情報セキュリティ特論（1 - kaoru kurosawa...

情報セキュリティ特論（1）情報セキュリティ特論（1）

黒澤馨（茨城大学）黒澤馨（茨城大学）

[email protected]

2011/1/13 confidential 1

教科書・参考書教科書・参考書

現代暗号の招待現代暗号への招待：

黒澤馨 (著), ( ),サイエンス社

現代暗号の基礎数理

黒澤馨、尾形わかは（著）

電子情報通信学会編（コロナ社）電子情報通信学会編（コロナ社）


講義内容講義内容

• 暗号の歴史

• 確率確率

• メッセージ認証コード


暗号の歴史暗号の歴史

ザ鍵• シーザー暗号から公開鍵暗号まで


暗号

来•従来：軍事・外交軍事・外交

•現在：ビジネス個人のプライバシビジネス、個人のプライバシ


シーザー暗号（１）

•（平文）ＨＡＬ↓ ↓ ↓

•（暗号文）ＩＢＭ（暗号文）ＩＢＭ


シーザー暗号（2）

ゴズ•アルゴリズム何文字かずらすという手順何文字かずらすという手順

•鍵ずらす文字数ずらす文字数


外交と暗号

ワシントン軍縮交渉（１９２１年）•ワシントン軍縮交渉（１９２１年）軍艦保有数の英米と日本の比率軍艦保有数の英米と日本の比率

本主張•日本の主張１０：７•譲歩の用意１０：６•譲歩の用意１０：６（暗号解読で知られていた）


紫暗号（旧海軍）

•解読するのは至難のわざ解読するのは至難のわざ

•米の天才フリードマンらが成功ミッドウェイ海戦に圧勝ミッドウェイ海戦に圧勝山本五十六大将の戦死山本十大将戦死


エニグマ暗号（ドイツ)

•解読するのは至難のわざ解読するのは至難のわざ

•英の天才チューリングらが成功Ｕボトの被害減少Ｕボートの被害減少


天才チューリング

•チューリング賞チュリング賞

グ機械•チューリング機械計算可能とは何か計算可能とは何か


世界初のコンピュータ

•コロッサス（英、１９４３年）コロッサス（英、１９４３年）エニグマ暗号の解読

•戦後処分•戦後、処分設計図も焼却処分厳重な緘口令


栄誉はエニアックへ

•１９４５年１９４５年米ペンシルバニア大学の

カとクエッカートとモークリー

•１８，０００本の真空管•毎秒５，０００回の計算


アメリカでは

•ウィーナーウィナ砲弾を命中させるために計算機製作を言上計算機の製作を言上

•ノイマン•ノイマンプログラム内蔵を提唱

•シャノン情報理論

2011/1/13 confidential 14情報理論

発熱しない真空管を作れ

•１９４７年トランジスタ１９４７年トランジスタブラッテンバデバーディンショックレーショックレ

•１９５４年パラメトロン後藤英

2011/1/13 confidential 15後藤英一

戦後の暗号

•計算機を利用した解読計算機を利用した解読

計算機を利た製作•計算機を利用した製作

•計算機を所有していたのは政府機関と軍関係のみ


１９６０年代

•計算機の性能向上計算機の性能向上

般企業も所有•一般企業も所有し、

•暗号を送金や商取引に

標準化の要望2011/1/13 confidential 17

•標準化の要望

Ｓ暗号ＤＥＳ暗号

•１９７６年米国標準暗号に制定米国標準暗号に制定

•アルゴリズムは公開鍵み秘密鍵のみ秘密

平文＝６４ビット平文＝６４ビット暗号文＝６４ビット

2011/1/13 confidential 18鍵長＝５６ビット

ＤｅｅｐＣｒａｃｋ

•１９９９年１９９９年ＤＥＳ暗号を２２時間で破る

•製作費用•製作費用わずか２５万ドル


ＡＥＳ暗号

•次期暗号をコンテストで募る次期暗号をコンテストで募る

決定（年）•Ｒｉｊｎｄａｅｌに決定（２００１年）平文１２８ビット平文１２８ビット暗号文１２８ビット鍵長１２８、１９４、２５６ビット


共通鍵暗号の弱点

•送信者と受信者が鍵を共有送信者と受信者が鍵を共有

どうや鍵を送するか•どうやって鍵を配送するか？

スーツケースに入れて運ぶ手間と費用が大変


公開鍵暗号の登場

•暗号化鍵ｐｋを公開！！暗号化鍵ｐｋを公開！！

•復号鍵ｓｋのみを秘密

•ただし、、ｐｋからｓｋを求めることは困難


ＤＨとＲＳＡ

•１９７６年１９７６年Diffie and Hellman が概念

•１９７７年•１９７７年ＲＳＡ暗号暗号


英のＧＣＨＱ

•実は、１９７５年以前に実は、１９７５年以前に公開鍵暗号

•秘密厳守•秘密厳守•特許もとらず


代表的な公開鍵暗号代表的な公開鍵暗号

• RSA暗号

N=pqの素因数分解の困難さを利用N pqの素因数分解の困難さを利用

• ElGamal暗号

有限巡回群上の離散対数問題を利用


現代暗号理論

•デジタル署名デジタル署名•電子選挙•電子現金•電子現金•放送型暗号系零知識証明などなど•零知識証明などなど

計算機科学の一大分野に成長



• 暗号の歴史

• 確率確率

教科書、２章p.8～• メッセージ認証コード


確率とは確率とは

さを考標本空間• さいころを考える

1

標本空間

={1,2,・・・,6} Pr(1) Pr(2) ・・・・・・・・・ Pr(6)

