多重暗号化

多重暗号化とは、同じアルゴリズムまたは異なるアルゴリズムを使用して、すでに暗号化されたメッセージを 1 回以上暗号化するプロセスです。これは、カスケード暗号化、カスケード暗号化、多重暗号化、およびスーパー暗号化とも呼ばれます。スーパー暗号化は、多重暗号化の外側のレベルの暗号化を指します。

ジョンズ・ホプキンス大学のマシュー・グリーン氏のような一部の暗号学者は、多重暗号化は、ほとんど存在しない問題に対処するものだと述べている。

現代の暗号が破られることはめったにありません... AES に対する壊滅的な攻撃を受けるよりも、マルウェアや実装のバグに見舞われる可能性の方がはるかに高いのです。

— 多重暗号化、https://blog.cryptographyengineering.com/2012/02/02/multiple-encryption/ (2012 年 2 月 2 日)

しかし、前の引用から、多重暗号化、つまり実装の不備を主張することができます。2 つの異なるベンダーの 2 つの異なる暗号モジュールとキー処理を使用する場合、セキュリティが完全に機能しなくなるには、両方のベンダーの製品が危険にさらされる必要があります。

任意の2 つの暗号を選択した場合、使用されるキーが両方で同じであれば、2 番目の暗号によって最初の暗号が部分的にまたは完全に解除される可能性があります。これは、復号化プロセスが暗号化プロセスとまったく同じである暗号 (相互暗号) に当てはまります。つまり、2 番目の暗号によって最初の暗号が完全に解除されます。攻撃者が最初の暗号化レイヤーの暗号解読によってキーを復元した場合、すべてのレイヤーで同じキーが使用されていると仮定すると、残りのすべてのレイヤーを復号化できる可能性があります。

このリスクを防ぐには、各レイヤーに対して統計的に独立したキー (独立したRNGなど) を使用します。

理想的には、各キーには個別の異なる生成、共有、および管理プロセスが必要です。

初期化ベクトル(IV) / nonceの共有を必要とする暗号化/復号化プロセスの場合、これらは通常、公開共有されるか、受信者 (および他の全員) に通知されます。同じキーと IV を使用する場合は、プレーンテキストと暗号文の両方で同じデータを提供しないことがセキュリティ ポリシーとして適切です。したがって、暗号化の各レイヤーに個別の IV を使用することを お勧めします(現時点では具体的な証拠はありませんが) 。

ワンタイム パッドを除いて、解読不可能であると理論的に証明された暗号はありません。さらに、最初の暗号によって生成された暗号文には、いくつかの繰り返し特性が見つかる場合があります。これらの暗号文は 2 番目の暗号で使用される平文であるため、2 番目の暗号は、既知の平文特性に基づく攻撃に対して脆弱になる可能性があります (以下の参考文献を参照)。

これは、最初のレイヤーが、すべての暗号文の先頭 (または末尾) に常に同じ文字列 S を追加するプログラム P である場合に当てはまります (一般にマジック ナンバーと呼ばれます)。ファイル内で文字列 S が見つかると、オペレーティング システムは、ファイルを復号化するにはプログラム P を起動する必要があることを認識できます。この文字列は、2 番目のレイヤーを追加する前に削除する必要があります。

この種の攻撃を防ぐには、ブルース・シュナイアーが提案した方法を使うことができる: ^[1]

• 平文と同じサイズのランダムパッド R を生成します。
• 最初の暗号とキーを使用して R を暗号化します。
• プレーンテキストとパッドを XOR し、2 番目の暗号と別の (!) キーを使用して結果を暗号化します。
• 最終的な暗号文を構築するために、両方の暗号文を連結します。

暗号解読者が情報を得るには、両方の暗号を解読する必要があります。ただし、この方法には、暗号文が元の平文の 2 倍の長さになるという欠点があります。

ただし、最初の暗号が弱いと、選択平文攻撃に対して脆弱な 2 番目の暗号が既知平文攻撃に対しても脆弱になる可能性があることに注意してください。ただし、ブロック暗号が安全であるとみなされるためには、選択平文攻撃に対して脆弱であってはなりません。したがって、上記の 2 番目の暗号も、その定義では安全ではありません。結果として、両方の暗号を解読する必要があります。この攻撃は、安全なブロック暗号について強い仮定がなされ、部分的にでも解読された暗号は決して使用すべきではない理由を示しています。

2 つのルールは、 NSAの機密扱いプログラム向け商用ソリューション (CSfC)のデータ セキュリティ原則です。 ^{[2]この原則では、データを保護するために 2 つの完全に独立した暗号化層を指定します。たとえば、データは、最低レベルのハードウェア暗号化とアプリケーション層のソフトウェア暗号化の両方で保護できます。つまり、異なるベンダーの 2 つの}FIPS検証済みソフトウェア暗号モジュールを使用してデータを暗号化/復号化すること を意味します。

コンポーネント層間のベンダーやモデルの多様性の重要性は、メーカーやモデルが脆弱性を共有する可能性を排除することにあります。この方法では、1 つのコンポーネントが侵害されても、保存中または転送中の情報を保護する暗号化層全体が残ります。CSfC プログラムは、多様性を実現するための 2 つのソリューションを提供しています。「1 つ目は、異なるメーカーが製造したコンポーネントを使用して各層を実装することです。2 つ目は、同じメーカーのコンポーネントを使用することです。ただし、そのメーカーは、2 つのコンポーネントの実装が互いに独立していることを示す十分な証拠を NSA に提供しています。」^[3]

この原則は、NSAのセキュア携帯電話「Fishbowl」で実践されています。^[4]この携帯電話は、音声通信を保護するために、 IPsecとセキュアリアルタイムトランスポートプロトコル（SRTP）の2層の暗号化プロトコルを使用しています。Samsung Galaxy S9 Tactical Editionも、承認されたCSfCコンポーネントです。

この図は、ソフトウェアアプリケーションGoldBug Messengerで使用されるEchoプロトコルのコンテキストで暗号化されたカプセルが形成されるプロセスを内側から外側に示しています。^[5] GoldBugは、信頼性と機密性のためのハイブリッドシステムを実装しています。^[4]

暗号化の第 1 層: 元の読み取り可能なメッセージの暗号文がハッシュ化され、続いて対称キーが非対称キーを使用して暗号化されます (たとえば、RSA アルゴリズムが展開されます)。中間ステップでは、暗号文と暗号文のハッシュ ダイジェストがカプセルに結合され、一緒にパックされます。これは、 Encrypt-then-MAC のアプローチに従います。受信者が暗号文が改ざんされていないことを確認するために、暗号文が復号化される前にダイジェストが計算されます。

2 番目の暗号化層:オプションとして、最初の層のカプセルをAES-256 で暗号化することもできます。これは、一般に共有されている 32 文字の対称パスワードに相当します。ハイブリッド暗号化は、複数の暗号化に追加されます。 ^{[引用が必要]}

暗号化の第3層: 次に、このカプセルは安全なSSL/TLS接続を介して通信相手に