ストリーム暗号攻撃

ストリーム暗号は、平文ビットを排他的論理和演算 ( xor ) によって暗号ビット ストリームと組み合わせるものであり、適切に使用すれば非常に安全です。^{[引用が必要]}ただし、特定の予防措置を講じないと、攻撃に対して脆弱になります。

• キーは2度使用してはならない
• 有効な復号化は、真正性を示すために決して頼るべきではない。

ストリーム暗号は、同じキーが 2 回 (深度 2) 以上使用されると攻撃に対して脆弱になります。

同じ長さのメッセージAとB を、同じキーK を使用して暗号化して送信するとします。ストリーム暗号は、メッセージと同じ長さのビット文字列C(K)を生成します。メッセージの暗号化バージョンは次のようになります。

E(A) = A xor C

E(B) = B xor C

ここで、xorはビットごとに実行されます。

敵がE(A)とE(B)を傍受したとします。敵は簡単に計算できます。

E(A) 排他的論理和 E(B)

ただし、xor は可換であり、 X xor X = 0 (自己逆) という特性があるため、次のようになります。

E(A) xor E(B) = (A xor C) xor (B xor C) = A xor B xor C xor C = A xor B

一方のメッセージが他方のメッセージより長い場合、攻撃者は長い方のメッセージを短い方のサイズに切り詰めるだけで、攻撃によって明らかになるのは長い方のメッセージの部分だけです。言い換えれば、同じ鍵で暗号化された 2 つのメッセージを傍受すれば、A xor B を復元できます。これはランニング キー暗号の一種です。どちらのメッセージも知られていなくても、両方のメッセージが自然言語で書かれている限り、このような暗号は紙と鉛筆を使った方法で解読できることがよくあります。第二次世界大戦中、英国の暗号解読者ジョン ティルトマンは、ローレンツ暗号(「タニー」と呼ばれていました)でこれを達成しました。平均的なパーソナル コンピュータでは、このような暗号は通常、数分で解読できます。1 つのメッセージがわかっていれば、解読は簡単です。

回復が簡単であるもう 1 つの状況は、トラフィック フロー セキュリティ対策によって各ステーションが暗号ビットの連続ストリームを送信し、実際のトラフィックがないときにヌル文字 (たとえば、BaudotのLTRS ) が送信される場合です。これは軍事通信では一般的です。その場合、送信チャネルが完全にロードされていない場合、暗号テキスト ストリームの 1 つがヌル文字になる可能性が高くなります。NSA は、キーが 2 回使用されないようにするために多大な努力を払っています。1960 年代の暗号化システムには、キーをロードするためのパンチ カードリーダーが含まれていることが多かったです。このメカニズムにより、カードが取り外されるとカードが自動的に半分にカットされ、再利用が防止されました。^{[1] : p. 6}

この問題を回避する方法の 1 つは、暗号化せずに送信される初期化ベクトル(IV) を使用し、これを秘密のマスター キーと組み合わせてストリーム暗号用のワンタイム キーを作成することです。これは、 Wired Equivalent Privacy (WEP)、Wi-Fi Protected Access (WPA)、Ciphersaberなど、一般的なストリーム暗号RC4 を使用するいくつかの一般的なシステムで行われます。WEP の多くの問題の 1 つは、IV が 24 ビットと短すぎることです。つまり、数千を超えるパケットが同じマスター キーで送信されると、同じ IV が 2 回使用される可能性が高く (バースデー アタックを参照)、重複した IV を持つパケットがキー再利用攻撃にさらされます。この問題は、WPA で「マスター」キーを頻繁に変更することで修正されました。

攻撃者が、私たちのメッセージの全部または一部の正確な内容を知っているとします。中間者攻撃またはリプレイ攻撃の一環として、攻撃者はキーK を知らなくてもメッセージの内容を変更することができます。たとえば、電子機器の資金移動などのメッセージの一部にASCII文字列"$1000.00"が含まれていることを攻撃者が知っているとします。攻撃者は、暗号文のその部分と文字列"$1000.00" xor "$9500.00"を XOR することで、これを "$9500.00" に変更できます。これがどのように機能するかを確認するには、送信する暗号文がC(K) xor "$1000.00"だけであると考えます。攻撃者が作成する新しいメッセージは次のようになります。

(C(K) xor "$1000.00") xor ("$1000.00" xor "$9500.00") = C(K) xor "$1000.00" xor "$1000.00" xor "$9500.00" = C(K) xor "$9500.00"

文字列をそれ自身とXORするとすべてゼロが生成され、ゼロの文字列を別の文字列と XOR するとその文字列はそのまま残ることを思い出してください。結果、C(K) xor "$9500.00" は、$9500 が正しい金額である場合の暗号文になります。

メッセージ認証コードを含めることで、改ざんが検出される可能性が高まり、 ビットフリッピング攻撃を防ぐことができます。

ストリーム暗号は、秘密鍵と合意された初期化ベクトル (IV) を組み合わせて、時々再同期される疑似ランダム シーケンスを生成します。^[2] 「選択された IV」攻撃は、特定の IV を見つけることに依存しており、これらを組み合わせると秘密鍵に関する情報が明らかになる可能性があります。通常、複数の IV ペアが選択され、生成されたキー ストリームの差異が線形相関および/または代数ブール関係について統計的に分析されます (差分暗号解析も参照)。初期化ベクトルの特定の値を選択すると、生成されたシーケンスに非ランダム パターンが露出する場合、この攻撃はいくつかのビットを計算し、有効なキー長を短くします。攻撃の兆候は、頻繁な再同期です。現代のストリーム暗号には、通常、多くの初期ラウンドを実行することによって、秘密鍵と初期化ベクトルを適切に混合する手順が含まれます。

• WEPアルゴリズムのセキュリティ
• 「ストリーム暗号への攻撃：調査」 – 2014 年のさまざまなストリーム暗号攻撃の簡単な概要
• 「ストリーム暗号への攻撃：視点」 – 2011 年の講演スライド