サブリミナルチャンネル

暗号学において、サブリミナルチャネルとは、安全でないチャネルを介して、一見普通の通信に見える通信で秘密裏に通信するために使用できる秘密のチャネルです。^[1]デジタル署名暗号システムにおけるサブリミナルチャネルは、1984年にグスタフス・シモンズによって発見されました。

シモンズは、デジタル署名アルゴリズムのパラメータ置換を通じて「囚人問題」を解決する方法を説明しています。^{[2] [a]}

ElGamalやDSAなどの署名アルゴリズムには、ランダムな情報で設定する必要があるパラメータがあります。彼は、これらのパラメータを使用してサブリミナルにメッセージを送信する方法を示しています。アルゴリズムの署名作成手順は変更されていないため、署名は検証可能であり、通常の署名と区別できません。したがって、サブリミナル チャネルが使用されているかどうかを検出するのは困難です。

• サブリミナル チャネルは、広帯域チャネル タイプと狭帯域チャネル タイプに分類できます。
• ブロードバンド チャネルとナローバンド チャネルは同じデータ ストリーム内に存在できます。
• ブロードバンド チャネルは、使用可能なビットのほぼすべてを使用します。これは通常、チャネル使用率が {≥50% だが ≤90%} であることを意味すると理解されています。
• より少ないビットを使用するチャネルはすべて狭帯域チャネルと呼ばれます。
• 追加の使用ビットは、なりすましなどのさらなる保護のために必要です。

広帯域チャネルと狭帯域チャネルでは、異なるアルゴリズム パラメータを使用できます。狭帯域チャネルでは最大限の情報を転送することはできませんが、認証キーまたはデータ ストリームの送信に使用できます。

研究は進行中です。さらなる開発によりサブリミナル チャネルが強化され、たとえば、事前に認証キーに同意する必要なくブロードバンド チャネルを確立できるようになります。他の開発では、サブリミナル チャネル全体を回避しようとしています。

通常の人間の言語テキスト用の狭帯域サブリミナル チャネルの簡単な例としては、文中の単語数が偶数の場合はビット「0」に、奇数の場合はビット「1」に関連付けることを定義することが挙げられます。したがって、「こんにちは、お元気ですか?」という質問は、サブリミナル メッセージ「1」を送信します。

デジタル署名アルゴリズムには、1つのサブリミナル広帯域チャネル^[3]と3つのサブリミナル狭帯域チャネル^{[4]がある。}

署名時にパラメータをランダムに設定する必要があります。ブロードバンド チャネルの場合、このパラメータはサブリミナル メッセージで設定されます。 ${\displaystyle k}$${\displaystyle m'}$

1. キー生成
   1. プライムを選択${\displaystyle p=2347}$
   2. プライムを選択${\displaystyle q=23}$
   3. 計算ジェネレータ${\displaystyle g=266}$
   4. 認証キーを選択し、受信者に安全に送信します${\displaystyle x=1468}$
   5. 公開鍵modを計算する${\displaystyle y=g^{x}}$${\displaystyle p=2100}$
2. 署名
   1. メッセージを選択${\displaystyle m=1337}$
   2. （ハッシュ関数はここでは107による剰余に置き換えられます）メッセージのハッシュ値を計算するmod mod${\displaystyle H(m)}$${\displaystyle h=m}$${\displaystyle q=1337}$${\displaystyle 107=53}$
   3. ランダム値の代わりにサブリミナルメッセージが選択される${\displaystyle k=?}$${\displaystyle m'=17}$
   4. サブリミナルメッセージの逆数を計算する${\displaystyle m'^{-1}=19}$${\displaystyle 23}$
   5. 署名値を計算するmod mod mod mod${\displaystyle r=(g^{k}}$${\displaystyle p)}$${\displaystyle q=(266^{17}}$${\displaystyle 2347)}$${\displaystyle 23=12}$
   6. 署名値を計算するmod mod${\displaystyle s=k^{-1}*(h+x*r)}$${\displaystyle q=19*(53+1468*12)}$${\displaystyle 23=3}$
   7. 署名3つ付きメッセージを送信${\displaystyle (1337;12,3)}$
3. 検証中
   1. 受信者はメッセージを3回受け取る${\displaystyle (m;r,s)=(1337;12,3)}$
   2. メッセージハッシュを計算するmod mod${\displaystyle h=H(m)}$${\displaystyle q=1337}$${\displaystyle 107=53}$
   3. 逆数を計算する${\displaystyle w=s^{-1}}$${\displaystyle q=8}$
   4. mod modを計算する${\displaystyle u_{1}=(h*w)}$${\displaystyle q=53*8}$${\displaystyle 23=10}$
   5. mod modを計算する${\displaystyle u_{2}=(r*w)}$${\displaystyle q=12*8}$${\displaystyle 23=4}$
   6. 署名を計算するmod mod mod mod${\displaystyle v=(g^{u_{1}}*y^{u_{2}}}$${\displaystyle p)}$${\displaystyle q=(266^{10}*2100^{4}}$${\displaystyle 2347)}$${\displaystyle 23=12}$
   7. なので、署名は有効です${\displaystyle v=r}$
4. 受信側でのメッセージ抽出
   1. 3つ組から (1337; 12, 3)
   2. メッセージ抽出モッド${\displaystyle m'=8*(53+1468*12)}$${\displaystyle 23=17}$

