パディング（暗号化）

暗号化において、パディングとは、暗号化の前にメッセージの先頭、中間、または末尾にデータを追加することを含む、いくつかの異なる方法のいずれかです。従来の暗号化では、パディングには、多くのメッセージが予測可能な方法で終わるという事実を隠すために、メッセージに意味のないフレーズを追加することが含まれます (例: sincerely yours )。

公式メッセージは、多くの場合、予測可能な方法で始まり、終わります。My dear ambassador、Weather report、Sincerely yoursなどです。古典的な暗号でパディングを使用する主な目的は、暗号解読者がその予測可能性を利用して、暗号を解読するのに役立つ既知の平文^[1]を見つけることを防ぐことです。ランダムな長さのパディングは、攻撃者が平文メッセージの正確な長さを知ることも防ぎます。

大きな誤解を招いた古典的な水増しの有名な例は、「世界驚異」事件である。この事件は、第二次世界大戦中のレイテ沖海戦の一部であるサマール沖海戦で連合軍に損害を与えかけた。その例では、第二次世界大戦の米太平洋艦隊司令長官チェスター・ニミッツ提督が、1944年10月25日のレイテ沖海戦で第34任務部隊（連合軍主力艦隊）の司令官ブル・ハルゼー提督に次のようなメッセージを送った。^[2]

繰り返しますが、タスクフォース34はどこにいますか? ^[3]

パディング (太字) とメタデータを追加すると、メッセージは次のようになります。

TURKEY TROTS TO WATER GG FROM CINCPAC ACTION COM THIRD FLEET INFO COMINCH CTF SEVENTY-SEVEN X WHERE IS RPT WHERE IS TASK FORCE THIRTY FOUR RR THE WORLD WONDERS^[3]

ハルゼー提督の無線通信士は、メッセージの一部をメッセージと勘違いしたため、ハルゼー提督は最終的に次のメッセージを読み上げました。

タスクフォース34はどこにいるのか？世界は疑問に思う^[3]

ハルゼー提督は「世界は驚異だ」というパディングフレーズを皮肉な叱責と解釈し、感情を爆発させて艦橋に閉じこもり、1時間不機嫌になった後、サマール沖海戦の支援に部隊を移動させた。^{[2]ハルゼーの無線通信士は、} RRという文字から「世界は驚異だ」がパディングであると気付くべきだった。ニミッツ提督のメッセージを受け取った他の無線通信士は、両方のパディングフレーズを正しく削除した。^[2]

多くの古典的な暗号では、平文を特定のパターン (正方形、長方形など) に配置しますが、平文が正確に適合しない場合は、パターンを埋めるために追加の文字を入力する必要があります。この目的で無意味な文字を使用すると、一部の種類の暗号解読が困難になるという副次的な利点があります。

最新の暗号ハッシュ関数のほとんどは、メッセージを固定長のブロックで処理します。最も初期のハッシュ関数を除くすべてのハッシュ関数には、何らかのパディング スキームが含まれています。暗号ハッシュ関数では、ハッシュが長さ拡張攻撃に対して脆弱にならないようにする終了スキームを採用することが重要です。

多くのパディング方式は、最終ブロックに予測可能なデータを追加することに基づいています。たとえば、パディングはメッセージの合計長から導き出すことができます。この種のパディング方式は、 MD-5 、SHA-1、 SHA-224、SHA-256、SHA-384、SHA-512、SHA-512/224、SHA-512/256などのSHA-2ファミリーなどのMerkle–Damgård構造を使用するハッシュアルゴリズムによく適用されます^[4]

暗号ブロック連鎖(CBC) モードは、ブロック暗号モードの動作の一例です。対称鍵暗号化アルゴリズムの一部のブロック暗号モード (基本的には CBC と PCBC) では、ブロック サイズの倍数であるプレーン テキスト入力が必要なため、メッセージをこの長さにするためにパディングが必要になる場合があります。

現在、^{[いつ? ]}ブロックモード操作の代わりにストリーミングモード操作を使用するように移行しています。^[要出典] ストリーミングモード暗号化の例は、カウンターモード操作です。^{[5]ストリーミングモード操作では、任意のサイズのメッセージを暗号化および復号化できるため、パディングは必要ありません。}暗号文の盗難や残余ブロックの終了など、メッセージを終了するためのより複雑な方法では、パディングが不要になります。

