、IEEE Std 1363-2000で定義されている KDF1や、ANSI X9.42 の同様の関数などがあります。
- 秘密のパスワードまたはパスフレーズからキーを導出します (パスワードベースの KDF )。
- 提供されたキーとは異なる長さのキーを導出する。この目的のために設計されたKDFには、HKDFとSSKDFがあります。これらは、追加のオプションの「情報」パラメータとして「情報」ビット文字列を受け取ります。これは、導出されたキーマテリアルをアプリケーションおよびコンテキスト固有の情報にバインドするために重要になる場合があります。[9]
- キーのストレッチとキーの強化。
キーストレッチとキー強化
キー導出関数は、通常、暗号キーとして直接使用するために必要な特性を持たない秘密のパスワードまたはパスフレーズからキーを導出するアプリケーションでも使用されます。このようなアプリケーションでは、通常、パスワードまたはパスフレーズの入力値に対するブルートフォース攻撃や辞書攻撃を阻止するために、キー導出関数を意図的に遅くすることが推奨されます。
このような使用は、DK = KDF(key, salt, iterations)と表現されます。ここで、DKは導出キー、KDFはキー導出関数、keyは元のキーまたはパスワード、saltは暗号ソルトとして機能する乱数、iterations はサブ関数の反復回数を指します。導出キーは、元のキーまたはパスワードの代わりにシステムへのキーとして使用されます。ソルトの値と反復回数 (固定されていない場合) は、ハッシュされたパスワードとともに保存されるか、暗号化されたメッセージとともに平文 (暗号化されていない) として送信されます。 [ 10]
ブルートフォース攻撃の難しさは、反復回数に応じて増します。反復回数の実際的な制限は、ユーザーがコンピュータにログインしたり、復号化されたメッセージを確認したりするのに知覚できる遅延を許容したくないという点です。ソルトを使用すると、攻撃者が派生キーの辞書を事前に計算するのを防ぐことができます。[10]
キー強化と呼ばれる別のアプローチでは、ランダムなソルトでキーを拡張しますが、その後（キーストレッチングとは異なり）ソルトを安全に削除します。[11]これにより、攻撃者と正当なユーザーの両方がソルト値のブルートフォース検索を実行する必要があります。[12]キーストレッチングを紹介した論文[13]では、この以前の手法に言及し、意図的に別の名前を選択しましたが、「キー強化」という用語は現在、キーストレッチングを指すためによく使用されます（おそらく誤っています）。
パスワードハッシュ
KDF は元々はキー導出に使用されていましたが、passwdファイルやシャドウ パスワードファイルで使用されるパスワード ハッシュ(ハッシュ比較によるパスワード検証) での使用の方がよく知られています。パスワード ハッシュ関数は、ブルート フォース攻撃の場合に計算するのに比較的コストがかかるはずであり、 KDF のキー ストレッチングはたまたまこの特性を提供します。[引用が必要]非秘密パラメータは、このコンテキストでは「ソルト」と呼ばれます。
2013年に、パスワードハッシュの新しい標準アルゴリズムを選択するためのパスワードハッシュコンテストが発表されました。2015年7月20日にコンテストは終了し、 Argon2が最終優勝者として発表されました。他の4つのアルゴリズム、Catena、Lyra2、Makwa、yescryptが特別に表彰されました。[14]
2023年5月現在、OWASPはパスワードハッシュに以下のKDFを推奨しています（優先順位順）。[15]
参考文献
- ^ Bezzi, Michele; et al. (2011). 「データプライバシー」。Camenisch, Jan; et al. (eds.). Privacy and Identity Management for Life。Springer。pp. 185–186。ISBN 9783642203176。
- ^ ab B. Kaliski; A. Rusch (2017 年 1 月). K. Moriarty (編). PKCS #5: パスワードベース暗号化仕様バージョン 2.1.インターネット技術タスクフォース(IETF). doi : 10.17487/RFC8018 . ISSN 2070-1721. RFC 8018. 情報提供。RFC 2898 は 廃止されました。RFC 9579 によって更新されました。
- ^ Chen, Lily (2009 年 10 月)。「NIST SP 800-108: 疑似乱数関数を使用したキー導出に関する推奨事項」。NIST。
- ^ Zdziarski, Jonathan (2012)。iOS アプリケーションのハッキングとセキュリティ: データの盗難、ソフトウェアの乗っ取り、およびその防止方法。O'Reilly Media。pp. 252–253。ISBN 9781449318741。
- ^ Morris, Robert; Thompson, Ken (1978 年 4 月 3 日). 「パスワード セキュリティ: 事例研究」.ベル研究所. 2003 年 3 月 22 日時点のオリジナルよりアーカイブ。2011年5 月 9 日閲覧。
- ^ Goodin, Dan (2015年9月10日). 「かつては完全無欠と思われていたAshley Madisonのパスワード1100万件以上がすでに破られている」Ars Technica . 2015年9月10日閲覧。
- ^ ab Grassi Paul A. (2017 年 6 月). SP 800-63B-3 – デジタル ID ガイドライン、認証、ライフサイクル管理。NIST。doi : 10.6028 /NIST.SP.800-63b。
- ^ Meltem Sönmez Turan、Elaine Barker、William Burr、Lily Chen (2010 年 12 月)。SP 800-132 – パスワードベースのキー導出に関する推奨事項、パート 1: ストレージ アプリケーション(PDF)。NIST。doi :10.6028/ NIST.SP.800-132。S2CID 56801929 。
{{cite book}}: CS1 maint: multiple names: authors list (link) - ^ クラウチック、ヒューゴ;エロネン、パシ (2010 年 5 月)。 「HKDF への「情報」入力」。datatracker.ietf.org。RFC 5869 (2010)
- ^ ab 「ソルトパスワードハッシュ - 正しいやり方」CrackStation.net 。 2015年1月29日閲覧。
- ^ Abadi、Martın、T. Mark A. Lomas、および Roger Needham。「パスワードの強化」Digital System Research Center、Tech. Rep 33 (1997): 1997。
- ^ U. Manber、「一方向関数に基づくパスワードをより解読しにくくするシンプルな方法」、Computers & Security、v.15、n.2、1996 年、171 ～ 176 ページ。
- ^ 低エントロピー鍵の安全な応用、J. ケルシー、B. シュナイアー、C. ホール、D. ワグナー(1997)
- ^ 「パスワードハッシュコンテスト」
- ^ 「パスワード保存チートシート」。OWASPチートシートシリーズ。OWASP 。 2023年5月17日閲覧。
さらに読む
- Percival, Colin (2009 年 5 月)。「シーケンシャル メモリ ハード関数による強力なキー導出」(PDF)。BSDCan'09プレゼンテーション。2009年5 月 19 日閲覧。
- 主要な導出関数