制度:新 ; 文部省報告番号:甲2646号 ; 学位の種類:博士(理学) ; 授与年月日:2008/3/24 ; 早大学位記番号:新480

Minematsu Kazuhiko

Traditional Chinese

DSpace at Waseda University

 早稲田大学大学院 理工学研究科     博 士 論 文 概 要         論  文  題  目   A Study of Block Cipher Modes for Encryption and Authentication  ブロック暗号モードによる暗号化と認証に関する研究       申  請  者  峯松 一彦  Kazuhiko  Minematsu  数理科学専攻 トポロジー研究       2008 年 3 月    Ｎｏ.1    共 通 鍵 暗 号 と は 、 秘 密 の 情 報 （ 鍵 ） を 共 有 す る 者 同 士 が 、 他 者 に よ る 盗 聴 や 改 ざん に 対 し て 安 全 に 通 信 を 行 う た め の 技 術 で あ る 。 共 通 鍵 暗 号 の 代 表 的 な 要 素 技 術と し て 、 ブ ロ ッ ク 暗 号 E K が あ る 。 こ れ は 、 鍵 K に よ っ て イ ン デ ッ ク ス さ れ る 固定 長 の 置 換 の 集 合 で あ る 。  最 初 の 実 用 的 ブ ロ ッ ク 暗 号 DES の 登 場 以 後 、暗 号 設 計・解 析 の 理 論 が 大 き く 発 展し 、 短 い ブ ロ ッ ク 長 で あ れ ば 、 効 率 的 で か つ 高 い 安 全 性 を 持 つ ブ ロ ッ ク 暗 号 の 構築 が 可 能 と な っ て き た 。 一 方 、 入 出 力 空 間 や 求 め ら れ る 安 全 性 要 件 が 異 な る ア プリ ケ ー シ ョ ン ご と に 一 か ら 実 用 的 暗 号 を 作 る こ と は 大 変 な 労 力 を 伴 う た め 、 実 際の ア プ リ ケ ー シ ョ ン で は 、 ブ ロ ッ ク 暗 号 の 暗 号 運 用 モ ー ド （ 以 下 モ ー ド と 略 す ）と 呼 ば れ る 技 術 が 広 く 用 い ら れ て い る 。 こ れ は 、 固 定 さ れ た n-b i t 入 出 力 の 暗 号処 理 （ ブ ロ ッ ク 暗 号 ） を モ ジ ュ ー ル と し 、 異 な る （ 例 え ば 可 変 長 の ） 入 出 力 空 間を 持 つ 暗 号 処 理 を 実 現 す る も の で あ る 。   本 研 究 の 目 的 は 、 任 意 長 の メ ッ セ ー ジ の 暗 号 化 や 、 通 信 中 の メ ッ セ ー ジ の 改 ざ んを 防 ぐ メ ッ セ ー ジ 認 証 コ ー ド （ Message  Authent i cat ion  Code ,  MAC） な ど を 、モ ー ド に よ り 実 現 す る こ と で あ る 。 こ の 時 、 モ ー ド が 証 明 可 能 安 全 性 と い う 性 質を 持 つ こ と が 重 要 な 条 件 と な る 。 こ れ は 、 モ ー ド の 安 全 性 が ブ ロ ッ ク 暗 号 の 安 全性 に 帰 着 で き る こ と を 指 す 。 ま た こ こ で の 安 全 性 と は 、 あ る 理 想 的 な シ ス テ ム との 計 算 量 的 な 判 別 困 難 性 を 指 す 。 例 え ば 、 適 応 的 に 平 文 を 選 択 し 対 応 す る 暗 号 文を 得 る 攻 撃 を 選 択 平 文 攻 撃 と 言 い 、 ど ん な 多 項 式 時 間 の 選 択 平 文 攻 撃 に よ っ て も一 様 ラ ン ダ ム 関 数 （ ユ ニ ー ク な 入 力 に 対 し 独 立 な 一 様 乱 数 を 出 力 す る ） と の 判 別が 困 難 な ブ ロ ッ ク 暗 号 は 、 擬 似 ラ ン ダ ム 関 数 と 呼 ば れ る 。 擬 似 ラ ン ダ ム 関 数 は 計算 量 理 論 の 基 本 的 仮 定 の 上 で 存 在 が 証 明 さ れ て お り 、 安 全 な ブ ロ ッ ク 暗 号 の 標 準的 モ デ ル で あ る 。  典 型 的 に は 、 n ビ ッ ト ブ ロ ッ ク 暗 号 E K を 用 い た モ ー ド F[E K ]の 安 全 性 証 明 と は 、n-b i t 入 出 力 の E K が 擬 似 ラ ン ダ ム 関 数 の 場 合 に 、 F[E K ]も 擬 似 ラ ン ダ ム 関 数 で ある こ と を 証 明 す る こ と と 言 え る 。 F[E K ]の 入 出 力 空 間 は 、 例 え ば 任 意 の メ ッ セ ージ の 暗 号 化 が 目 的 な ら 、可 変 長 入 出 力（ か つ 入 力 長 ＝ 出 力 長 ）と な る 。一 方 MACの 場 合 は 、出 力 は 固 定 長（ n-b i t）の ま ま 可 変 長 入 力 と な る 。そ の 出 力 は 認 証 子 と呼 ば れ 、 メ ッ セ ー ジ に 付 与 さ れ る 。   本 研 究 で は 、 従 来 方 法 と 同 等 の 証 明 可 能 安 全 性 を 保 ち つ つ 、 よ り 高 速 な モ ー ド を構 築 す る こ と を 目 的 と す る 。 そ の た め の ア プ ロ ー チ を 二 つ 、 そ れ ぞ れ 第 3 章 と 4章 で 示 し て い る 。  