パディングの欠点は、メッセージのプレーン テキストがパディング オラクル攻撃を受けやすくなることです。パディング オラクル攻撃により、攻撃者はブロック暗号プリミティブ自体を攻撃することなくプレーン テキストの情報を得ることができます。パディング オラクル攻撃は、攻撃者がパディング バイトの削除に関する情報を取得できないようにすることで回避できます。これは、パディング バイトを削除する前にメッセージ認証コード (MAC)またはデジタル署名を 検証するか、ストリーミング モードの操作に切り替えることで実現できます。

ビット パディングは、任意のサイズのメッセージに適用できます。

メッセージに 1 つの '1' ビットが追加され、その後、必要な数の '0' ビット (場合によっては 0) が追加されます。追加される '0' ビットの数は、メッセージを拡張する必要があるブロック境界によって異なります。ビット単位では、これは "1000 ... 0000" です。

この方法は、必ずしもバイト長の整数倍ではなく、任意のビット長のメッセージを埋めるために使用できます。たとえば、32 ビット ブロックを埋めるために 9 ビットが埋め込まれた 23 ビットのメッセージは次のようになります。

... | 1011 1001 1101 0100 0010 011 1 0000 0000 |

このパディングは、 MD5やSHAを含む多くのハッシュ関数で使用される 2 段階のパディング スキームの最初のステップです。このコンテキストでは、RFC1321 ステップ 3.1 で指定されています。

このパディング方式は、ISO/IEC 9797-1ではパディング方式 2 として定義されています。

バイト パディングは、整数バイトとしてエンコードできるメッセージに適用できます。

ANSI X9.23では、1〜8バイトが常にパディングとして追加されます。ブロックはランダムなバイトでパディングされ（多くの実装では00が使用されていますが）、ブロックの最後のバイトは追加されたバイト数に設定されます。^[6]

例: 次の例では、ブロック サイズは 8 バイトで、4 バイトのパディングが必要です (16 進形式)

... | DD DD DD DD DD DD DD | DD DD DD DD 00 00 00 04 |

ISO 10126（2007年に撤回^{[7] [8]}）では、最後のブロックの末尾にランダムバイトでパディングを行い、パディング境界を最後のバイトで指定する必要があると規定されています。

例: 次の例では、ブロックサイズは8バイトで、4バイトのパディングが必要です。

... | DD DD DD DD DD DD DD | DD DD DD DD 81 A6 23 04 |

PKCS#7は RFC 5652 で説明されています。

パディングはバイト単位で行われます。追加された各バイトの値は、追加されるバイト数です。つまり、Nバイトの場合、値Nの各バイトが追加されます。追加されるバイト数は、メッセージを拡張する必要があるブロック境界によって異なります。

パディングは次のいずれかになります。

01
02 02
03 03 03
04 04 04 04
05 05 05 05 05
06 06 06 06 06 06
等

このパディング方法 (および前の 2 つ) は、N が256 未満の場合にのみ明確に定義されます。

例: 次の例では、ブロックサイズは8バイトで、4バイトのパディングが必要です。

... | DD DD DD DD DD DD DD | DD DD DD DD 04 04 04 04 |

元のデータの長さがブロック サイズBの整数倍である場合、値Bを持つ追加のバイト ブロックが追加されます。これは、解読アルゴリズムが、最後のブロックの最後のバイトが、追加されたパディング バイトの数を示すパディング バイトなのか、プレーン テキスト メッセージの一部なのかを確実に判断できるようにするために必要です。プレーン テキストの最後のバイトが01である、 Bバイトの整数倍であるプレーン テキスト メッセージについて考えます。追加情報がなければ、解読アルゴリズムは、最後のバイトがプレーン テキスト バイトなのか、パディング バイトなのかを判断できません。ただし、01プレーン テキスト バイトの後に値BのBバイトを追加することにより、解読アルゴリズムは常に最後のバイトをパディング バイトとして扱い、暗号文の末尾から適切な数のパディング バイトを削除できます。削除するバイト数は、最後のバイトの値に基づきます。

PKCS#5 パディングは PKCS#7 パディングと同じですが、64 ビット (8 バイト) のブロック サイズを使用するブロック暗号に対してのみ定義されています。実際には、これら 2 つは互換的に使用できます。

最大ブロック サイズは 255 です。これは、1 バイトに格納できる最大の数値です。

ISO/IEC 7816 -4:2005 ^{[9] は、} Nバイトのプレーンテキストに適用されるビットパディング方式と同一である。これは、実際には、最初のバイトが必須のバイト値 '80' (16進数) であり、必要に応じて、ブロックの終わりに達するまで 0 からN  − 1 バイトが '00' に設定されることを意味する。ISO/IEC 7816-4 自体は、ファイルシステムを含むスマートカードの通信規格であり、それ自体には暗号化仕様は含まれていない。

