何も隠していない番号

暗号学において、秘密の数字とは、その構造上、隠された特性があると疑われることのない数字のことである。これらは、ハッシュや暗号などの暗号関数を作成する際に使用される。これらのアルゴリズムでは、ミキシングや初期化のためにランダムな定数が必要になることが多い。暗号作成者は、これらの定数が不正な目的、たとえばアルゴリズムへのバックドアを作成する目的で選択されたのではないことを示すような方法で、これらの値を選択したいと考えるかもしれない。 ^[1]こうした懸念は、調整の余地がほとんどない方法で作成された数字を使用することで和らげることができる。一例としては、数πの最初の桁を定数として使用することがあげられる。^{[2]小数点以下数百万桁の}πの桁を使用することは、アルゴリズム設計者がその開始点を選択した可能性があるので、信頼できるとは見なされない。なぜなら、それによって設計者が後で利用できる秘密の弱点が生み出されるからである。ただし、一見自然な選択であっても、考えられる選択肢には十分なエントロピーが存在するため、これらの数字の有用性は疑問視されてきた。

π、e、無理数根などの実数の位置表現の数字は、同じ頻度で出現すると考えられている（正規数を参照）。このような数は、ランダムに見えても情報エントロピーが非常に低いという点で、チャイティン・コルモゴロフ乱数の対極にあると見ることができる。その使用は、米国政府の 1975 年のデータ暗号化標準をめぐる初期の論争に端を発しており、 S ボックスで使用されている定数について説明がなかったために批判を浴びた（ただし、それらの定数は、当時機密扱いされていた差分暗号解読法から保護するために慎重に選択されたものであることが後に判明した）。^[3]そのため、暗号で使用される定数を生成するための、より透過的な方法の必要性が感じられた。

「袖の中に何も隠していない」はマジシャンに関連したフレーズで、マジシャンは時々、手品を始める前に袖を開いて、中に何も隠していないことを示すことがあります。

• ロン・リベストはπを使ってMD2ハッシュのSボックスを生成した。^[4]
• ロン・リベストは三角関数の正弦関数を使用して、広く使用されているMD5ハッシュの定数を生成しました。^[5]
• 米国国家安全保障局は、最初の8つの素数の平方根を使用して、「セキュアハッシュアルゴリズム」関数であるSHA-1とSHA-2のハッシュ定数を生成しました。^[6] SHA-1は、初期ハッシュ値として0123456789ABCDEFFEDCBA9876543210F0E1D2C3も使用します。
• Blowfish暗号化アルゴリズムは、 π −3のバイナリ表現を使用してキースケジュールを初期化します。^[2]
• RFC 3526 では、 πから生成されるインターネット鍵交換用の素数についても説明されています。
• NewDES暗号のSボックスはアメリカ合衆国独立宣言に由来している。^[7]
• AES候補 DFCは、Sボックスのすべてのエントリを含むすべての任意定数をeの2進展開から導出します。^[8]
• ARIAのキースケジュールでは1/ πの2進展開が使用される。^[9]
• RC5暗号の鍵スケジュールはeと黄金比の両方の2進数を使用する。^[10]
• TEAやRed Pikeを含む複数の暗号では、2654435769 または 0x9e3779b9 が使用されています。これは⌊ 2 ³² / ϕ ⌋で、ϕは黄金比です。
• SHA-3 コンテストのファイナリストであるBLAKEハッシュ関数は、 πの小数部の先頭 512 ビットまたは 1024 ビットである 16 個の定数ワードのテーブルを使用します。
• KASUMI暗号のキースケジュールでは、変更されたキーを導出するために 0x123456789ABCDEFFEDCBA9876543210 が使用されます。
• Salsa20ファミリーの暗号は、ブロック初期化プロセスで定数としてASCII文字列「expand 32-byte k」または「expand 16-byte k」を使用します。^[11]
• Bcryptは初期化文字列として「OrpheanBeholderScryDoubt」という文字列を使用する^{[12] [13]}

• ストリーボグハッシュ関数Sボックスはランダムに生成されると主張されていたが、リバースエンジニアリングの結果、いくつかの「不可解な」弱点を伴うアルゴリズム的に生成されることが証明された。^[14]
• データ暗号化規格（ DES ）には、NSAによって提供された定数があります。それらはランダムとは程遠いものでしたが、その代わりに、当時は公に知られていなかった差分暗号解読法に対してアルゴリズムを耐性のあるものにしました。 ^[3]
• NIST が推奨する暗号疑似乱数ビット生成器であるDual_EC_DRBG は、アルゴリズムで使用するために推奨されている定数が、過去に生成された値のサンプルに基づいて作成者が将来の出力を予測できるような方法で選択される可能性があるため、2007 年に批判を浴びました。^[1] 2013 年 9 月、ニューヨーク タイムズは「元 NSA 契約者のエドワード スノーデンによって漏洩された内部メモによると、NSA は 2006 年の NIST 標準で使用される乱数生成器の 1 つ (Dual EC DRBG 標準と呼ばれる) を生成しましたが、これには NSA 用のバックドアが含まれています」と書いています。^[15]
• P 曲線は、楕円曲線暗号用に NIST によって標準化されています。これらの曲線の係数は、次のような説明されていないランダム シードをハッシュすることによって生成されます。
  • P-224: bd713447 99d5c7fc dc45b59f a3b9ab8f 6a948bc5.
  • P-256: c49d3608 86e70493 6a6678e1 139d26b7 819f7e90.
  • P-384: a335926a a319a27a 1d00896a 6773a482 7acdac73.

直接関係はないが、Dual_EC_DRBGのバックドアが暴露された後、NISTのP曲線定数^[16]の疑わしい側面から、NSAが^{[18]秘密鍵を見つけるのに有利になる値を選択したのではないかという懸念[17]}が生じた。^[19]それ以来、多くのプロトコルやプログラムがNIST P-256曲線の代替として Curve25519を使い始めた。

Bernsteinと共著者は、楕円曲線などの暗号オブジェクトを生成する複雑な手順の開始点として、何も隠していない数字を使用するだけでは、バックドアの挿入を防ぐのに十分ではない可能性があることを実証しています。たとえば、一見無害で「面白くない」単純な数学定数の候補は多数存在します。たとえば、π、e、オイラーガンマ、√2、√3、√5、√7、log(2)、(1 + √5)/2、ζ(3)、ζ(5)、sin(1)、sin(2)、cos(1)、cos(2)、tan(1)、tan(2) などです。これらの定数には、選択できるいくつかの異なるバイナリ表現も存在します。定数をランダム シードとして使用する場合、SHA-1、SHA-256、SHA-384、SHA-512、SHA-512/256、SHA3-256、SHA3-384 など、選択可能なハッシュ関数の候補も多数存在します。

オブジェクト選択手順に十分な調整可能なパラメータがある場合、組み合わせ爆発により、可能な設計選択肢と一見単純な定数の宇宙が十分に大きくなり、可能性の自動検索によって、望ましいバックドア特性を持つオブジェクトを構築できるようになります。^[20]

• ブルース・シュナイアー著『応用暗号学』第 2 版、John Wiley and Sons、1996 年。
• Eli Biham、Adi Shamir、(1990)。DES のような暗号システムの差分暗号解析。暗号学の進歩 - CRYPTO '90。Springer-Verlag。2–21。