一 つ 目 の ア プ ロ ー チ は 、主 に 、MAC を 目 的 と し て い る 。従 来 、CBC-MAC に 代 表さ れ る 、 ブ ロ ッ ク 暗 号 の み を 用 い た MAC の モ ー ド が あ る 。 一 方 、 Almost  Universa l  (AU)ハ ッ シ ュ 関 数 と 呼 ば れ る 、異 な る 入 力 ペ ア に 対 し 出 力 が 一 致 す る Ｎｏ.2    確 率 の み を 保 障 す る 鍵 付 き 関 数 と ブ ロ ッ ク 暗 号 と を 組 み 合 わ せ た CW-MAC と 呼ば れ る モ ー ド が あ る 。  AU ハ ッ シ ュ 関 数 は 、 代 数 的 な 構 成 方 法 が 存 在 し 、 実 装 に 応 じ た 最 適 化 に よ り かな り 高 速 と な る 。 し か し 、 最 適 化 の た め 実 装 上 の 柔 軟 性 が 失 わ れ る な ど の 問 題 があ っ た 。  そ こ で 本 研 究 で は 、従 来 の よ う に ブ ロ ッ ク 暗 号 を ブ ラ ッ ク ボ ッ ク ス と し て 用 い ず 、ブ ロ ッ ク 暗 号 の 構 成 要 素 に 着 目 し 、 こ れ を 取 り 出 し て CW-MAC を 構 成 す る 。  現 実 の ブ ロ ッ ク 暗 号 は 、 比 較 的 シ ン プ ル な 鍵 付 き 置 換 を 、 異 な る 鍵 に つ い て 所 定の 回 数 繰 り 返 す こ と で 構 成 さ れ て い る が 、 こ の 繰 り 返 し 回 数 を 減 ら し た と き 、 いく つ か の ブ ロ ッ ク 暗 号 に つ い て は 差 分 一 様 性 と い う 性 質 を 持 つ こ と が 知 ら れ て いる 。 こ れ は 、 差 分 一 様 性 が 、 差 分 攻 撃 （ 特 定 の 平 文 対 の 差 分 値 に お け る 暗 号 文 対の 差 分 値 の 偏 り を 利 用 す る 暗 号 解 析 手 法 ） に 対 す る 安 全 性 指 標 で あ る こ と に 起 因し て い る 。 例 え ば 米 国 標 準 暗 号 AES は こ の 性 質 を 満 た す こ と が 分 か っ て い る 。  AES で 本 研 究 の 提 案 方 式 を 実 装 し た 場 合 、 AES に よ る CBC-MAC よ り も 約 2 .5倍 高 速 な 方 法 と な る 。 こ の よ う な 方 式 の 現 実 的 な 有 用 性 は き わ め て 高 い と 考 え られ る 。   本 研 究 の 二 つ 目 の ア プ ロ ー チ は 、固 定 長 ブ ロ ッ ク サ イ ズ（ n-b i t）の ブ ロ ッ ク 暗 号を 用 い て 、 任 意 の 大 き い （ 整 数 m>1 に つ い て mn-bi t の ） ブ ロ ッ ク サ イ ズ の ブ ロッ ク 暗 号 を 構 成 す る も の で あ る 。  従 来 の モ ー ド は 、 用 い る ブ ロ ッ ク 暗 号 が 擬 似 ラ ン ダ ム 置 換 （ 逆 関 数 の 存 在 す る 擬似 ラ ン ダ ム 関 数 ） の と き 、 モ ー ド も 擬 似 ラ ン ダ ム 置 換 で あ る と い う 安 全 性 証 明 を示 し て い る 。  こ れ に 対 し て 本 研 究 で は 、 擬 似 ラ ン ダ ム 置 換 よ り 弱 い 暗 号 で あ る 、 弱 擬 似 ラ ン ダム 関 数 と い う ク ラ ス に 着 目 す る 。 こ れ は 、 ラ ン ダ ム に 平 文 を 生 成 す る 既 知 平 文 攻撃 の 元 で 安 全 な 暗 号 の こ と で あ り 、擬 似 ラ ン ダ ム 関 数 よ り 厳 密 に 弱 い 関 数 で あ る 。 本 研 究 の 目 的 は 、 モ ー ド の 構 成 要 素 に 弱 擬 似 ラ ン ダ ム 関 数 も 加 え 、 擬 似 ラ ン ダ ム置 換 の 使 用 を 最 小 限 に し 、 か つ モ ー ド 全 体 の 安 全 性 を 従 来 と 同 等 に 保 つ こ と で ある 。 弱 い 暗 号 ほ ど 高 速 に 動 作 す る 、 と い う 自 然 な 仮 定 の も と 、 こ の ア プ ロ ー チ は従 来 よ り 高 速 な 方 式 と な る こ と が 期 待 で き る 。  結 果 的 に 、本 研 究 で は 、部 品 で あ る 擬 似 ラ ン ダ ム 置 換 の 使 用 を 、 m に 依 ら ず 常 に1 回 、 も う 一 つ の 部 品 で あ る 弱 擬 似 ラ ン ダ ム 関 数 を m-1 回 用 い る こ と で 、 従 来 方法 と 同 等 の 安 全 性 を 持 つ モ ー ド を 提 案 し て い る 。 こ れ は 、 従 来 が 擬 似 ラ ン ダ ム 置換 を 少 な く と も m 回 必 要 と し て い た の に 比 べ る と 、理 論 的 に は 大 幅 な 効 率 化 と なる と い え る 。  さ ら に 、 同 じ ア プ ロ ー チ に よ り 、 よ り 強 力 な （ 復 号 関 数 に も ア ク セ ス で き る ） 選択 暗 号 文 攻 撃 に も 安 全 な 強 擬 似 ラ ン ダ ム 置 換 を 構 成 す る 方 法 も 提 案 し 、 そ の 現 実 Ｎｏ.3     的 な 応 用 と し て 、 ハ ー ド デ ィ ス ク な ど の ス ト レ ー ジ の 暗 号 化 に 対 す る 具 体 的 な モー ド の 提 案 を 行 っ て い る 。                            