例: 次の例では、ブロックサイズは8バイトで、4バイトのパディングが必要です。

... | DD DD DD DD DD DD DD | DD DD DD DD 80 00 00 00 |

次の例は、1バイトだけのパディングを示しています。

... | DD DD DD DD DD DD DD | DD DD DD DD DD DD 80 |

パディングが必要なバイトはすべてゼロでパディングされます。ゼロパディング方式は暗号化では標準化されていませんが^{[引用が必要] 、ハッシュとMACではISO/IEC 10118-1 [10]}とISO/IEC 9797-1 ^[11]でパディング方式1として指定されています。

例: 次の例では、ブロックサイズは8バイトで、4バイトのパディングが必要です。

... | DD DD DD DD DD DD DD | DD DD DD DD 00 00 00 00 |

元のファイルが 1 つ以上のゼロ バイトで終了する場合、ゼロ パディングは元に戻せない可能性があり、プレーンテキスト データ バイトとパディング バイトを区別できなくなります。これは、メッセージの長さを帯域外で導出できる場合に使用できます。ヌル文字は通常、空白として削除できるため、バイナリでエンコードされた^{[明確化が必要]} 文字列(ヌル終了文字列)によく適用されます。

ゼロパディングは、「ヌルパディング」または「ゼロバイトパディング」と呼ばれることもあります。実装によっては、プレーンテキストがすでにブロックサイズで割り切れる場合、ゼロバイトのブロックを追加することがあります。^{[引用が必要]}

公開鍵暗号では、パディングは、 PKCS#1 v2.2、OAEP、PSS、PSSR、IEEE P1363 EMSA2、EMSA5などの仕様またはスキームを使用して、暗号化または署名のためにメッセージを準備するプロセスです。非対称プリミティブのパディングの最新の形式は、限られた数のバイトを暗号化するために使用されるRSA アルゴリズムに適用されるOAEPです。

この操作は「パディング」と呼ばれます。元々は、プリミティブに十分な長さになるように、ランダムな素材がメッセージに追加されていたためです。この形式のパディングは安全ではないため、現在は適用されていません。最新のパディング スキームは、攻撃者がプレーンテキストを操作してプリミティブの数学的構造を悪用できないようにすることを目的としており、通常は、ランダムオラクル モデルで、パディング スキームを破ることがプリミティブの基礎となる難問を解くのと同じくらい難しいという証明が伴います。

完璧な暗号化ルーチンが使われたとしても、攻撃者は生成されたトラフィックの量を知ることができます。攻撃者はアリスとボブが何を話していたかは知らないかもしれませんが、彼らが話していたことと、どれだけ話していたかは知ることができます。状況によっては、この漏洩は非常に危険です。たとえば、軍隊が他国に対して秘密裏に攻撃を計画している場合を考えてみましょう。相手国に警告するだけで、多くの秘密活動 が行われているということが分かるかもしれません。

別の例として、可変ビットレートエンコーディングを使用するVoIPストリームを暗号化する場合、単位時間あたりのビット数は不明瞭にならないため、これを利用して話されたフレーズを推測することができます。^[12]同様に、一般的なビデオエンコーダが生成するバーストパターンは、ユーザーが視聴しているストリーミングビデオを一意に識別するのに十分な場合がよくあります。^[13] Webサイト、ファイル、ソフトウェアパッケージのダウンロード、オンラインビデオなどのオブジェクトの合計サイズだけでも、攻撃者がオブジェクトの由来を知っているか、推測できる既知のセットであれば、オブジェクトを一意に識別できます。 ^{[14] [15] [16]}暗号化されたコンテンツの長さの サイドチャネルは、よく知られているCRIME攻撃とBREACH攻撃でHTTPS通信からパスワードを抽出するために使用されました。^[17]

暗号化されたメッセージにパディングを行うと、ペイロードの実際の長さが不明瞭になり、トラフィック分析が困難になります。メッセージにパディングする長さの選択は、決定論的に行う場合とランダムに行う場合があります。それぞれのアプローチには、さまざまな状況に当てはまる長所と短所があります。

メッセージの末尾に、ランダムな数の追加のパディング ビットまたはバイトが付加され、末尾にはパディングがどれだけ追加されたかを示す情報も付加される場合があります。パディングの量が、たとえば 0 から最大値 M までの一様乱数として選択された場合、盗聴者はその範囲内でメッセージの長さを正確に特定することはできません。最大パディング M がメッセージの合計サイズに比べて小さい場合、このパディングによって追加されるオーバーヘッドはそれほど大きくありませんが、パディングによって隠されるのはオブジェクトの合計長の最下位ビットのみであるため、大きなオブジェクトのおおよその長さは容易に観察可能であり、したがって、その長さによって一意に識別できる可能性があります。一方、最大パディング M がペイロードのサイズに匹敵する場合、盗聴者がメッセージの実際のペイロード サイズを不確実に判断する可能性ははるかに大きくなりますが、その代償として、パディングによってメッセージに 100% のオーバーヘッド ( 2 倍の爆発) が追加される可能性があります。

