可鍛性（暗号化）

展性は、いくつかの暗号化 アルゴリズムの特性です。^[1]暗号化アルゴリズムが「展性がある」とは、暗号文を別の暗号文に変換し、関連する平文に復号化できる場合です。つまり、平文の暗号化が与えられれば、必ずしも を知ったり学習したりしなくても、既知の関数 に対してに復号化できる別の暗号文を生成することができます。 ${\displaystyle m}$${\displaystyle f(m)}$${\displaystyle f}$${\displaystyle m}$

汎用暗号システムでは、攻撃者がメッセージの内容を変更できるため、可鍛性は望ましくない特性であることが多いです。たとえば、銀行が金融情報を隠蔽するためにストリーム暗号を使用しており、ユーザーが「口座番号 199 に $0000100.00 を送金」などの内容を含む暗号化メッセージを送信したとします。攻撃者がネットワーク上でメッセージを変更でき、暗号化されていないメッセージの形式を推測できる場合、攻撃者はトランザクションの金額や資金の受取人 (例: 「口座番号 227 に $0100000.00を送金」) を変更できます。可鍛性とは、攻撃者が暗号化されたメッセージを読み取ることができるかどうかを指すものではありません。改ざんの前後を問わず、攻撃者は暗号化されたメッセージを読み取ることができません。

一方、一部の暗号システムは設計上、柔軟です。言い換えれば、状況によっては、必ずしも を学習しなくても、誰でも の暗号化を (関数 の特定の制限されたクラスに対して)の有効な暗号化に変換できるという特徴があると考えられます。このような方式は準同型暗号化方式として知られています。 ${\displaystyle m}$${\displaystyle f(m)}$${\displaystyle f}$${\displaystyle m}$

暗号システムは、選択平文攻撃や非適応型選択暗号文攻撃（CCA1）に対して意味的に安全でありながら、依然として柔軟性を備えている場合があります。しかし、適応型選択暗号文攻撃（CCA2）に対する安全性は、非柔軟性と同等です。^[2]

ストリーム暗号では、暗号文は、秘密鍵 に基づく疑似乱数ストリームと平文の排他的論理和をとることによって生成されます。攻撃者は、任意の に対しての暗号化を として構築できます。 ${\displaystyle k}$${\displaystyle E(m)=m\oplus S(k)}$${\displaystyle m\oplus t}$${\displaystyle t}$${\displaystyle E(m)\oplus t=m\oplus t\oplus S(k)=E(m\oplus t)}$

RSA暗号システムでは、平文はとして暗号化されます。ここで は公開鍵です。このような暗号文が与えられれば、攻撃者は任意の に対しての暗号化を として構築できます。このため、RSA は一般に、 OAEPや PKCS1などのパディング方式と併用されます。 ${\displaystyle m}$${\displaystyle E(m)=m^{e}{\bmod {n}}}$${\displaystyle (e,n)}$${\displaystyle mt}$${\displaystyle t}$${\textstyle E(m)\cdot t^{e}{\bmod {n}}=(mt)^{e}{\bmod {n}}=E(mt)}$

ElGamal暗号システムでは、平文はとして暗号化されます。ここで は公開鍵です。このような暗号文 が与えられた場合、攻撃者は を計算できます。これは、任意の に対しての有効な暗号化です。対照的に、Cramer-Shoup システム(ElGamal に基づく) は柔軟性がありません。 ${\displaystyle m}$${\displaystyle E(m)=(g^{b},mA^{b})}$${\displaystyle (g,A)}$${\displaystyle (c_{1},c_{2})}$${\displaystyle (c_{1},t\cdot c_{2})}$${\displaystyle tm}$${\displaystyle t}$

Paillier、ElGamal、およびRSA暗号システムでは、複数の暗号文を便利な方法で組み合わせて、関連する暗号文を生成することもできます。Paillier では、公開鍵とおよびの暗号化のみが与えられている場合、それらの合計 の有効な暗号化を計算できます。ElGamal と RSA では、 と の暗号化を組み合わせて、それらの積 の有効な暗号化を取得できます。 ${\displaystyle m_{1}}$${\displaystyle m_{2}}$${\displaystyle m_{1}+m_{2}}$${\displaystyle m_{1}}$${\displaystyle m_{2}}$${\displaystyle m_{1}m_{2}}$

たとえば、暗号ブロック チェーンモードの動作におけるブロック暗号は、部分的に柔軟性があります。暗号文ブロック内のビットを反転すると、復号後の平文が完全に台無しになりますが、次のブロックの平文では同じビットが反転されます。これにより、攻撃者は平文の 1 つのブロックを「犠牲」にして次のブロックのデータの一部を変更し、悪意を持ってメッセージを変更することができます。これは基本的に、CBCに対するパディング オラクル攻撃の核となるアイデアであり、攻撃者はキーを知らなくても暗号文のほぼ全体を復号できます。このため、および他の多くの理由から、改ざん方法を防ぐために メッセージ認証コードが必要です。

フィッシュリンは2005年に、完全な非可鍛性の概念を、システムが非可鍛性を維持しながら、元の公開鍵の関数となる新しい公開鍵を選択する追加の権限を敵対者に与える能力であると定義しました。^[3]言い換えれば、敵対者は、公開鍵も考慮に入れた関係を通じて、基礎となる平文が元のメッセージに関連付けられている暗号文を思い付くことができないはずです。

• 準同型暗号