ストリーボグ

ストリーボグ（ロシア語：Стрибог）は、ロシアの国家規格GOST R 34.11-2012情報技術-暗号情報セキュリティ-ハッシュ関数で定義されている暗号ハッシュ関数です。これは、古い規格GOST R 34.11-94で定義された廃止されたGOSTハッシュ関数を置き換えるために、また米国国立標準技術研究所によるSHA-3競争への非対称応答として作成されました。^{[2]この関数はRFC 6986でも説明されており、} ISO/IEC 10118-3:2018のハッシュ関数の1つです。 ^[3]

Streebogは、 Merkle-Damgård構造を使用して、任意のサイズの入力を処理し、512ビットの入力ブロックに対して動作します。 ^[4]

新しいハッシュ関数の高レベル構造はGOST R 34.11-94のものと似ていますが、圧縮関数は大幅に変更されました。^[5]圧縮関数は宮口–プレニールモードで動作し、512ビットのブロックと512ビットのキーを持つ12ラウンドのAESのような暗号を採用しています。（AESの4×4行列ではなく、8×8バイト行列を使用します。）

Streebog-256 は Streebog-512 とは異なる初期状態を使用し、出力ハッシュを切り捨てますが、それ以外は同一です。

この関数は、古代スラヴ神話の突風の神ストリボグにちなんでストリボグと名付けられました^[2]。標準規格の本文では明示的に言及されていないにもかかわらず、この名前で呼ばれることがよくあります^{[6] 。}

空の文字列のハッシュ値。

ストリーボグ-256("")
0x 3f539a213e97c802cc229d474c6aa32a825a360b2a933a949fd925208d9ce1bb
ストリーボグ-512("")
0x 8e945da209aa869f0455928529bcae4679e9873ab707b55315f56ceb98bef0a7 \
   362f715528356ee83cda5f2aac4c6ad2ba3a715c1bcd81cb8e9f90bf4c1c1a8a

メッセージに小さな変更を加えただけでも、雪崩効果により、ハッシュはほとんど異なるものになります (非常に高い確率で) 。たとえば、文末にピリオドを追加すると、次のようになります。

ストリーボグ-256(「素早い茶色のキツネが怠け者の犬を飛び越える」)
0x 3e7dea7f2384b6c5a3d0e24aaa29c05e89ddd762145030ec22c71a6db8b2c1f4
ストリーボグ-256(「素早い茶色のキツネが怠け者の犬を飛び越える。」)
0x 36816a824dcbe7d6171aa58500741f2ea2757ae2e1784ab72c5c3c6c198d71da
ストリーボグ-512(「素早い茶色のキツネが怠け者の犬を飛び越える」)
0x d2b793a0bb6cb5904828b5b6dcfb443bb8f33efc06ad09368878ae4cdc8245b9 \
   7e60802469bed1e7c21a64ff0b179a6a1e0bb74d92965450a0adab69162c00fe
ストリーボグ-512(「素早い茶色のキツネが怠け者の犬を飛び越える。」)
0x fe0c42f267d921f940faa72bd9fcf84f9f1bd7e9d055e9816e4c2ace1ec83be8 \
   2d2957cd59b86e123d8f5adee80b3ca08a017599a9fc1a14d940cf87c77df070

2013年、ロシアの標準化技術委員会「暗号化とセキュリティメカニズム」（TC 26）は、ロシア連邦暗号アカデミーの参加を得て、ストリーボグハッシュ関数の暗号解読の公開コンテストを開催することを宣言し、 ^[7]この関数は国際的な注目を集めました。

Maらは、GOST-512の6ラウンドに短縮された単一の原像を見つけるのに^2496の時間と^264のメモリ、または^2504の時間と^211のメモリを必要とする原像攻撃について説明しています。 ^{[8]彼らはまた、同じ論文で、 2181}の時間計算量と^264のメモリ要件を伴う衝突攻撃についても説明しています。

Guoらは、メッセージが²²⁵⁹ブロック以上ある場合、合計時間計算量が²²⁶⁶回の圧縮関数評価に相当する完全なStreebog-512に対する2番目のプリイメージ攻撃について説明しています。^[1]

AlTawyとYoussefは、異なるラウンド定数を持つStreebogの修正版に対する攻撃を発表しました。^[9]この攻撃は元のStreebogハッシュ関数のセキュリティに直接影響を与えることはないかもしれませんが、関数で使用されているパラメータの起源について疑問が生じました。設計者は、これらは12の異なる自然言語入力メッセージで提供されるStreebogのようなハッシュ関数で生成された疑似乱数定数であると説明する論文を発表しました。^[10]

AlTawyらは、内部暗号に対してそれぞれ複雑度²⁸と²⁴⁰の5ラウンドフリースタート衝突と7.75フリースタートニアコリジョンを発見した。また、圧縮関数に対する攻撃として、それぞれ時間複雑度2184^とメモリ複雑度^28、8.75と9.75ラウンドのセミフリースタートニアコリジョン（時間複雑度はそれぞれ²¹²⁰と²¹⁹⁶）による7.75ラウンドセミフリースタート衝突を発見した。^[11]

王らは、圧縮関数に対する衝突攻撃を9.5ラウンドに削減し、時間計算量は^{2176 、メモリ計算量は2128に}削減したと報告している。^[12]

2015年にビリュコフ、ペリン、ウドヴェンコは、未発表のSボックス生成構造（以前はランダムに生成されると主張されていた）をリバースエンジニアリングし、基礎となるコンポーネントが暗号的に弱いという結論を下しました。^[13]

• ハッシュ関数のセキュリティ概要