U確率分布1|

6確率関数

Pr(1)=Pr(2)=・・・=

( ) ( ) ( )

61

確率分布

6

1 2 3 4 5 6さいころ


確率とは確率とは

さを考標本空間• さいころを考える

1

標本空間

={1,2,・・・,6} Pr(1) Pr(2) ・・・・・・・・・ Pr(6)

U確率分布1|

6確率関数

Pr(1)=Pr(2)=・・・=

( ) ( ) ( )

61

確率分布

6

(1) i 1 6に対し

1 2 3 4 5 6さいころ

(1) i = 1,・・・,6に対し

Pr(i)≧0(2) P (1) P (6) 1(2) Pr(1)+・・・+Pr(6) = 1


• 定義１

以下の性質が成り立つとき、

（標本空間 U 確率関数Pr）の組を（標本空間 U、確率関数Pr）の組を

確率分布と呼ぶ

（１）各 u∈ U に対し、 Pr(u)≧0（２） Σ Pr(u) = 1（２） Σu Pr(u) = 1


• |U| = 集合Uの要素数

ば• たとえば、

U = { 1, 2, ・・・ , 6 } のとき、|U| = 6U { 1, 2, , 6 } のとき、|U| 6• 定義２

各 ∈ U に対し各 u∈ U に対し、

Pr(u) =1

Pr(u) =

が成り立つ確率分布を一様分布という

U成り確率分布を様分布う


Pr(A) = + =61

61

31

1|

6

Pr(A) 6 6 3

1 2 3 4 5 61 2 3 4 5 6


Pr(A) = + =61

61

31

1|

6

Pr(A) 6 6 3

1 2 3 4 5 61 2 3 4 5 6

事象A


Pr(A) = + =61

61

31

1|

6

Pr(A) 6 6 3

1 2 3 4 5 6

• 定義３

1 2 3 4 5 6

事象A

• 定義３

標本空間Uの部分集合Aを事象と呼び、

Pr(A) = Pr(μ) と定義する

Aμ

と定義する。


Pr(A) = + =61

61

31

Pr(A) = 1 - =31

32

1|

6

Pr(A) 6 6 3 Pr(A) 1 3 3

1 2 3 4 5 6

• 定義３

1 2 3 4 5 6

事象A 余事象A

• 定義３

標本空間Uの部分集合Aを事象と呼び、

( ) ( )Pr(A) = Pr(μ) と定義する。

Aμ

事象Aの補集合Aは余事象と呼ばれ、

Pr(A) = 1 – Pr(A)2011/1/13 confidential 35

Pr(A) = 1 Pr(A)

A B

A∩B

A∪B

２つの部分集合、A,B ⊆ に対し

A∪B

U|A∪B| = |A| + |B| － |A∩B|


A B

A∩B

A∪B

２つの部分集合、A,B ⊆ に対し

A∪B

U|A∪B| = |A| + |B| － |A∩B|

確率においても、同様に

Pr(A∪B) = Pr(A) + Pr(B) － Pr(A∩B)≦ Pr(A) + Pr(B)


≦ Pr(A) + Pr(B)

• （例）コインを2枚投げる

2枚目

1枚目H T

H = 表

H

T

H H

T H

H T

T T

T = 裏

標本空間 UT T H T T

Pr(HH)=Pr(HT)=Pr(TH)=Pr(TT)=1/4Pr(HH) Pr(HT) Pr(TH) Pr(TT) 1/4



2枚目

1枚目H T

H = 表

H

T

H H

T H

H T

T T

T = 裏


少なくとも回は表が出る少なくとも一回は表が出る

事象AA = { HH,HT,TH }, Pr(A) = ¼ + ¼ + ¼ = ¾Pr(A) = ¼ + ¼ + ¼ = ¾



2枚目

1枚目H T

H = 表

H

T

H H

T H

H T

T T

T = 裏


少なくとも回は表が出る少なくとも一回は表が出る

事象AA = { HH,HT,TH }

余事象A余事象AA = { TT },


B1 B2 Bn・・・・・・・・

= U

B1 B2 Bn

AA

• 標本空間がn個の事象

割仮

UB1,B2,・・・,Bnに分割されていると仮定する。

すると、任意の事象Aに対し

Pr（A） = Pr（A∩B） = Pr(A|B )・Pr(B )n

n

Pr（A） = Pr（A∩Bi） = Pr(A|Bi)・Pr(Bi)i 1

i 1


B1 B2 Bn・・・・・・・・

= U

B1 B2 Bn

AA

ベイズの定理

Pr(B1 | A) = Pr(A | B1) ・Pr(B1) / ΣPr(A | Bi)・Pr(Bi)