さらに、盗聴者が同じ送信者からの多数の連続したメッセージを見る機会があり、それらのメッセージが攻撃者が知っている、または推測できる方法で類似しているという一般的なシナリオでは、盗聴者は統計的手法を使用してランダム パディングの利点を減らし、最終的には排除することができます。たとえば、ユーザーのアプリケーションが同じ長さのメッセージを定期的に送信し、盗聴者がユーザーのアプリケーションのフィンガープリントなどに基づいて事実を知っている、または推測できるとします。または、アクティブな攻撃者は、被害者がパブリック サーバーである場合など、エンドポイントに定期的にメッセージを送信するように誘導できる可能性があります。このような場合、盗聴者は多数の観測の平均を計算するだけで、通常のメッセージのペイロードの長さを判断できます。

決定論的パディング方式では、常に、指定された長さのメッセージ ペイロードをパディングして、対応する特定の出力長の暗号化メッセージを形成します。多くのペイロード長が同じパディングされた出力長にマップされる場合、盗聴者は、同一の長さのメッセージが送信されるのを何度も観察した後でも、これらの長さバケットの 1 つ内でペイロードの実際の長さに関する情報を区別したり学習したりすることはできません。この点で、決定論的パディング方式には、同じペイロード サイズの連続する各メッセージで追加情報が漏洩しないという利点があります。

一方、盗聴者が、たとえばパスワード推測攻撃におけるプラスマイナス 1 バイトのような、ペイロード サイズの小さな変化を知ることで利益を得ることができるとします。メッセージの送信者が運悪く、ペイロード長が 1 バイトだけ異なるメッセージを多数送信し、その長さが 2 つの確定的パディング クラスのちょうど境界上にある場合、これらのプラスマイナス 1 のペイロード長は、常に異なるパディング長 (たとえばプラスマイナス 1 ブロック) を生成し、攻撃者が望むきめ細かい情報を正確に漏らします。このようなリスクに対して、ランダム パディングは、メッセージ長の最下位ビットを独立して隠すことで、より強力な保護を提供できます。

一般的な決定論的パディング方法には、一定のブロック サイズへのパディングと、次に大きい 2 の累乗へのパディングがあります。ただし、最大量 Mが小さいランダム パディングと同様に、メッセージ ペイロードよりはるかに小さいブロック サイズへの決定論的パディングでは、メッセージの実際の長さの最下位ビットのみが隠され、メッセージの実際のおおよその長さはほとんど保護されません。メッセージを 2 の累乗 (またはその他の固定基数) にパディングすると、メッセージの長さによって漏洩する可能性のある情報の最大量がO (log M )からO (log log M )に削減されます。ただし、2 の累乗へのパディングではメッセージ サイズのオーバーヘッドが最大 100% 増加し、より大きな整数基数の累乗へのパディングでは最大オーバーヘッドがさらに増加し​​ます。

パディングされた均一ランダムブロブまたはPURBのために提案されたPADMÉスキームは、仮数が指数以下である（つまり、それ以上の有効ビットを含まない）浮動小数点数として表現可能な長さにメッセージを決定論的にパディングします。 ^[16] この長さの制約により、2の累乗にパディングした場合と同様に、メッセージはその長さによって最大でO（log log M）ビットの情報を漏らすことが保証されますが、オーバーヘッドははるかに少なく、小さなメッセージの場合は最大12％で、メッセージサイズとともに徐々に減少します。

• 送る前に大量のナンセンスを混ぜてふるいにかける
• 暗号文の盗難、ブロック長の倍数ではないメッセージを処理する別のアプローチ
• 初期化ベクトル、ソルト（暗号化）はパディングと混同されることがある
• 対称鍵の交換に使用される公開鍵システムのパディングの代替となる鍵カプセル化
• PURBまたはパディングされた均一ランダムブロブは、メタデータまたは長さの漏洩を最小限に抑える暗号化方式です。
• ロシアの交尾、ベビーベッドを防ぐもう一つのテクニック

• XCBC: csrc.nist.gov/groups/ST/toolkit/BCM/documents/workshop2/presentations/xcbc.pdf