Ｎｏ.1 早稲田大学 博士（理学） 学位申請 研究業績書  氏 名 峯松 一彦      印 （２００７ 年 １１月 現在） 種 類 別   題名、  発表・発行掲載誌名、  発表・発行年月、  連名者（申請者含む）1. ○論文     2. ○論文      3. 論文      4. ○論文      5. ○論文       6. ○論文      7. ○論文  Improved MACs from Differentially-Uniform Permutations. IEICE TRANSACTIONS on Fundamentals of Electronics, Communications and Computer Sciences, （掲載決定） Kazuhiko Minematsu, Toshiyasu Matsushima  Tweakable Enciphering Schemes from Hash-Sum-Expansion. Kannan Srinathan, C. Pandu Rangan, Moti Yung (Eds): Progress in Cryptology -INDOCRYPT 2007, 8th International Conference on Cryptology in India, Proceedings. Lecture Notes in Computer Science 4859, Springer 2007 （掲載決定） Kazuhiko Minematsu, Toshiyasu Matsushima  New Bounds for PMAC, TMAC, and XCBC.  Alex Biryukov (Ed.): Fast Software Encryption, 14th International Workshop, FSE 2007, Luxembourg, Luxembourg, March 26-28, 2007, Revised Selected Papers. Lecture Notes in Computer Science 4593, pp. 434-451, Springer 2007 Kazuhiko Minematsu, Toshiyasu Matsushima  Improved Security Analysis of XEX and LRW Modes. Eli Biham, Amr M. Youssef (Eds.): Selected Areas in Cryptography, 13th International Workshop, SAC 2006, Montreal, Canada, August 17-18, 2006 Revised Selected Papers. Lecture Notes in Computer Science 4356, pp. 96-113, Springer 2007 Kazuhiko Minematsu  Provably Secure MACs from Differentially-Uniform Permutations and AES-Based Implementations.  Matthew J. B. Robshaw (Ed.): Fast Software Encryption, 13th International Workshop, FSE 2006, Graz, Austria, March 15-17, 2006, Revised Selected Papers. Lecture Notes in Computer Science 4047, pp. 226-241, Springer 2006 Kazuhiko Minematsu, Yukiyasu Tsunoo  Hybrid Symmetric Encryption Using Known-Plaintext Attack-Secure Components.  Dongho Won, Seungjoo Kim (Eds.): Information Security and Cryptology - ICISC 2005, 8th International Conference, Seoul, Korea, December 1-2, 2005, Revised Selected Papers. Lecture Notes in Computer Science 3935, pp. 242-260, Springer 2006 Kazuhiko Minematsu, Yukiyasu Tsunoo  Expanding Weak PRF with Small Key Size.  Dongho Won, Seungjoo Kim (Eds.): Information Security and Cryptology - ICISC 2005, 8th International Conference, Seoul, Korea, December 1-2, 2005, Revised Selected Papers. Lecture Notes in Computer Science 3935, pp. 284-298, Springer 2006 Kazuhiko Minematsu, Yukiyasu Tsunoo   Ｎｏ.2 早稲田大学 博士（理学） 学位申請 研究業績書  種 類 別   題名、  発表・発行掲載誌名、  発表・発行年月、  連名者（申請者含む）8.