ホワイトボックス暗号

暗号理論 において、ホワイトボックスモデルとは、攻撃者が暗号実装（最も一般的にはAdvanced Encryption Standard （AES）などのブロック暗号）に完全に無制限にアクセスできる極端な攻撃シナリオを指します。さまざまなセキュリティ目標が設定される可能性があり（後述のセクションを参照）、最も基本的な目標は「破られないこと」であり、実装にハードコードされた秘密鍵を（限定された）攻撃者が抽出できないようにすると同時に、実装が完全に機能する必要があることを意味します。対照的に、ブラックボックスモデルは、分析対象の暗号プリミティブへのオラクルアクセス（暗号化および/または復号クエリの形式）のみを提供します。また、その中間には、いわゆるグレーボックスモデルと呼ばれるモデルがあり、これは実装からの追加情報漏洩（より一般的にはサイドチャネル漏洩と呼ばれる）に対応します。

ホワイトボックス暗号とは、ホワイトボックス実装の設計と攻撃の手法に関する実践と研究のことです。デジタル著作権管理（DRM）、有料テレビ、マルウェアが存在する場合の暗号鍵の保護、^{[ 1 ]}モバイル決済、暗号通貨ウォレットなど、多くの用途があります。ホワイトボックス実装を採用しているDRMシステムの例としては、CSSやWidevineなどがあります。

ホワイトボックス暗号は、より一般的な難読化の概念、特に不可能であることが証明されているブラックボックス難読化、および最近、十分な根拠のある仮定の下で構築されたものの、今のところ実際に実装することが不可能な不可分性難読化と密接に関連している。 ^{[ 2 ]}

2023年1月現在、標準的な対称暗号方式の、破られていないホワイトボックス設計は公には知られていません。一方、圧縮不可能性を実現するために特別に設計された専用ブロック暗号の、破られていないホワイトボックス実装は多数存在します（§ セキュリティ目標を参照）。

アプリケーションによっては、ホワイトボックス実装に求められるセキュリティ目標が異なる場合があります。特に、対称鍵アルゴリズムでは、次のものが区別されます。^{[ 3 ]}

• 破られることのないセキュリティは最も基本的な目標であり、限定された攻撃者がホワイトボックス実装に埋め込まれた秘密鍵を復元できないようにする必要がある。この要件がなければ、攻撃者は暗号化方式の参照実装と抽出した鍵を単純に利用できるため、他のすべてのセキュリティ目標は達成不可能となる。

• 一方向性とは、暗号化方式のホワイトボックス実装が、限定された攻撃者によって暗号文の復号に使用できないことを意味します。この要件により、対称暗号化方式は実質的に公開鍵暗号化方式となり、ホワイトボックス実装は埋め込まれた秘密鍵に関連付けられた公開鍵の役割を果たします。このアイデアは、1976年のディフィーとヘルマンの有名な研究^{[ 4 ]}で、公開鍵暗号化の候補として既に提案されていました。

• コードリフティングに対するセキュリティは、ホワイトボックスプログラムが実行される環境における非公式な要件です。これは、攻撃者がプログラムの機能的なコピーを抽出できないことを要求するものです。この目標は、特にDRM（デジタル著作権管理）の分野で重要となります。この目標を達成するために、コード難読化技術がよく用いられます。

一般的に用いられる手法は、ホワイトボックス実装をいわゆる外部エンコーディングと組み合わせることである。^{[ 1 ]}これらは、アプリケーションのホワイトボックス部分によって計算される関数を変更する軽量な秘密エンコーディングである。コードの難読化技術を用いて、アプリケーションの他の部分でその効果が不可視な方法でキャンセルされることが求められる。あるいは、キャンセルする対応物をリモートサーバーに適用することもできる。

• 非圧縮性とは、攻撃者が特定のホワイトボックス実装を大幅に圧縮できないことを意味します。これは、制約のあるデバイス（組み込みデバイスやモバイルデバイスなど）から大きなプログラムを抜き出すには時間がかかり、ファイアウォールによって容易に検出される可能性があるため、コードリフティングのセキュリティを実現する方法と見なすことができます（上記参照） 。^{[ 5 ]}

