むぎ

暗号学において、MUGI はストリーム暗号として使用するために設計された擬似乱数生成器(PRNG)です。2003 年にCRYPTRECによって日本政府での使用が推奨された暗号技術の 1 つでしたが、2013 年の CRYPTREC 改訂によって「候補」に落とされました。

MUGI は、128 ビットの秘密キーと 128 ビットの初期ベクトル(IV) を使用します。キーと IV のセットアップ プロセスの後、MUGI は内部状態に基づいて 64 ビットの出力文字列を出力し、各出力ブロックの後に内部状態を更新します。MUGI には 1216 ビットの内部状態があり、3 つの 64 ビット レジスタ (「状態」) と 16 の 64 ビット レジスタ (「バッファ」) があります。

MUGI は、もともとAdvanced Encryption Standard (AES)で定義された非線形S-box を使用します。線形変換の一部は、 AES のMDS 行列も再利用します。基本設計はPanamaの設計に影響を受けています。

2006 年 9 月現在、キー空間または内部状態の連続ブルート フォース攻撃よりも高速な MUGI に対する攻撃は知られていません。

Golic Jovan Dj、Roy Bimal、Meier Willi による論文「ストリーム暗号 MUGI の線形部分の弱点」の概要では、次のように主張しています。「ストリーム暗号 MUGI の線形更新コンポーネント (バッファー) は、生成関数法を使用して理論的に分析されます。特に、非線形更新コンポーネントからのフィードバックがないバッファーの固有応答は、小さな線形複雑度 32 と非常に小さな周期 48 を持つバイナリ線形繰り返しシーケンスで構成されることが証明されています。次に、この弱点を原理的に使用して、秘密鍵の再構築と線形統計識別子の検出という 2 つの主な目的を持つ MUGI の線形暗号解析を容易にする方法を示します。」

Alex BiryukovとAdi Shamirによる論文「Mugi の非線形部分の分析」の概要では、次のように主張されています。「この論文では、ストリーム暗号 Mugi の予備分析の結果を示します。この暗号の非線形コンポーネントを調査し、その設計におけるいくつかの潜在的な弱点を特定しました。Mugi の設計を完全に破ることはできませんが、小さな変化に対して非常に敏感であることを示しています。たとえば、暗号が実際の設計で使用されているものとは異なる状態ワードを出力する場合、既知のストリームの 56 ワードのみを使用して、2 ¹⁴ステップの分析で、暗号の完全な 1216 ビット状態と元の 128 ビット秘密キーを復元できます。線形部分を設計から削除すると、出力ワードが 3 つだけであれば、2 ³²ステップで秘密の非線形 192 ビット状態を復元できます。線形部分を設計に保持して簡略化した形式で保持すると、網羅的な攻撃よりもわずかに速い攻撃でスキームを破ることができます。 検索。"

• 渡辺大、古谷聡一、宝木一雄、Bart Preneel (2002 年 2 月)。新しいキーストリーム ジェネレーター MUGI (PDF) 。第 9 回高速ソフトウェア暗号化に関する国際ワークショップ(FSE 2002)。ルーヴェン: Springer-Verlag。pp . 179–194。2007年 8 月 7 日閲覧。{{cite conference}}: CS1 maint: 複数の名前: 著者リスト (リンク)^{[永久リンク切れ‍ ]}
• Jovan Dj. Golic (2004 年 2 月)。ストリーム暗号 MUGI の線形部分の弱点。第 11 回高速ソフトウェア暗号化に関する国際ワークショップ (FSE 2004)。デリー: Springer-Verlag。pp. 178–192。
• Alex Biryukov、Adi Shamir (2005 年 2 月)。Mugi の非線形部分の分析。第 12 回高速ソフトウェア暗号化に関する国際ワークショップ (FSE 2005)。パリ: Springer-Verlag。pp. 320–329。2006年 5 月 15 日のオリジナル( PostScript )からアーカイブ。2007年 8 月 7 日に取得。

• MUGIホームページ