Classical/Quantum Security Analyses of Symmetric Key Cryptosystems

本研究は量子コンピュータ時代にも適した共通鍵暗号技術の開発に向け、主要な共通鍵暗号技術を取り上げ、これらの安全性解析を古典的攻撃と、量子攻撃の両方の観点から行うもので、本年度は主に下記の成果を得た。1) ブロック暗号の構成について、一般化Feistel暗号の構成要素として、tweak長とブロック長が等しいtweakableブロック暗号を用いた方式の安全性解析を行い、繰り返し回数（ラウンド数）と古典的安全性のトレードオフを明らかにした。より詳細には、tweak長とブロック長がnビットであるtweakableブロック暗号を用いるtype-1、type-2、type-3一般化Feistel暗号を考える。全体の入出力長がdnビットであるブロック暗号を構成し、type-1の場合、選択平文攻撃に対しては2d-2ラウンドで安全性証明ができ、3d-2ラウンドでは指数関数的に安全性が向上することを示した。同様に、type-1、type-2、type-3の選択暗号文攻撃に対する安全性が証明できるラウンド数と、指数関数的に安全性が向上するラウンド数を明らかにした。これらの証明のための新たな手法を導入するとともに、安全性定理と一致する攻撃手法を開発し、安全性解析が厳密であることを示した。2) Googleが開発したディスクセクタ暗号であるAdiantumについて、Shorのアルゴリズムを用いた量子線形化攻撃に対する安全性解析を行った。また、McGrewとFluhrerによって提案されたtweakable enciphering方式であるXCBv2の量子攻撃に対する安全性について、部分鍵回復攻撃が知られていたのに対し、偽造攻撃と平文回復攻撃の検討を行った。

本研究は量子コンピュータ時代にも適した共通鍵暗号技術の開発に向け、主要な共通鍵暗号技術を取り上げ、これらの安全性解析を古典的攻撃と、量子攻撃の両方の観点から行うもので、本年度は主に下記の成果を得た。1) ブロック暗号の構成について、一般化Feistel暗号の構成要素として、tweak長とブロック長が等しいtweakableブロック暗号を用いた方式の安全性解析を行い、繰り返し回数（ラウンド数）と古典的安全性のトレードオフを明らかにした。より詳細には、tweak長とブロック長がnビットであるtweakableブロック暗号を用いるtype-1、type-2、type-3一般化Feistel暗号を考える。全体の入出力長がdnビットであるブロック暗号を構成し、type-1の場合、選択平文攻撃に対しては2d-2ラウンドで安全性証明ができ、3d-2ラウンドでは指数関数的に安全性が向上することを示した。同様に、type-1、type-2、type-3の選択暗号文攻撃に対する安全性が証明できるラウンド数と、指数関数的に安全性が向上するラウンド数を明らかにした。これらの証明のための新たな手法を導入するとともに、安全性定理と一致する攻撃手法を開発し、安全性解析が厳密であることを示した。2) Googleが開発したディスクセクタ暗号であるAdiantumについて、Shorのアルゴリズムを用いた量子線形化攻撃に対する安全性解析を行った。また、McGrewとFluhrerによって提案されたtweakable enciphering方式であるXCBv2の量子攻撃に対する安全性について、部分鍵回復攻撃が知られていたのに対し、偽造攻撃と平文回復攻撃の検討を行った。