圧縮不可能な設計の例としては、SPACE暗号^{[ 5 ]} 、 SPNbox ^{[ 6 ]} 、 WhiteKeyおよびWhiteBlock ^{[ 7 ]}などがある。これらの暗号は、秘密のマスターキーから擬似乱数的に生成できる大きなルックアップテーブルを使用する。これによりマスターキーの復元は困難になるが、ルックアップテーブル自体が同等の秘密キーの役割を果たす。したがって、解読不可能性は部分的にしか達成されない。

• トレーサビリティ（裏切り者追跡）では、配布される各ホワイトボックス実装にデジタル透かしが含まれている必要があり、これにより、ホワイトボックスプログラムが漏洩して一般に配布された場合に、犯人を特定することができます。

ホワイトボックスモデルとホワイトボックスDESおよびAES実装の初期試みは、2003年にChow、Eisen、Johnson、van Oorshotによって初めて提案されました。^{[ 1 ] [ 8 ]}この設計は、暗号をルックアップテーブルのネットワークとして表現し、小さな（4ビットまたは8ビットの）ランダムエンコーディングでテーブルを構成することによって難読化することに基づいています。このような保護により、難読化された各テーブルは個別に秘密鍵に関する情報を一切含まないという特性が満たされます。したがって、潜在的な攻撃者は、分析において複数のテーブルを組み合わせる必要があります。

最初の2つのスキームは、2004年にビレット、ギルバート、エチ・チャトビによって構造暗号解読を用いて解読された。^{[ 9 ]}この攻撃はその後「BGE攻撃」と呼ばれるようになった。

2005年から2022年にかけて行われた数多くの設計試み^{[ 10 ]}は、実用的な専用攻撃によってすぐに破られた。^{[ 11 ]}

2016年、Bos、Hubain、Michiels、Teuwenは、標準的なサイドチャネル電力解析攻撃の応用により、既存のホワイトボックス設計のほとんどを効率的かつ完全に自動的に破ることができることを示した。^{[ 12 ]}この結果は、一般的な攻撃（相関ベース、代数的、フォールトインジェクション）とそれらに対する防御に関する新たな研究方向を生み出した。^{[ 13 ]}

WhibOxコンテストは、 2017年、2019年、2021年、2024年の4回開催されました。これらのコンテストでは、学術界と産業界の両方からホワイトボックス設計者が参加し、（難読化されている場合もある）C言語コードの形で実装を提出しました。同時に、誰もがこれらのプログラムを攻撃し、埋め込まれた秘密鍵を復元することができました。各コンテストは約4～5ヶ月間開催されました。

• WhibOx 2017 / CHES 2017 キャプチャー・ザ・フラッグ・チャレンジは、標準的なAESブロック暗号を対象としていました。提出された94の実装のうち、すべてが競技中に解読されましたが、最も強力な実装は28日間解読されずに残りました。

• WhibOx 2019 / CHES 2019 キャプチャー・ザ・フラッグ・チャレンジでは、再び AES ブロック暗号がターゲットとなった。提出された 27 の実装のうち、3 つのプログラムはコンテストを通して破られなかったが、公開から 51 日後に破られた。^{[ 14 ] [ 15 ]}

• WhibOx 2021 / CHES 2021 キャプチャー・ザ・フラッグ・チャレンジでは、楕円曲線に基づくデジタル署名方式であるECDSA をターゲットに変更しました。提出された 97 の実装のうち、すべて最大 2 日以内に破られました。^{[ 16 ] [ 17 ]}

• WhibOx 2024 / CHES 2024 キャプチャー・ザ・フラッグ・チャレンジは、今回もECDSAをターゲットとした。提出された47の実装のうち、すべてが競技中に破られ、最も強力な実装はほぼ5日間破られなかった。

• ブラックボックス難読化、より強力な難読化手法だが、不可能であることが証明されている
• 不可分性難読化、難読化のより形式的な理論的概念
• 難読化（ソフトウェア）、非暗号化コードの難読化
• デジタル著作権管理は、ホワイトボックス暗号の広く利用されている応用例である。

• WhibOxコンテスト