メッセージ抽出の式は、署名値の計算式を転置することで導出されます。 ${\displaystyle s}$

• ${\displaystyle s=m'^{-1}*(h+xr)}$モッド${\displaystyle q}$
• ${\displaystyle s*m'=h+xr}$モッド${\displaystyle q}$
• ${\displaystyle m'=s^{-1}*(h+xr)}$モッド${\displaystyle q}$

この例では、n = pq の形式であると主張する RSA 係数は、実際には素数 p、q、r に対して n = pqr の形式です。計算により、デジタル署名されたメッセージには正確に 1 ビットの追加ビットを隠すことができることが示されます。この解決策は、アムステルダムのCentrum Wiskunde & Informaticaの暗号学者によって発見され、n が n = pq の形式であるというゼロ知識証明を開発しました。 ^{[要出典]この例は、} Empty Silo Proposalに部分的に影響を受けています。

これは、(RSA アルゴリズムを使用した) PGP 公開鍵 (実際に機能する) です。この鍵は、2 つのサブリミナル チャネルを含むように生成されました。1 つ目は「キー ID」で、通常はランダムな 16 進数ですが、以下は「密かに」変更されて「C0DED00D」と表示されます。2 つ目は、公開鍵の base64 表現です。これもすべてランダムな意味不明な文字列であるはずですが、英語で読めるメッセージ「//This+is+Christopher+Dra​​kes+PGP+public+key//Who/What+is+watcHIng+you//」が挿入されています。これらのサブリミナル メッセージは両方とも、RSA 鍵生成フェーズで乱数生成を改ざんすることで追加されました。

PGP キー。RSA 2020/C0DED00D Fprint: 250A 7E38 9A1F 8A86 0811 C704 AF21 222C
 
 -----PGP 公開鍵ブロックの開始-----
 バージョン: 非公開
 
 mQESAgAAAAAAAAAAEH5Ar//これはChristopher DrakesのPGP公開鍵です//
 誰が/何があなたを監視しているのか//Di0nAraP+Ebz+iq83gCa06rGL4+hc9Gdsq667x
 8FrpohTQzOlMF1Mj6aHeH2iy7+OcN7lL0tCJuvVGZ5lQxVAjhX8Lc98XjLm3vr1w
 ZBa9slDAvv98rJ8+8YGQQPJsQKq3L3rN9kabusMs0ZMuJQdOX3eBRdmurtGlQ6AQ
 AfjzUm8z5/2w0sYLc2g+aIlRkedDJWAFeJwAVENaY0LfkD3qpPFIhALN5MEWzdHt
 Apc0WrnjJDby5oPz1DXxg6jaHD/WD8De0A0ARRAAAAAAAAAAAAAbQvQ2hyaXN0b3Bo
 ZXIgRHJha2UgPENocmlzdG9waGVyLkRyYWtlQFBvQm94LmNvbT60SE5ldFNhZmUg
 c2VjdXJpdHkgc29mdHdhcmUgZGlyZWN0b3IgQ2hyaXN0b3BoZXIgRHJha2UgPE5l
 dFNhZmVAUG9Cb3guY29tPokBEgMFEDPXgvkcP9YPwN7QDQEB25oH4wWEhg9cBshB
 i6l17fJRqIJpXKAz4Zt0CfAfXphRGXC7wC9bCYzpHZSerOi1pd3TpHWyGX3HjGEP
 6hyPfMldN/sm5MzOqgFc2pO5Ke5ukfgxI05NI0+OKrfc5NQnDOBHcm47EkK9TsnM
 c3Gz7HlWcHL6llRFwk75TWwSTVbfURbXKx4sC+nNExW7oJRKqpuN0JZxQxZaELdg
 9wtdArqW/SY7jXQn//YJV/kftKvFrA24UYLxvGOXfZXpP7Gl2CGkDI6fzism75ya
 xSAgn9B7BqQ4BLY5Vn+viS++6Rdavykyd8j9sDAK+oPz/qRtYJrMvTqBERN4C5uA
 IV88P1U=
 =/BRt
 -----PGP公開鍵ブロック終了-----

ブリッケルとデローレンティスの署名方式を修正することで、認証キーを共有する必要のないブロードバンドチャネルが提供される。^[5] ニュートンチャネルはサブリミナルチャネルではないが、拡張機能として見ることができる。^[6]

ゼロ知識証明とコミットメント方式の助けを借りれば、サブリミナルチャネルの使用を防ぐことができます。^{[7] [8]}

この対抗策には1ビットのサブリミナルチャネルがあることに留意する必要がある。その理由は、証明が成功したり、意図的に失敗したりする可能性があるという問題である。^[9]

別の対策としては、ランダム性の潜在意識下での使用を検出することはできるが、それを防ぐことはできない。^[10]

• セミナー: 「秘密チャネルと組み込みフォレンジック」