PURB (暗号化)

暗号学において、パディングされた均一ランダムブロブ（PURB）は、暗号化形式のメタデータまたはその全体の長さからの意図しない情報漏洩を最小限に抑えるように設計された暗号化データ形式の分野です。^[1]

適切に作成された場合、PURB の内容は、関連する復号化キーを持たない観察者にとって、一様ランダム ビット文字列と区別がつきません。したがって、PURB は、暗号化されたデータ形式に関連付けられたヘッダーやその他のクリアテキスト メタデータを通じて情報を漏らしません。この漏洩最小化の「衛生」プラクティスは、Pretty Good Privacy などの従来の暗号化データ形式とは対照的です。Pretty Good Privacyには、データを作成したアプリケーション、データ形式のバージョン、データが暗号化される受信者の数、受信者の ID または公開キー、データの暗号化に使用された暗号またはスイートなどのクリアテキスト メタデータ エンコード情報が含まれます。このような暗号化形式が設計された当時、このような暗号化メタデータは機密性がないと考えられていましたが、現代の攻撃手法では、弱い暗号や古いアルゴリズムで暗号化されたデータを特定したり、アプリケーションをフィンガープリントしてユーザーを追跡したり、既知の脆弱性を持つソフトウェア バージョンを特定したり、 2 人の間でのみ観察された暗号化メッセージから会話に関与したすべてのユーザー、グループ、および関連する公開キーを特定するなどのトラフィック分析手法など、偶発的に漏洩したメタデータを攻撃に利用するさまざまな方法が見つかっています。

さらに、PURB は、暗号化されたデータからその合計長を介して観察者に漏洩する可能性のある情報量を最小限に抑えるために、制約された一連の可能な長さにパディングされます。パディングがない場合、長さが ビットまでのファイルやビット文字列などの暗号化されたオブジェクトは、最大 ビットの情報 (つまり、長さを正確に表すために必要なビット数) を観察者に漏洩する可能性があります。PURB は、仮数が指数以下 (つまり、それ以上の有効ビットを含まない)の浮動小数点数で表せる長さにパディングされます。この制約により、PURB の合計長からビットに漏洩する可能性のある最大情報量が制限されます。これは、乗法オーバーヘッドがパディングされていないペイロード サイズの定数倍に制限される可変長暗号化形式では、大幅な漸近的削減であり、一般に達成可能な最良の方法です。この漸近的漏洩は、暗号化されたオブジェクトを何らかの基数の累乗 (たとえば 2 の累乗) にパディングした場合に得られる漏洩と同じです。ただし、長さの表現に指数だけではなく、いくつかの重要な仮数ビットを許可すると、パディングのオーバーヘッドが大幅に削減されます。たとえば、2 の次の累乗にパディングすると、オブジェクトのサイズがほぼ 2 倍になり、最大 100% のオーバーヘッドが発生する可能性がありますが、PURB のパディングでは、小さな文字列に対して最大 12% のオーバーヘッドが発生し、オブジェクトが大きくなるにつれて徐々に (6%、3% など) 減少します。 ${\displaystyle M}$${\displaystyle O(\log M)}$${\displaystyle O(\log \log M)}$

実験的証拠によれば、ファイル、ソフトウェアパッケージ、オンラインビデオなどのオブジェクトを含むデータセットでは、オブジェクトをパディングしないか、一定のブロックサイズにパディングすると、合計長だけで一意に識別できることが多いことが示されています。 ^{[2] [3] [1]} 一方、オブジェクトを2の累乗またはPURBの長さにパディングすると、ほとんどのオブジェクトが少なくとも他のオブジェクトと区別できなくなり、匿名性セットが重要になります。^[1]

PURB は暗号化形式を設計するための規律であり、特定の暗号化形式ではないため、PURB をエンコードまたはデコードするための単一の規定された方法はありません。アプリケーションは、適切なキーを持たない観察者には一様にランダムに見えるビット文字列を生成し、適切な困難性の仮定が満たされ、PURB が許可された長さのいずれかにパディングされている限り、任意の暗号化およびエンコード方式を使用できます。したがって、正しくエンコードされた PURB は、暗号文でそれを作成したアプリケーションを識別しません。したがって、デコード アプリケーションは、使用可能な復号化キーを使用して復号化を試みない限り、PURB がそのアプリケーション用に暗号化されたのか、ユーザー用に暗号化されたのかを復号化前に容易に判断することはできません。

