M8（暗号）

暗号学において、M8は1999年に日立が設計したブロック暗号である。これは日立の以前のM6アルゴリズムの改良版であり、ハードウェアと32ビットソフトウェア実装の両方でより高いセキュリティと高性能を実現するように設計された。M8は1999年3月に日立によってISO/IEC 9979-0020として登録された。^[1]

M6 と同様に、M8 はブロック サイズが64 ビットのFeistel 暗号です。ラウンド関数には 32 ビットの回転、XOR、モジュラー加算を含めることができ、 ARX 暗号の初期の例となっています。

この暗号は、可変数のラウンド (任意の正の整数 N) を特徴としており、各ラウンドは、ラウンド固有の「アルゴリズム決定キー」によって決定される構造を持ちます。ラウンドをキーに依存させることで、暗号解読をより困難にすることを目的としています (同様の設計哲学については、 FROG を参照してください)。

ラウンド数は任意の正の整数 N に設定できますが、ラウンド数は少なくとも 10 にすることをお勧めします。キーは、64 ビットのデータ キー、256 ビットのキー拡張キー、N 個の 24 ビット アルゴリズム決定キーのセット、および N 個の 96 ビット アルゴリズム拡張キーのセットの 4 つのコンポーネントで構成されます。

ラウンド関数は、キー拡張と暗号化/復号化の両方に使用されます。キー拡張プロセスでは、64 ビットのデータ キーと 256 ビットのキー拡張キーが、4 組の 32 ビットの数値で構成される 256 ビットの実行キーに変換されます。 ${\displaystyle K_{R_{0}},K_{L_{0}},...,K_{R_{3}},K_{L_{3}}}$

この暗号は、典型的なFeistel 暗号設計を採用しています。まず、64 ビットの入力ブロックが 2 つの 32 ビットの半分に分割されます。各ラウンドで、左半分はキー依存の変換を受け、右半分と結合されます。最後に、半分が交換されます。全体として、ラウンド関数は、9 つ​​のカスタマイズ可能な操作と 3 つのビット単位の回転のシーケンスで構成されます。

${\displaystyle {\begin{aligned}R_{i+1}&=L_{i}\\x&=L_{i}\operatorname {op} _{1}K_{L_{i{\bmod {4}}}}\\y&=((x<<<S_{1})\operatorname {op} _{2}x)\operatorname {op} _{3}\alpha \\z&=(((y<<<S_{2})\operatorname {op} _{4}y)\operatorname {op} _{5}\beta )\operatorname {op} _{6}K_{R_{i{\bmod {4}}}}\\L_{i+1}&=(((z<<<S_{3})\operatorname {op} _{7}z)\operatorname {op} _{8}\gamma )\operatorname {op} _{9}R_{i}\end{aligned}}}$

${\displaystyle i}$はラウンド番号を表し、入力とを受け取ります。はラウンドのアルゴリズム拡張キーの 32 ビット ワード 3 つです。は実行キーからのワードです。は左ビット単位の回転を表します。およびは24 ビット アルゴリズム決定キーによって次のように定義されます。 ${\displaystyle L_{i}}$${\displaystyle R_{i}}$${\displaystyle \alpha ,\beta ,\gamma }$${\displaystyle K_{R_{i{\bmod {4}}}},K_{L_{i{\bmod {4}}}}}$${\displaystyle <<<}$${\displaystyle \operatorname {op} _{j}}$${\displaystyle S_{k}}$

MSB LSB
op1 op2 op3 op4 op5 op6 op7 op8 op9 S1 S2 S3

^{ここで、op1 から op9 はそれぞれ 1 ビット (0 = 2 32}を法とする加算、1 = XOR) であり、S1 から S3 はそれぞれ 5 ビットです。

キー拡張は、最初の 8 つのアルゴリズム決定キーと拡張キー、実行キーとしてのキー拡張キー、および入力ブロックとしてのデータ キーを使用して、8 つの暗号ラウンドで構成されます。8 つの中間出力は、実行キーの 8 つのコンポーネントとして使用されます。 ${\displaystyle L_{1},L_{2},...,L_{7},L_{8}}$${\displaystyle K_{R_{0}},K_{L_{0}},...,K_{R_{3}},K_{L_{3}}}$

