Loading article…
オフセットコードブックモード（OCBモード）は、暗号ブロック暗号の認証暗号化動作 モードです。[1] [2] OCBモードはPhillip Rogaway によって設計され、Mihir Bellare、John Black、Ted Krovetzの協力と設計コメントを受けています。これは、Charanjit S. Jutlaによる認証暗号化の整合性認識並列化モード（IAPM）に基づいています。OCB2バージョンは安全でないことが証明されましたが、オリジナルのOCB1と2011年のOCB3は今でも安全であると考えられています。
暗号化と認証
OCB モードは、メッセージ認証とプライバシーの両方を提供するように設計されています。これは基本的に、ブロック暗号の操作にメッセージ認証コード(MAC) を統合するスキームです。このように、OCB モードでは、認証用の MAC と機密性のための暗号化という 2 つのシステムを使用する必要がありません。これにより、暗号化と認証の機能を別々に使用する場合に比べて計算コストが低くなります。
OCB には、OCB1、OCB2、OCB3 の 3 つのバージョンがあります。OCB1 は 2001 年に公開されました。OCB2 は OCB1 を改良したもので、メッセージに関連データを含めることができるようになり、関連データによる認証付き暗号化(AEAD、つまり暗号化されていないが認証が必要なデータ) と、オフセットのシーケンスを生成する新しい方法を提供します。OCB2 は 2003 年に初めて公開され、当初は認証付き暗号化モードまたは高度な暗号化モード( AEM ) と呼ばれていましたが、2019 年に完全に安全でないことが判明しました。2011 年に公開された OCB3 では、オフセットの計算方法が再度変更され、パフォーマンスが若干向上しています。
OCB2はISO/IEC 19772:2009 [3]で標準化されました（ただし、攻撃の公表後に標準から削除されました）。また、修正されたOCB3はRFC 7253 [4]で標準化されました。RFCはタグの長さを内部的にフォーマットされたノンスにエンコードします。
パフォーマンス
OCB のパフォーマンス オーバーヘッドは、暗号ブロック チェーンなどの従来の非認証モードに比べて最小限です。OCB では、暗号化および認証されたメッセージのブロックごとに 1 つのブロック暗号操作が必要であり、関連データのブロックごとに 1 つのブロック暗号操作が必要です。また、プロセスの最後に 1 つの追加のブロック暗号操作が必要です。
比較すると、同様の機能を提供するCCM モードでは、メッセージ ブロックごとに 2 倍のブロック暗号操作が必要です (OCB と同様に、関連データには 1 つが必要です)。
特許
OCBは現在パブリックドメインですが、Rogawayは当初OCBモードの特許を取得して商用ライセンスを請求できるようにし、軍事関連のプロジェクトに自社の作品が使用されるのを阻止しようとしました。[5] Rogawayは2021年にOCBの特許を意図的に放棄しました。 [6]
OCBモードについては米国で2件の特許が発行された。[7]これらの特許は米国国立標準技術研究所による承認を妨げている。[要出典]
OCBモードは特許を取得していましたが、ロガウェイは3つのライセンスを公開し、OCBモードをGNU General Public License （後にOpen Source Initiative [8]によって認定されたあらゆるオープンソースライセンス）の下でライセンスされたソフトウェア、非営利の非軍事プロジェクト、およびOpenSSLで自由に使用できるようにしました。
ロガウェイは米国でのみ特許保護を申請したため、このアルゴリズムは米国内で開発・販売されていないソフトウェアでは常に自由に使用できました[9]
攻撃
ニールス・ファーガソンはOCBの衝突攻撃を指摘し、単一の鍵で安全に処理できるデータの量が約280テラバイトに制限されていることを指摘した。[10] [11]
2018年10月、井上と峯松はOCB2に対する存在的偽造攻撃を発表しました。この攻撃では、事前の暗号化クエリが1回だけ必要で、計算能力やストレージはほとんど必要ありません。[12]この攻撃はOCB1やOCB3には適用されず、偽造された暗号文の関連データフィールドが空である必要があります。ポエタリング[13]と岩田[14]は、わずか数日後にこの偽造攻撃を完全な平文回復攻撃に改良しました。4人の著者は後に共同レポートを作成しました。[15]
参照
参考文献
- ^ Ted Krovetz、Phillip Rogaway (2012 年 7 月 23 日)。「OCB 認証暗号化アルゴリズム」。2012 年5 月 28 日閲覧。
- ^ Phillip Rogaway. 「OCB Mode」. 2012年5月28日閲覧。
- ^ 「ISO/IEC 19772:2009 情報技術 -- セキュリティ技術 -- 認証付き暗号化」。ISO。2009-02-12 。 2012年5月28日閲覧。
- ^ Krovetz, Ted; Rogaway, Phillip (2014). 「OCB 認証暗号化アルゴリズム」. IETF.
- ^ Rogaway, Philip. 「OCB - 認証暗号化スキーム - ライセンス - Rogaway」。www.cs.ucdavis.edu 。 2023年7月31日閲覧。
- ^ Phillip Rogaway. 「OCB 特許は放棄され、自由に使用可能」. mailarchive.ietf.org . 2021 年 2 月 27 日閲覧。
- ^ Phillip Rogaway. 「OCB FAQ - OCB は特許取得済みですか」 。2012年5 月 28 日閲覧。
- ^ Phillip Rogaway (2013 年 1 月 9 日). 「OCB: フリー ライセンス」.
- ^ Phillip Rogaway (2005年3月29日). 「OCB: Offer Letter」 . 2012年5月28日閲覧。
- ^ Niels Ferguson (2002-02-11). 「OCB に対する衝突攻撃」(PDF) .
- ^ Phillip Rogaway (2015-02-27). 「OCB: 背景」.
- ^ 井上明子、峯松和彦 (2018-10-26). 「OCB2の暗号解析」
- ^ Bertram Poettering (2018-11-08). 「OCB2 の機密性の破り」
- ^ 岩田哲 (2018-11-11). 「OCB2の平文復元攻撃」
- ^ 井上明子、岩田哲、峯松和彦、バートラム・ポエタリング（2019-03-19）。「OCB2の暗号解析：真正性と機密性に対する攻撃」。
- Rogaway, Phillip; Bellare, Mihir; Black, John (2003 年 8 月)。「OCB:効率的な認証暗号化 のためのブロック暗号モード」。ACM Transactions on Information and System Security。6 ( 3): 365–403。doi : 10.1145 /937527.937529。S2CID 47050629。2018年 1 月 30 日閲覧。
外部リンク
- OCBホームページ
- OCB よくある質問
- NIST: モード開発