講演     9.講演     10.講演     11.講演     12.講演    13.その他 (論文)    14.その他 (論文)    15.その他 (講演)    差分一様性を利用した MAC の改良について. 暗号と情報セキュリティシンポジウム、2006 Symposium on Cryptography and Information Security, SCIS 2007, 佐世保, January 23-26, 2007. (2007-01) 峯松 一彦, 松嶋 敏泰  差分一様性を持つ置換を利用したメッセージ認証方式と AES による実装について. 暗号と情報セキュリティシンポジウム、2006 Symposium on Cryptography and InformationSecurity, SCIS 2006, 広島, Japan, January 17-20, 2006. (2006-01) 峯松 一彦, 角尾 幸保  既知平文攻撃に対して安全な部品を組み込んだハイブリッド暗号. 暗号と情報セキュリティシンポジウム、2005 Symposium on Cryptography and Information Security, SCIS 2005, 舞子(神戸), January 25-28, 2005. (2005-01) 峯松 一彦, 角尾 幸保  Luby-Rackoff Construction の一般化とその安全性について. 暗号と情報セキュリティシンポジウム、2004 Symposium on Cryptography and Information Security, SCIS 2004, 仙台, January 27-30, 2004. (2004-01) 峯松 一彦, 角尾 幸保  Luby-Rackoff 暗号における安全性証明の拡張について. 電子情報通信学会技術研究報告. ISEC, Vol.102, No.323(20020913) pp. 9-15, (2002-09)峯松 一彦, 角尾 幸保  Improving cache attacks by considering cipher structure.  International Journal of Information Security, Volume 5, Number 3, July 2006, pp. 166-176 Yukiyasu Tsunoo, Etsuko Tsujihara, Maki Shigeri, Hiroyasu Kubo, Kazuhiko Minematsu Shorter bit sequence is enough to break stream cipher LILI-128.  IEEE Transactions on Information Theory Volume 51, Number 12, December 2005, pp. 4312-4319 Yukiyasu Tsunoo, Teruo Saito, Maki Shigeri, H. Kubo, Kazuhiko Minematsu  キャッシュ攻撃の成功確率の解析. 暗号と情報セキュリティシンポジウム、2003 Symposium on Cryptography and Information Security, SCIS 2003, 浜松, January 26-29, 2003. (2003-01) 峯松 一彦, 角尾 幸保, 辻原 悦子        Ｎｏ.3 早稲田大学 博士（理学） 学位申請 研究業績書  種 類 別   題名、  発表・発行掲載誌名、  発表・発行年月、  連名者（申請者含む）16.その他 (論文)    17.その他 (論文)    18.その他 (講演)    19.その他 (講演) Cryptanalysis of Block Ciphers implemented on Computers with Cache. International Symposium on Information Theory and Its Application (ISITA'2002), Xi'an, PRC, October 7-11, 2002. Yukiyasu Tsunoo, Etsuko Tsujihara, Kazuhiko Minematsu, Hiroshi Miyauchi  On a Secure Digital Watermark Detection Protocol Using Patchwork Watermarking.International Symposium on Information Theory and Its Application (ISITA'2000), Honolulu, Hawaii, U.S.A., November 5-8, 2000 (2000).  Kazuhiko Minematsu  安全なオンライン電子透かし検出プロトコルについて. 第 22 回情報理論とその応用シンポジウム予稿集, (SITA'99,）pp.625-628, November30-December 3, (1999-11) 峯松 一彦  直交表現された仮説の学習に関する一考察. 第 20 回情報理論とその応用シンポジウム予稿集, (SITA'97) pp.701-704, December 2-5, (1997-12)      