以下はPythonでの暗号の実装です。

# https://en.wikipedia.org/wiki/M8_(暗号)

 0xff  ...​

def  add ( x ,  y ): 
    return  ( x  +  y )  &  M

def  xor ( x ,  y ): 
    x ^ y を返す   

 ロールの定義( x ,  s ):
    戻り値 ( ( x  <<  s )  |  ( x  >>  ( 32  -  s )))  &  M

def  m8_round ( L ,  R ,  ri ,  k ,  adk ,  aek ): 
"""    アルゴリズムの 1 ラウンド。    


    L、R: 入力
    ri: ラウンドインデックス
    k: 256ビット実行キー
    adk: 24ビットアルゴリズム決定キー
    aek: 96ビットアルゴリズム拡張キー
    """

    op  =  [[ add ,  xor ][( adk  >>  ( 23  -  i ))  &  1 ]  for  i  in  range ( 9 )] 
    S1  =  ( adk  >>  10 )  &  0x1f 
    S2  =  ( adk  >>  5 )  &  0x1f 
    S3  =  ( aek  >>  0 )  &  0x1f 
    A  =  ( aek  >>  64 )  &  M 
    B  =  ( aek  >>  32 )  &  M 
    C  =  ( aek  >>  0 )  &  M 
    KR  =  ( k  >>  ( 32  +  64  *  ( 3  -  ri  %  4 )))  &  M 
    KL  =  ( k  >>  ( 0  +  64  *  ( 3  -  ri  %  4) )))  &  M

    x  =  op [ 0 ]( L ,  KL ) 
    y  =  op [ 2 ]( op [ 1 ]( rol ( x ,  S1 ),  x ),  A ) 
    z  =  op [ 5 ]( op [ 4 ]( op [ 3 ] ]( rol ( y ,  S2 ),  y ),  B ),  KR ) 
    return  op [ 8 ]( op [ 7 ]( op [ 6 ](ロール( z ,  S3 ),  z ),  C ),  R ),  L

def  m8_keyexpand ( dk ,  kek ,  adks ,  aeks ): 
"""    キー拡張。    


    dk: 64 ビット データ キー
    kek: 256 ビット キー拡張キー
    adks: アルゴリズム決定キー
    aeks: アルゴリズム拡張キー
    """

    L  =  ( dk  >>  32 )  &  M 
    R  =  ( dk  >>  0 )  &  M 
    k  =  0
    範囲( 8 )内のiの場合:  L 、R = m8_round ( L 、R 、i 、kek 、adks [ i ]、aeks [ i ]) k |= ( L << ( 32 * ( 7 - i ))) kを返す  
                
                
     

def  m8_encrypt ( data ,  N ,  dk ,  kek ,  adks ,  aeks ): 
"""     1 つのブロックを M8 で暗号化します。    


    data: 64 ビットの入力ブロック
    N: ラウンド数 (8 以上である必要があります) 
    dk: 64 ビットのデータ キー
    kek: 256 ビットのキー拡張キー
    adks: N 個の 24 ビットのアルゴリズム決定キーのリスト
    aeks: N 個の 96 ビットのアルゴリズム拡張キーのリスト
    """

    ek  =  m8_keyexpand ( dk ,  kek ,  adks ,  aeks ) 
    L  =  ( data  >>  32 )  &  M 
    R  =  ( data  >>  0 )  &  M 
    iが 範囲( N )内にある場合: L , R = m8_round ( L , R , i , ek , adks [ i ], aeks [ i ] )戻り値( L << 32 ) | R  
                
         

# ISO/IEC 9979/0020 から公開されたテストベクトル
result  =  m8_encrypt ( 
    0x0000_0000_0000_0001 , 
    126 , 
    0x0123_4567_89AB_CDEF , 
    0 , 
    [ 0x848B6D ,  0x8489BB ,  0x84B762 ,  0x84EDA2 ]  *  32 , 
    [ 0x0000_0001_0000_0000_0000_0000 ]  *  126 , 
) 
assert  result  ==  0xFE4B_1622_E446_36C0

ISO/IEC 9979-0020 の公開バージョンには、次のテスト データが含まれています。

• ラウンド数: 126
• キー拡張キー: 0 ²⁵⁶ (すべてゼロのベクトル)
• データキー: 0123 4567 89AB CDEF（16進数）
• アルゴリズム決定キー:
  • ラウンド 1、5、9、...: 848B6D hex
  • ラウンド 2、6、10、...: 8489BB hex
  • ラウンド 3、7、11、...: 84B762 hex
  • ラウンド 4、8、12、...: 84EDA2 hex
• アルゴリズム拡張キー: 全ラウンドの 0000 0001 0000 0000 0000 0000 16 進数

• 平文: 0000 0000 0000 0001 16進数
• 7ラウンド後の暗号文: C5D6 FBAD 76AB A53B hex
• 14ラウンド後の暗号文: 6380 4805 68DB 1895 hex
• 21ラウンド後の暗号文: 2BFB 806E 1292 5B18 hex
• 28ラウンド後の暗号文: F610 6A41 88C5 8747 hex
• 56ラウンド後の暗号文: D3E1 66E9 C50A 10A2 hex
• 126ラウンド後の最終暗号文: FE4B 1622 E446 36C0 hex

暗号の鍵依存的な動作により、弱い鍵のクラスが大量に生成され、差分解読、線形解読、mod n解読を含むさまざまな攻撃に対して暗号がさらされる。^[2]