Loading article…
暗号学において、セキュリティ レベルとは、暗号やハッシュ関数などの暗号プリミティブが達成する強度の尺度です。セキュリティ レベルは通常、「セキュリティビット」(セキュリティ強度とも呼ばれる)の数として表現されます。 [1]ここで、nビットのセキュリティとは、攻撃者がそれを破るには2 n 回の操作を実行する必要があることを意味します。 [2]ただし、攻撃者のコストをより厳密にモデル化する他の方法が提案されています。[3]これにより、アルゴリズムを簡単に比較でき、ハイブリッド暗号システムで複数のプリミティブを組み合わせる場合に役立ち、明確な最弱リンクはありません。たとえば、AES -128 (キー サイズ128 ビット) は 128 ビットのセキュリティ レベルを提供するように設計されており、これは3072 ビットのキーを使用する RSAとほぼ同等であると考えられています。
この文脈では、セキュリティクレームまたはターゲットセキュリティレベルは、プリミティブが当初達成するように設計されたセキュリティレベルですが、「セキュリティレベル」もこれらの文脈で使用されることがあります。セキュリティクレームよりもコストが低い攻撃が見つかった場合、プリミティブは破損しているとみなされます。[4] [5]
対称暗号では
対称アルゴリズムは通常、厳密に定義されたセキュリティ要求を持っています。対称暗号の場合、それは通常暗号のキーサイズに等しく、ブルートフォース攻撃の複雑さに相当します。[5] [6]出力サイズがnビットの暗号ハッシュ関数は通常、衝突耐性セキュリティレベルn /2と原像耐性レベルnを持ちます。これは、一般的なバースデー攻撃では常に2 n/2ステップで衝突を見つけることができるためです。 [7]たとえば、SHA-256は128ビットの衝突耐性と256ビットの原像耐性を提供します。
ただし、これには例外もあります。PhelixとHelixは256ビットの暗号で、128ビットのセキュリティレベルを提供します。[5] [8] SHA-3のSHAKEバリアントも異なります。256ビットの出力サイズの場合、SHAKE-128は衝突と原像耐性の両方に対して128ビットのセキュリティレベルを提供します。[9]
非対称暗号では
ほとんどの非対称アルゴリズム（公開鍵暗号など）の設計は、一方向の計算は効率的だが、攻撃者が逆方向に計算するのは非効率的な、きちんとした数学的問題に依存している。しかし、現在の公開鍵システムに対する攻撃は、鍵空間の総当たり検索よりも常に高速である。そのセキュリティレベルは設計時に設定されるのではなく、計算の困難さの仮定を表し、現在知られている最良の攻撃に合わせて調整される。[6]
非対称アルゴリズムのセキュリティ レベルを推定するさまざまな推奨事項が公開されていますが、方法論の違いにより若干異なります。
- 128ビットセキュリティレベルのRSA暗号システムの場合、 NISTとENISAは3072ビットキー[10] [11]とIETF 3253ビット[12] [13]の使用を推奨しています。キーの長さからセキュリティレベルの推定値への変換は、 GNFSの複雑さに基づいています。[14] : §7.5
- ディフィー・ヘルマン鍵交換とDSAは、鍵長からセキュリティレベルの推定値への変換という点ではRSAに似ている。[14] ：§7.5
- 楕円曲線暗号ではより短い鍵が必要なので、128ビットの推奨値は256-383 (NIST)、256 (ENISA)、242ビット (IETF) です。鍵サイズfからセキュリティレベルへの変換はおよそf / 2 です。これは、楕円曲線離散対数問題を解く方法であるロー法が 0.886 sqrt(2 f ) 回の加算で終了するためです。[15]
典型的なレベル
以下の表は、米国NIST SP-800-57鍵管理勧告のs5.6.1.1に記載されているアルゴリズムの種類ごとの典型的なセキュリティレベルの例です。[16] ：表2
- ^ ab DEA (DES) は、NIST 勧告の文脈において 2003 年に廃止されました。
NISTの勧告によれば、特定のセキュリティレベルの鍵は、同等以上のセキュリティレベルのアルゴリズムを使用した保護の下でのみ転送されるべきである。[14]
セキュリティレベルは、ターゲットグループを破るためのコストではなく、1つのターゲットを破るためのコストに対して与えられます。AES-128キーを見つけるには2 128回の操作が必要ですが、キーの数mに関係なく、同じ数の償却操作が必要です。一方、 rho法を使用してm個のECCキーを破るには、基本コストのsqrt( m )倍が必要です。 [15] [17]
「壊れた」の意味
暗号プリミティブは、攻撃が宣伝されているセキュリティ レベルを下回ることが判明した場合、破られたとみなされます。ただし、このような攻撃のすべてが実用的というわけではありません。現在実証されている攻撃のほとんどは、2 40未満の操作で済みます。これは、平均的な PC で数時間かかる計算です。ハッシュ関数に対する実証済みの攻撃の中で最もコストがかかったのは、SHA-1 に対する 2 61.2攻撃で、900 個のGTX 970 GPUで 2 か月かかり、コストは 75,000 ドルでした (ただし、研究者は衝突を見つけるのに 11,000 ドルしかかからなかったと推定しています)。[18]
オーマソンは、 280の作戦で実用的な攻撃と非実用的な攻撃の境界線を引いている。彼は新しい用語を提案している。[19]
- 壊れたプリミティブには、≤ 2 80回の演算を必要とする攻撃があります。攻撃は実行可能です。
- 負傷した原始人の攻撃には280から 2100 程度の操作が必要です。現時点では攻撃は不可能ですが、将来の改善により可能になる可能性があります。
- 攻撃を受けたプリミティブの攻撃は、セキュリティ要求よりは安価ですが、2 100よりははるかに高価です。このような攻撃は、実用的とは程遠いものです。
- 最後に、分析されたプリミティブは、セキュリティの主張よりも安価な攻撃がないものです。
参考文献
- ^ NIST 特別刊行物 800-57 パート 1、改訂 5。鍵管理に関する推奨事項: パート 1 – 一般、17 ページ。
- ^ Lenstra, Arjen K.「キーの長さ: 情報セキュリティハンドブックへの寄稿」(PDF)。
- ^ Bernstein, Daniel J. ; Lange, Tanja (2012 年 6 月 4 日)。「コンクリートの非均一な亀裂: 自由な事前計算の威力」(PDF)。暗号学の進歩 - ASIACRYPT 2013。コンピュータサイエンスの講義ノート。pp. 321–340。doi : 10.1007 / 978-3-642-42045-0_17。ISBN 978-3-642-42044-3。
- ^ Aumasson, Jean-Philippe (2011). 暗号解読と現実(PDF) . Black Hat Abu Dhabi.