PURB のエンコードとデコードには、従来の解析手法が適用できないという技術的な効率上の課題があります。これは、PURB には定義上、従来のパーサーが復号化前に PURB の構造を識別するために使用できるメタデータマーカーがないためです。代わりに、PURB は最初に内部構造を意識せずに復号化され、その後、デコーダーが適切な復号化キーを使用してPURB への 適切な暗号化エントリ ポイントを見つけた後にのみ解析されます。

複数の異なる受信者、公開鍵、および/または暗号によって復号化されることを意図した PURB のエンコードとデコードには、各受信者が他の受信者と重複しない PURB 内の異なる場所にある異なるエントリポイントを見つける必要があるという追加の技術的課題がありますが、PURB にはそれらのエントリポイントの位置やそれらの合計数を示すクリアテキスト メタデータはありません。PURB を提案した論文^{[1]には、複数の暗号スイートを使用して複数の受信者にオブジェクトを暗号化するアルゴリズムも含まれていました。これらのアルゴリズムを使用すると、受信者は}対称鍵暗号化を使用して対数回数の試行復号と暗号スイートごとに 1 つの高価な公開鍵操作のみで、PURB へのそれぞれのエントリポイントを見つけることができます。

3 つ目の技術的課題は、PURB の各エントリポイントにエンコードする必要がある公開鍵暗号マテリアル (受信者が共有秘密を導出するために必要な一時的なDiffie-Hellman公開鍵など) を、一様ランダム ビットと区別できないエンコードで表現することです。たとえば、楕円曲線ポイントの標準的なエンコードはランダム ビットと簡単に区別できるため、この目的には Elligator ^{[4]やその後継などの特別な}区別できないエンコード アルゴリズムを使用する必要があります。^{[5] [6]}

PURB が提供する主なプライバシーの利点は、正しく暗号化されたデータであれば、内部メタデータを介して偶発的にデータが漏洩することはないという強力な保証です。内部メタデータは、観察者が容易にデータやその生成に使用されたソフトウェアの弱点を特定したり、PURB を作成したアプリケーションやユーザーのフィンガープリントを作成したりするために使用できます。このプライバシーの利点は、弱い暗号や古い暗号で暗号化されたデータ、またはクリアテキスト メタデータから収集された簡単に観察できる情報に基づいて攻撃者が悪用する可能性のある既知の脆弱性を持つソフトウェアによって暗号化されたデータに対して、セキュリティ上の利点になります。

PURB 暗号化方式の主な欠点は、デコーダーが復号化前に従来の解析手法に頼ることができないため、エンコードとデコードの複雑さです。2 番目の欠点は、パディングによって追加されるオーバーヘッドですが、PURB に提案されているパディング スキームでは、かなり大きなサイズのオブジェクトに対して最大でも数パーセントのオーバーヘッドしか発生しません。

PURB 論文で提案されている Padme パディングでは、特定の非常に異なるサイズのファイルのみが作成されます。したがって、他のファイルがこれらのパディング サイズのいずれかになる可能性は非常に低いため、暗号化されたファイルは高い信頼性で PURB 暗号化されていると識別されることがよくあります。別のパディングの問題は、非常に短いメッセージで発生します。この場合、パディングではコンテンツのサイズが効果的に隠されません。

PURB 暗号化の複雑さとオーバーヘッド コストの発生に対する批判の 1 つは、 PURB が保存または送信されるコンテキストによって、暗号化されたコンテンツに関するメタデータが漏洩することが多く、そのようなメタデータは暗号化形式の範囲または制御外にあるため、暗号化形式だけでは対処できないという点です。たとえば、アプリケーションまたはユーザーがディスク上の PURB を保存するファイル名とディレクトリを選択すると、PURB のデータ コンテンツ自体はそうでなくても、それを作成した可能性のあるアプリケーションとその目的を推測できる場合があります。同様に、電子メールの本文を従来の PGP またはS / MIME形式ではなく PURB として暗号化すると、暗号化形式のメタデータ漏洩はなくなる可能性がありますが、クリアテキストの電子メール ヘッダーや、交換に関与するエンドポイント ホストおよび電子メール サーバーからの情報漏洩を防ぐことはできません。ただし、適切なファイル命名規則や機密性の高い通信での仮名の電子メール アドレスの使用など、このようなコンテキスト メタデータ漏洩を制限するために、通常、別個ではあるものの補完的な規律が利用できます。