ブロック暗号モードによる暗号化と認証に関する研究

制度:新 ; 文部省報告番号:甲2646号 ; 学位の種類:博士(理学) ; 授与年月日:2008/3/24 ; 早大学位記番号:新4809textthesi

峯松, 一彦

33162

Minematsu, Kazuhiko

Waseda University Repository

 早稲田大学大学院 理工学研究科     博士論文審査報告書         論  文  題  目  A Study of Block Cipher Modes for Encryption and Authentication  ブロック暗号モードによる 暗号化と認証に関する研究         申  請  者  峯松 一彦  Kazuhiko  Minematsu  数理科学専攻 情報数学研究       2008 年 3 月   1インターネットにおける商取引、電子政府など、近年の情報通信技術により可能となった高度な経済・社会活動において、個人情報などを守るための代表的セキュリティ技術である共通鍵暗号は必要不可欠の要素となっている。共通鍵暗号とは、秘密の情報（鍵）を共有する者同士が、他者による盗聴や改ざんに対して安全に通信を行うための技術を指す。その代表的な要素技術として、ブロック暗号がある。ブロック暗号 E K は、鍵 K によって番号付けされる固定長の置換の集合で定義される。置換の入出力長のことをブロック長と呼ぶ。  最初の実用的ブロック暗号 DES の登場以後、暗号設計・解析の理論が大きく発展し、短いブロック長であれば、効率的でかつ高い安全性を持つブロック暗号の構築が可能となってきた。一方、任意長のメッセージの暗号化や、通信中のメッセージの改ざんを防ぐメッセージ認証コード（ Message Authentication Code,  MAC）など、入出力空間や安全性要件が異なるアプリケーションごとに一から実用的暗号を作ることは大変な労力を伴うため、多くの現実のシステムでは、単一のブロック暗号をモジュールとして用いて、もとのブロック暗号とは異なる機能や入出力空間を持つ暗号処理を実現している。この技術はブロック暗号の暗号運用モード（以下ブロック暗号モード、もしくは単にモードと略す）と呼ばれる。  モードの安全性は用いるモジュールに依存するが、モジュールが満たすべき安全性の条件が明示的に示せること、すなわち、モードの安全性が用いるモジュールの安全性に帰着できることが、実用と理論双方の観点から望ましい。ここでのモジュールおよびモードの安全性とは、ある理想的に安全なシステムとの計算量的な判別困難性を指す。例えば、任意の長さのメッセージの暗号化が目的ならば、可変長の入力（平文）と出力（暗号文）を持ち、出力から入力を求める逆関数が存在するような疑似ランダム関数を安全な暗号とみなす。ここで、擬似ランダム関数とは、どのような適応的に平文を選択し暗号文を得る攻撃（選択平文攻撃）によっても、多項式時間で真のランダム関数（任意の入力について一様乱数を出力する関数）との判別が困難な暗号（関数）と定義される。別の例として，MACが目的の場合は、出力は比較的短い固定長で、可変長入力を持つ疑似ランダム関数を安全な MAC とみなす。  本研究の目的は、個々のモジュールの安全性を仮定したもとで、所望の安全性が証明可能なモードを構築することである。従来の代表的モードでは、ブロック暗号 EK を n ビット入出力の疑似ランダム関数と仮定したもとで、EK のみをモジュールとして用い、任意の長さのメッセージの暗号化や MAC の要件を満たすモードを構築し、それが所望の疑似ランダム関数であることを証明することで安全性を保証していた。  本研究においては、まずモードの概念を拡張し、ブロック暗号を含めた複数種類のモジュールを用いることも可能とした。