- ^ abc Bernstein, Daniel J. (2005 年 4 月 25 日). ブルートフォースの理解(PDF) . 対称鍵暗号化に関する ECRYPT STVL ワークショップ。
- ^ ab Lenstra, Arjen K. (2001 年 12 月 9 日)。「信じられないほどのセキュリティ: 公開鍵システムを使用した AES セキュリティのマッチング」( PDF)。暗号学の進歩 - ASIACRYPT 2001。コンピュータ サイエンスの講義ノート。第 2248 巻。Springer、ベルリン、ハイデルベルク。pp. 67–86。doi :10.1007/ 3-540-45682-1_5。ISBN 978-3-540-45682-7。
- ^ Alfred J. Menezes、Paul C. van Oorschot、Scott A. Vanstone。「第 9 章 - ハッシュ関数とデータ整合性」(PDF)。応用暗号ハンドブック。336 ページ。
- ^ Ferguson, Niels; Whiting, Doug; Schneier, Bruce; Kelsey, John; Lucks, Stefan; Kohno, Tadayoshi (2003 年 2 月 24 日)。「Helix: 単一の暗号プリミティブによる高速暗号化と認証」(PDF)。高速ソフトウェア暗号化。コンピュータ サイエンスの講義ノート。第 2887 巻。Springer、ベルリン、ハイデルベルク。pp. 330–346。doi : 10.1007 / 978-3-540-39887-5_24。ISBN 978-3-540-20449-7。
- ^ Dworkin, Morris J. (2015 年 8 月). SHA-3 標準: 順列ベースのハッシュと拡張可能な出力関数(PDF) (レポート). NIST. p. 23. doi :10.6028/nist.fips.202.
- ^ Barker, Elaine (2016 年 1 月). 鍵管理に関する推奨事項、パート 1: 一般(PDF) (レポート). NIST. NIST. p. 53. CiteSeerX 10.1.1.106.307 . doi :10.6028/nist.sp.800-57pt1r4.
- ^ アルゴリズム、キーサイズ、パラメータレポート – 2014。ENISA。出版局。2013年。p. 37。doi : 10.2824/ 36822。ISBN 978-92-9204-102-1。
{{cite book}}: CS1 メンテナンス: その他 (リンク) - ^ Orman, Hilarie; Hoffman, Paul ( 2004 年 4 月)。対称鍵の交換に使用される公開鍵の強度の決定。RFC。IETF。doi :10.17487/RFC3766。
- ^ Giry, Damien. 「Keylength - すべてのメソッドを比較」。keylength.com 。 2017年1月2日閲覧。
- ^ abc 「FIPS 140-2 および暗号モジュール検証プログラムの実装ガイダンス」(PDF)。
- ^ ab 「ロー法」 。 2024年2月21日閲覧。
- ^ Barker, Elaine (2020 年 5 月). 鍵管理に関する推奨事項、パート 1: 一般(PDF) (レポート). NIST. NIST. p. 158. CiteSeerX 10.1.1.106.307 . doi :10.6028/nist.sp.800-57pt1r5.
- ^ 「Curve25519 を使用した ECDH の後では、AES-128 よりも強力なものを使用するのは無意味ですか?」。Cryptography Stack Exchange。
- ^ Gaëtan Leurent、Thomas Peyrin (2020-01-08)。SHA-1 は混乱状態: SHA-1 での最初の選択プレフィックス衝突と PGP Web of Trust への応用(PDF) (レポート)。IACR Cryptology ePrint Archive。
- ^ Aumasson, Jean-Philippe (2020). Too Much Crypto (PDF) . Real World Crypto Symposium.
さらに読む
- Aumasson, Jean-Philippe (2020). Too Much Crypto (PDF) . Real World Crypto Symposium.