対称鍵アルゴリズム

対称鍵アルゴリズム^[a]は、平文の暗号化と暗号文の復号化の両方に同じ暗号鍵を使用する暗号化アルゴリズムです。鍵は同一である場合もあれば、2 つの鍵間で単純な変換が行われる場合もあります。^[1]鍵は、実際には、 2 つ以上の当事者間の共有秘密を表し、プライベート情報リンクを維持するために使用できます。^[2]両方の当事者が秘密鍵にアクセスできる必要があることは、公開鍵暗号化(非対称鍵暗号化とも呼ばれる)と比較した場合の対称鍵暗号化の主な欠点の 1 つです。 ^{[3] [4]ただし、対称鍵暗号化アルゴリズムは通常、バルク暗号化に適しています。}ワンタイム パッドを除けば、対称鍵のサイズは小さく、ストレージ スペースが少なく、転送が高速になります。このため、非対称鍵暗号化は、対称鍵暗号化の秘密鍵を交換するためによく使用されます。^{[5] [6] [7]}

対称鍵暗号化では、ストリーム暗号またはブロック暗号のいずれかを使用できます。^[8]

ストリーム暗号は、メッセージの数字（通常はバイト）または文字（置換暗号の場合）を1つずつ暗号化します。例としてはChaCha20があります。置換暗号はよく知られた暗号ですが、頻度表を使用して簡単に復号化できます。^[9]

ブロック暗号は、複数のビットを単一の単位で暗号化し、プレーンテキストにパディングを加えてブロック サイズの倍数にします。2001年 12 月にNISTによって承認されたAdvanced Encryption Standard (AES) アルゴリズムは、128 ビットのブロックを使用します。

一般的な対称鍵アルゴリズムの例としては、Twofish、Serpent、AES（Rijndael）、Camellia、Salsa20、ChaCha20、Blowfish、CAST5、Kuznyechik、RC4、DES、3DES、Skipjack、Safer、IDEAなどがあげられる。^[10]

対称暗号は、暗号化以外の暗号化プリミティブを実現するためによく使用されます。 ^{[引用が必要]}

メッセージを暗号化しても、暗号化中に変更されないことは保証されません。そのため、暗号文への変更が受信者に確実に通知されるように、暗号文にメッセージ認証コードが追加されることがよくあります。メッセージ認証コードは、 AEAD暗号 (例: AES-GCM )から作成できます。

ただし、対称暗号は、追加の当事者を関与させない限り、否認防止の目的には使用できません。^[11] ISO/IEC 13888-2標準を参照してください。

もう 1 つの用途は、ブロック暗号からハッシュ関数を構築することです。このようないくつかの方法の説明については、 一方向圧縮関数を参照してください。

現代のブロック暗号の多くは、ホルスト・ファイステルが提案した構造に基づいています。ファイステルの構造により、それ自体は可逆でない関数から可逆な関数を構築することが可能になります。^[要出典]

対称暗号は歴史的に既知平文攻撃、選択平文攻撃、差分解読、線形解読の影響を受けやすい。各ラウンドの関数を注意深く構築することで、攻撃が成功する可能性を大幅に減らすことができます。^[要出典]また、攻撃に対する保護を強化するために、暗号化プロセスの鍵の長さやラウンドを増やすことも可能です。ただし、これにより処理能力が増加し、システムが実行する必要がある操作の量によりプロセスの実行速度が低下する傾向があります。^[12]

現代の対称鍵アルゴリズムのほとんどは、ポスト量子暗号の脅威に耐性があるようです。^[13] 量子コンピュータは、これらの暗号を解読できる速度を飛躍的に向上させます。特に、グローバーのアルゴリズムは、従来のブルートフォース攻撃に必要な時間の平方根しかかかりませんが、これらの脆弱性は鍵の長さを2倍にすることで補うことができます。^[14]たとえば、128ビットのAES暗号は、すべての可能な反復をテストするために必要な時間が10京年以上から約6か月に短縮されるため、このような攻撃に対して安全ではありません。対照的に、量子コンピュータが256ビットのAES暗号を解読するのにかかる時間は、従来のコンピュータが128ビットのAES暗号を解読するのにかかる時間と同じです。^[15]このため、AES-256は「量子耐性」があると考えられています。^{[16] [17]}

対称鍵アルゴリズムでは、メッセージの送信者と受信者の両方が同じ秘密鍵を持っている必要があります。初期の暗号化システムでは、送信者または受信者のいずれかが、物理的に安全なチャネルを介して何らかの方法でその秘密鍵のコピーを受信する必要がありました。

ほぼすべての最新の暗号化システムでは、依然として内部的に対称鍵アルゴリズムを使用してメッセージの大部分を暗号化していますが、Diffie-Hellman 鍵交換またはその他の公開鍵プロトコルを使用して各セッション/会話の新しい秘密鍵について安全に合意することにより、物理的に安全なチャネルの必要性を排除しています (前方秘匿性)。

鍵転送に非対称暗号を使用する場合、対称暗号セッション鍵を生成するために疑似ランダム鍵生成器がほぼ常に使用されます。しかし、これらの生成器やその初期化ベクトルのランダム性の欠如は悲惨であり、過去に暗号解読につながっています。したがって、実装では初期化に高エントロピーのソースを使用することが不可欠です。^{[18] [19] [20]}

相互暗号とは、暗号文を得るために暗号システムに平文を入力するのと同じように、暗号文をシステム内の同じ場所に入力して平文を得ることができる暗号である。相互暗号は自己相互暗号とも呼ばれる。^{[21] [22]}

事実上、すべての機械式暗号機は、入力された文字ごとに数学的な反転を行う相互暗号を実装しています。暗号化用と復号化用の2種類の機械を設計する代わりに、すべての機械を同一にして、同じ方法で設定（キー設定）することができます。^[23]

相互暗号の例には次のものがあります。

• アトバシュ
• ボーフォート暗号^[24]
• エニグマ機械^[25]
• マリー・アントワネットとアクセル・フォン・フェルゼンは相互暗号を使って通信した。^[26]
• ポルタ多文字暗号は自己相互的である。^[27]
• 紫色の暗号^[28]
• RC4
• ROT13
• XOR暗号
• ヴァツヤヤナ暗号

現代の暗号の大部分は、ストリーム暗号（そのほとんどは相互XOR 暗号コンバイナを使用する）か、ブロック暗号（そのほとんどは各ラウンドで相互変換を伴うFeistel 暗号またはLai-Massey 方式を使用する）のいずれかに分類できます。^{[出典が必要]}