また安全性の帰着についても一般化し、個々のモジュールの安全性条件とモードの安全性条件とは必ずしも一致しなくてよいこととした。すなわち、本研究では複数種類のモジュールを許すため、各モジュールにはそれぞれの安全性（擬似ランダム関数以外の安全性基準でもよい）を仮定したもとで、所望の安全性を満たすことが証明可能なモードをそれら 2のモジュールを用いて構築することを目的とする。本研究では、モードとその安全性の概念を上記のように拡張し、その理論面と実用面での有効性を、第 3 章と4 章で、それぞれ異なるアプローチにより示している。  第 3 章では、主に MAC の構成を目的としている。従来、Cipher Block Chaining (CBC)-MAC に代表される、ブロック暗号のみを用いた MAC のモードがある。一方、 Almost Universal  (AU)ハッシュ関数と呼ばれる、異なる入力ペアに対し出力が一致する確率の上界のみを保証する鍵付き関数とブロック暗号とを組み合わせた Cater-Wegman (CW)-MAC と呼ばれるモードがある。 AU ハッシュ関数は、代数的な構成方法が存在し、実装に応じた最適化によりかなり高速となることが知られている。しかし、最適化のため実装上の柔軟性が失われるなどの問題があった。そこで本研究では、ブロック暗号以外のある鍵付き置換と、ブロック暗号とを組み合わせた方式を提案している。この方式は、前者の置換が差分一様性という性質を持ち、ブロック暗号が疑似ランダム関数であるときに、モード内部でAU ハッシュ関数を構成し、従来と同等の安全性をもつ CW-MAC を実現している。 こ こ で モ ジ ュ ー ル に 対 し て 仮 定 し た 差 分 一 様 性 と い う 条 件 は 擬 似 ラ ン ダ ム 性よりも遙かに弱い条件であり、通常のブロック暗号を簡略化しても達成されることが期待される。これは、差分一様性が、差分攻撃（特定の平文対の差分値における暗号文対の差分値の偏りを利用する暗号解析手法）に対する安全性指標であり、この攻撃法からのブロック暗号の安全性を保証するため、標準のブロック暗号のサブルーチンに必ず含まれている性質と考えられる。具体的には、米国標準暗号 (Advanced Encryption Standard, AES)は、段関数と呼ばれる比較的単純な鍵付き置換を、異なる鍵について 10 回繰り返すことで構成されているが、4 回の繰り返しでも十分な差分一様性を持つことが知られている。この事実を利用し、AES で提案方式を実装した場合、AES による CBC-MAC よりも約 2.5 倍高速な方法となる。提案方式は、AES 実装の一部を利用し、有限体の積などの代数的演算を要しないため、ハード・ソフトを問わず、従来の AES そのものを用いたモードよりも高速である。さらに、計算量的な仮定としてモジュールとして用いたブロック暗号 AES の擬似ランダム性のみ仮定することで、従来法と同等の理論的安全性を持つ。これらの利点を併せ持つ方式は今まで存在せず、実用上極めて重要な成果であり、高く評価できる。 第 4 章では、 n ビットブロック長のブロック暗号を用いて、任意の大きい（整数 m>1 について mn ビットの）ブロック長のブロック暗号を構成することを目的とする。モードの安全性の基準としては、擬似ランダム置換もしくは強擬似ランダム置換である。前者は暗号文から平文を求める逆関数が存在する擬似ランダム関数であり、後者はさらにその逆関数も疑似ランダム置換となることを求める。  従来のモードは、モジュールとして用いるブロック暗号が疑似ランダム関数・置換もしくは強疑似ランダム置換であるという条件のもとで安全性を証明していた。これに対して本研究では、モジュールとして疑似ランダム関数・置換より弱い暗号である、弱擬似ランダム関数を用いる点に新規性がある。