マスク生成機能

マスク生成関数は、 RSA-OAEPアルゴリズムのパディング仕様の一部として最初に提案されました。OAEP アルゴリズムでは、任意のサイズの入力メッセージに比例する長さの「データ ブロック」と同じサイズの出力を生成できる暗号学的ハッシュ関数が必要でした。^{[ 1 ] [ 2 ]}

NIST特別刊行物800-90A ^{[ 3 ]}は、暗号的に安全な乱数生成器のクラスを定義しており、その1つが「ハッシュ DRBG」です。ハッシュDRBGは、カウンター付きハッシュ関数を使用して、要求された乱数ビット数と同じサイズの乱数ビットの要求されたシーケンスを生成します。

MGF1は、RSA Laboratoriesが発行した公開鍵暗号標準#1で定義されているマスク生成関数です。 ^{[ 1 ]}これは、米国国立標準技術研究所によって、連邦情報処理標準を満たす暗号モジュールでの使用が承認されています。^{[ 4 ]}

オプション

$\displaystyle {\mathsf {ハッシュ}}}$

ハッシュ関数（${\displaystyle {\mathsf {hLen}}}$（ハッシュ関数の出力のオクテット単位の長さを表す）

入力

${\displaystyle Z}$

マスク生成の元となるシード、オクテット文字列

${\displaystyle l}$

マスクのオクテット単位での意図された長さ（最大）${\displaystyle 2^{32}({\mathsf {hLen}})}$

出力

$\displaystyle {\mathsf {マスク}}}$

マスク、長さが8つの文字列${\displaystyle l}$または「マスクが長すぎる」

手順

1. もし${\displaystyle l>2^{32}({\mathsf {hLen}})}$「マスクが長すぎます」と出力して停止します。
2. させて${\displaystyle T}$ 空のオクテット文字列とする。
3. のために$\displaystyle {\mathsf {カウンター}}}$から${\displaystyle 0}$に${\displaystyle \left\lceil {\tfrac {l}{\mathsf {hLen}}}\right\rceil -1}$次の手順を実行してください。
   1. 変換する$\displaystyle {\mathsf {カウンター}}}$八重奏弦へ${\displaystyle C}$長さ${\displaystyle 4}$原始的な${\displaystyle {\mathsf {I2OSP}}}$:

      ${\displaystyle C={\mathsf {I2OSP}}({\mathsf {counter}},4)}$

   2. シードのハッシュを連結する${\displaystyle Z}$そして${\displaystyle C}$八重奏弦へ${\displaystyle T}$:

      ${\displaystyle T=T\shortparallel {\mathsf {Hash}}(Z\shortparallel C)}$

4. 先頭部分を出力します${\displaystyle l}$8つの${\displaystyle T}$八重奏弦マスクとして。

以下はMGF1を実装したPythonコードです。

hashlibをインポートdef mgf1 ( seed : bytes , length : int , hash_func = hashlib . sha1 ) -> bytes : """マスク生成関数。""" hLen = hash_func () . digest_size # https://www.ietf.org/rfc/rfc2437.txt # 1. l > 2^32(hLen) の場合、「マスクが長すぎます」と出力して停止します。if length > ( hLen << 32 ): raise ValueError ( "マスクが長すぎます" ) # 2. T を空のオクテット文字列とします。T = b "" # 3. カウンタが 0 から \lceil{l / hLen}\rceil-1 まで、以下を実行します。# 注: \lceil{l / hLen}\rceil-1 は必要な反復回数ですが、 # 目的の長さに達したかどうかを確認する方が簡単です。counter = 0 while len ( T ) < length : # a. プリミティブ I2OSP を使用して、counter を長さ 4 のオクテット文字列 C に変換します。 C = I2OSP (counter, 4) C = int . to_bytes ( counter , 4 , "big" ) # b. シード Z と C のハッシュをオクテット文字列 T に連結します。 T = T || Hash (Z || C) T += hash_func ( seed + C ) . digest () counter += 1 # 4. T の先頭 l オクテットをオクテット文字列マスクとして出力します。return T [: length ]

MGF1の出力例：

Python 3.10.4 (main, Apr 16 2022, 16:28:41) [GCC 8.3.0] on linux Type "help", "copyright", "credits" or "license" for more information. >>> from mgf1 import mgf1 >>> from hashlib import sha256 >>> mgf1 ( b "foo" , 3 ) . hex () '1ac907' >>> mgf1 ( b "foo" , 5 ) . hex () '1ac9075cd4' >>> mgf1 ( b "bar" , 5 ) . hex () 'bc0c655e01' >>> mgf1 ( b "bar" , 50 ) . hex () 'bc0c655e016bc2931d85a2e675181adcef7f581f76df2739da74faac41627be2f7f415c89e983fd0ce80ced9878641cb4876' >>> mgf1 ( b "bar" , 50 , sha256 ) . hex () '382576a7841021cc28fc4c0948753fb8312090cea942ea4c4e735d10dc724b155f9f6069f289d61daca0cb8​​14502ef04eae1'