MD2 (ハッシュ関数)

MD2メッセージダイジェストアルゴリズムは、 1989 年にRonald Rivestによって開発された暗号化ハッシュ関数です。 ^[2]このアルゴリズムは8 ビットコンピュータ用に最適化されています。MD2 はIETF RFC 1319で指定されています。 ^[3] MD2 の「MD」は「Message Digest」の略です。

MD2 はまだ完全には危険にさらされていないが、IETF は 2011 年に「弱点の兆候」を理由に MD2 を「歴史的」な状態に退けた。MD2 は非推奨となり、代わりにSHA-256やその他の強力なハッシュ アルゴリズムが採用されている。^[4]

それにもかかわらず、2014年時点では、 MD2とRSAで生成された証明書の一部として公開鍵インフラストラクチャ^{[アップデート]}で使用され続けています。^{[引用が必要]}

メッセージの 128 ビットのハッシュ値は、ブロック長 (128 ビットまたは 16バイト) の倍数にパディングし、それに16 バイトのチェックサムを追加することで生成されます。実際の計算では、48 バイトの補助ブロックと 256 バイトのS テーブルが使用されます。定数は、π (パイ) [3] [5 ^] (何も隠していない番号を参照してください )の 10 進数に基づく疑似乱数生成器を備えたDurstenfeld アルゴリズムのバリエーションを使用して、整数 0 から²⁵⁵をシャッフルすることで生成されました。アルゴリズムはループを実行し、処理される 16 入力バイトごとに補助ブロック内の各バイトを 18 回並べ替えます。(延長された) メッセージのすべてのブロックが処理されると、補助ブロックの最初の部分ブロックがメッセージのハッシュ値になります。

16 進数の S テーブル値は次のとおりです。

{ 0x29、0x2E、0x43、0xC9、0xA2、0xD8、0x7C、0x01、0x3D、0x36、0x54、0xA1、0xEC、0xF0、0x06、0x13、
  0x62、0xA7、0x05、0xF3、0xC0、0xC7、0x73、0x8C、0x98、0x93、0x2B、0xD9、0xBC、0x4C、0x82、0xCA、
  0x1E、0x9B、0x57、0x3C、0xFD、0xD4、0xE0、0x16、0x67、0x42、0x6F、0x18、0x8A、0x17、0xE5、0x12、
  0xBE、0x4E、0xC4、0xD6、0xDA、0x9E、0xDE、0x49、0xA0、0xFB、0xF5、0x8E、0xBB、0x2F、0xEE、0x7A、
  0xA9、0x68、0x79、0x91、0x15、0xB2、0x07、0x3F、0x94、0xC2、0x10、0x89、0x0B、0x22、0x5F、0x21、
  0x80、0x7F、0x5D、0x9A、0x5A、0x90、0x32、0x27、0x35、0x3E、0xCC、0xE7、0xBF、0xF7、0x97、0x03、
  0xFF、0x19、0x30、0xB3、0x48、0xA5、0xB5、0xD1、0xD7、0x5E、0x92、0x2A、0xAC、0x56、0xAA、0xC6、
  0x4F、0xB8、0x38、0xD2、0x96、0xA4、0x7D、0xB6、0x76、0xFC、0x6B、0xE2、0x9C、0x74、0x04、0xF1、
  0x45、0x9D、0x70、0x59、0x64、0x71、0x87、0x20、0x86、0x5B、0xCF、0x65、0xE6、0x2D、0xA8、0x02、
  0x1B、0x60、0x25、0xAD、0xAE、0xB0、0xB9、0xF6、0x1C、0x46、0x61、0x69、0x34、0x40、0x7E、0x0F、
  0x55、0x47、0xA3、0x23、0xDD、0x51、0xAF、0x3A、0xC3、0x5C、0xF9、0xCE、0xBA、0xC5、0xEA、0x26、
  0x2C、0x53、0x0D、0x6E、0x85、0x28、0x84、0x09、0xD3、0xDF、0xCD、0xF4、0x41、0x81、0x4D、0x52、
  0x6A、0xDC、0x37、0xC8、0x6C、0xC1、0xAB、0xFA、0x24、0xE1、0x7B、0x08、0x0C、0xBD、0xB1、0x4A、
  0x78、0x88、0x95、0x8B、0xE3、0x63、0xE8、0x6D、0xE9、0xCB、0xD5、0xFE、0x3B、0x00、0x1D、0x39、
  0xF2、0xEF、0xB7、0x0E、0x66、0x58、0xD0、0xE4、0xA6、0x77、0x72、0xF8、0xEB、0x75、0x4B、0x0A、
  0x31、0x44、0x50、0xB4、0x8F、0xED、0x1F、0x1A、0xDB、0x99、0x8D、0x33、0x9F、0x11、0x83、0x14 }

128 ビット (16 バイト) の MD2 ハッシュ (メッセージ ダイジェストとも呼ばれる) は、通常、32 桁の16 進数で表されます。以下は、43 バイトのASCII入力とそれに対応する MD2 ハッシュを示しています。

MD2("素早い茶色のキツネは怠け者の犬を飛び越える" ) =
 03d85a0d629d2c442e987525319fc471

MD2 の雪崩効果の結果として、入力メッセージに小さな変更を加えただけでも (圧倒的な確率で) 完全に異なるハッシュが生成されます。たとえば、メッセージ内の 文字d をcに変更すると、次のようになります。

MD2("素早い茶色のキツネは怠け者の歯車を飛び越える" ) =
 6b890c9292668cdbbfda00a4ebf31f05

長さゼロの文字列のハッシュは次のとおりです。

MD2("") =
 8350e5a3e24c153df2275c9f80692773

ロジェとショーヴォーは1995年にMD2の圧縮関数の衝突を発表しました^[6]が、攻撃を完全なMD2に拡張することはできませんでした。記述された衝突は1997年に出版されました。^[7]

2004年、MD2は、圧縮関数の2 ^104回の適用に相当する時間計算量を伴うプリイメージ攻撃に対して脆弱であることが示されました。 ^[8]著者は、「MD2はもはや安全な一方向ハッシュ関数とはみなされない」と結論付けています。

2008年、MD2は、圧縮関数評価の時間複雑度が2 ⁷³、メモリ要件が2 ⁷³のメッセージブロックであるプリイメージ攻撃をさらに改良しました。^[9]

2009年、MD2は衝突攻撃に対して脆弱であることが示され、その時間計算量は2 ^63.3回の圧縮関数評価、メモリ要件は2 ^{52ハッシュ値であった。これは、2 65.5回}の圧縮関数評価を要すると予想される誕生日攻撃よりもわずかに優れている。^[10]

2009年には、OpenSSL、GnuTLS、Network Security ServicesでMD2を無効にするセキュリティアップデートが発行されました。^[11]

• ハッシュ関数のセキュリティ概要
• 暗号ハッシュ関数の比較
• MD4
• MD5
• MD6
• SHA-1