弱擬似ランダム関数とは、ランダムに平文を生成する既知平文攻撃によって真のランダム関数と 3判別困難な鍵付き関数のことである。  本研究の目的は、モードのモジュールとして弱擬似ランダム関数と、それより強い関数（疑似ランダム関数・置換や強疑似ランダム置換）を用い、強い関数の最小限の使用のもと、モード全体の安全性を従来と同等に保つことである。弱い暗号ほど高速に動作する、という自然な仮定のもと、このアプローチは従来法より高速な方式となることが期待できる。結果的に、 mn ビットブロック（強）疑似ランダム置換の構成において、モジュールである n ビットブロック（強）擬似ランダム置換を m によらず常に 1 回と、n ビットブロック弱擬似ランダム関数をm-1 回用いるモードを提案している。これは、従来が n ビットブロック擬似ランダム置換もしくは強疑似ランダム置換を少なくとも m 回必要としていたのに比べると、理論的に大幅な効率化を達成している。これらの成果は極めて理論的なものであるが、本研究はこれらの理論的成果の現実的な応用として、ハードディスクなどのストレージの暗号化に対する具体的なモードの提案も行っている。弱疑似ランダム関数を積極的に用いて、より強い関数の使用回数を最小限にするというアプローチは、従来 W. Aiello らによる研究しか存在せず、またのその安全性証明などに不完全な点が多かった。４章の成果は弱い関数と強い関数を組み合わせるというアプローチを初めて包括的かつ理論的に扱い、有用性を示したものであり、理論的に興味深い、極めて重要な成果である。  また本研究のその他の理論的特長として、 3 章と 4 章の提案方式の安全性証明において、U. Maurer により提案された条件付き確率分布を用いたアプローチを用いていることが挙げられる。一般にモードの安全性証明は、 2 者（攻撃者と暗号）の相互作用により定義される複雑な確率論的問題となり、従来極めて複雑なゲーム理論的アプローチがとられてきた。しかし本研究は一貫して Maurer の枠組みを用いることで、直感的に明確でかつ精密な証明を示している。 Maurer の枠組みは比較的新しく、実際の適用事例は少ないが、本研究はその枠組みの本質をとらえ、問題に応じて様々に一般化することで有効性を実証している点が非常に興味深い。  以上を総括すると、本論文はブロック暗号モードの概念と安全性基準を拡張し、その拡張に基づいた理論的なモード構成方法を示している。同時に、従来法より少ない計算量を達成しつつ、従来と同等の理論的安全性を保証する実用的な方式を提案し、理論上のみならず実用上の見地からも重要な成果を示している。よって本論文は博士（理学）の学位論文として価値のある論文と認める。   2008 年  3 月  審査員（主査  ）早稲田大学教授  博士（工学）早稲田大学  松嶋  敏泰     早稲田大学教授  工学博士（早稲田大学）  大石  進一  早稲田大学教授  工学博士（大阪大学）  平澤  茂一  

A study of block cipher modes for encryption and authentication = Burokku ango modo ni yoru angoka to ninsho ni kansuru kenkyu

https://waseda.repo.nii.ac.jp/?action=repository_action_common_download&item_id=19984&item_no=1&attribute_id=20&file_no=2

ブロック暗号モードによる暗号化と認証に関する研究

Abstract

Similar works

Full text

Available Versions

DSpace at Waseda University

Waseda University Repository