代数的暗号解読アルゴリズムに対して証明可能な安全性を実現する暗号設計法

2002 Fiscal Year Annual Research Report

• Project/Area Number: 14750313
• Research Institution: National Institute of Information and Communications Technology
• Principal Investigator: 田中 秀磨 独立行政法人通信総合研究所, 情報通信部門非常時通信グループ, 研究員 (30328570)
• Keywords: 暗号 / 共通鍵暗号 / ブロック暗号 / 代数的暗号解読アルゴリズム / 高階差分攻撃 / 証明可能安全性

Research Abstract

代数的暗号解読アルゴリズムに対して証明可能安全性を実現する暗号設計法に関する研究の準備段階として、代数的解読アルゴリズムの代表的手法である高階差分攻撃の拡張性を2つの側面から研究を実施した。1つ目は、暗号アルゴリズムに用いられる鍵スケジュールに注目した拡張法である。一般に暗号アルゴリズムはユーザが直接使用する秘密鍵から、暗号化の途中で中間変数として使用する拡大鍵を生成する。この拡大鍵が攻撃者に都合良く選ばれた場合、そうでない場合と比較すると格段に安全性が低下する。また、鍵スケジュールが弱いと、解読のための攻撃方程式中の鍵に関する項の代数次数が低くなり、より容易に方程式を求められる。このような視点から64ビットブロック暗号MISTY1に対して攻撃実験を行った。MISTY1は我が国の電子政府利用において推奨暗号アルゴリズムであるだけでなく、ヨーロッパにおける暗号評価プロジェクトにおいても、標準に採用された暗号アルゴリズムである。その結果、128[bit]の秘密鍵中32[bit]に条件を付けると、8段中6段まで攻撃が可能であることが分かった。この結果は、直接にMISTY1の安全性を脅かすものではないが、鍵スケジュールの設計が実装性能を重視した傾向にあることを明らかにした。2つ目は、途中出力の高階差分値を攻撃者に都合良く制御する方法である。MISTY1に適用した場合、FL関数の無い簡略版については、1段目の鍵32[bit]に対応する制御sub-blockを推定する上一段消去法を提案することにより8段中7段まで攻撃可能であることを示した。以上より、一般に代数的解読アルゴリズムに対する耐性は、暗号化関数の代数次数の高さで保証されると考えられているが、拡張法まで含めて考えると、これだけで評価するのは安直である。今後は、どのようなデザインが有効か、主に線形変換の効果について研究を進める予定である。

Research Products

• [Publications] 泰野康生 田中秀磨, 金子敏信: "An Optimized Algebraic Method for Higher Order Differential Attack"Applied Algebra, Algebraic Algorithms, and Error Correcting Codes (AAECC 15). (2003)
• [Publications] 杉尾信行, 田中秀磨, 金子敏信: "A study on Higher Order Differential Attack of KASUMI"Proceedings 2002 International Symposium on Information Theory and Its Applications. Volume 1. 755-758 (2002)
• [Publications] 田中秀磨, 杉尾信行, 金子敏信: "鍵スケジュールを考慮したブロック暗号に対する攻撃に関する一考察"2003年暗号と情報セキュリティシンポジウム予稿集. Volume 1. 363-368 (2003)
• [Publications] 白田麻貴子, 杉尾信行, 泰野康生, 田中秀磨, 金子敏信: "MISTY1における上一段消去法の適用に関する一考察"2003年暗号と情報セキュリティシンポジウム予稿集. Volume 1. 457-462 (2003)