• 暗号の歴史

• 確率確率

• メッセージ認証コード

教科書, p.12～


なりすまし攻撃なりすまし攻撃

アリスボブ

好き

敵


改ざん攻撃改ざん攻撃

アリスボブきらい好き

敵


メッセージ認証メッセージ認証平文認証子

アリス鍵 K

ボブ鍵 K

（好き,Tag）鍵 K 鍵 K

なりすまし攻撃敵

・なりすまし攻撃

・改ざん攻撃


方式方式

• p=大きな素数

• 鍵 K=(a b) ← {0 1 p-1}鍵 K (a,b) ← {0, 1, …, p 1}• 平文 m ∈ {0, 1, …, p-1}• Tag=a・m+b mod p


送信者のアルゴリズム送信者のアルゴリズム

• 平文 m ∈ {0, 1, …, p-1}• 鍵 K=(a b) ← {0 1 p-1}鍵 K (a,b) ← {0, 1, …, p 1}

• アリスは、

Tag =a・m+b mod pTag =a m+b mod pを計算し、(m,Tag)をボブに送る。


受信者のアルゴリズム受信者のアルゴリズム

• 平文 m ∈ {0, 1, …, p-1}• 鍵 K=(a b) ← {0 1 p-1}鍵 K (a,b) ← {0, 1, …, p 1}

• (m,Tag)を受け取ったボブは、

Tag=a・m+b mod pTag=a m+b mod p• が成り立てばaccept



アリス鍵 K

ボブ鍵 K

（m,Tag）（ b）鍵 K 鍵 K=

（a,b）

= （a,b）

敵,

• p＝素数

• 鍵 a,b ← {0,1,2,・・・,p-1} からランダムに選

• 平文 m ∈ {0 1 2 ・・・ p 1}2011/1/13 confidential 52

• 平文 m ∈ {0,1,2,・・・,p-1}


アリス鍵 K

ボブ鍵 K

（m,Tag）（ b）鍵 K 鍵 K=

（a,b）

= （a,b）

敵,

Tag = am + b mod p pは素数

• 鍵 a,b ← {0,1,2,・・・,p-1} からランダムに選ぶ

平文 m ∈ {0 1 2 ・・・ p-1}2011/1/13 confidential 53

平文 m ∈ {0,1,2, ,p-1}

定理定理

• 本方式においては、

Pr(なりすまし成功) = 1/pPr(改ざん成功) = 1/p


なりすまし攻撃なりすまし攻撃

アリスボブ

K=(a b)

m, Tag

K=(a,b)

敵

ボブ accepts ifT b dTag=a×m+b mod p


なりすまし確率なりすまし確率

定

アリスボブ

(m, Tag)=固定

敵 K=(a,b):ランダム

Pr(ボブ accepts)P (T b d= Pr(Tag=a×m+b mod p

となる鍵(a,b)を持っている)


なりすまし攻撃

b 0 1 2 p 1

なりすまし攻撃

ba

0 （0,0）（0,1）（0,2）（0,p-1）

0 1 2 p-1

・・・

・・・

標本空間 U21 （1,0）

（2,0）・・・・・

A・・・p-1

・・・

・

（p-1,0）（p-1,p-1）・・・・・・・・・

Tag = a m + b mod pTag = a m + b mod pとなる(a,b)の集合A


ba

0 （0 0）（0 1）（0 2）（0 p-1）

0 1 2 p-1

・・・

・・・

標本空間 U210 （0,0）（0,1）（0,2）（0,p-1）

（1,0）（2,0）

・・・・A 標本空間 U

・・・p-1

（ , ）

・・・

・・・

（p-1 0）（p-1 p-1）・・・・・・・・・

A

A = ボブがだまされるという事象

p 1 （p 1,0）（p 1,p 1）

A = ボブがだまされるという事象

= （Tag = a m + b mod p ）が成り立つ事象

固定


ba

0 （0 0）（0 1）（0 2）（0 p-1）

0 1 2 p-1

・・・

・・・

標本空間 U210 （0,0）（0,1）（0,2）（0,p-1）

（1,0）（2,0）

・・・・

Tag=am+b標本空間 U

・・・p-1

（ , ）

・・・

・・・

（p-1 0）（p-1 p-1）・・・・・・・・・

mod p

Pr(A) =

p 1 （p 1,0）（p 1,p 1）

この面積Pr(A) =

全面積


ba

0 （0 0）（0 1）（0 2）（0 p-1）

0 1 2 p-1

・・・

・・・

標本空間 U210 （0,0）（0,1）（0,2）（0,p-1）

（1,0）（2,0）

・・・・


・・・p-1

（ , ）

・・・

・・・

（p-1 0）（p-1 p-1）・・・・・・・・・

mod p

Pr(A) =

p 1 （p 1,0）（p 1,p 1）

この面積Pr(A) =

全面積

この式が成り立つ（ b）の個数この式が成り立つ（a,b）の個数

（a,b）の総数=


ba

0 （0 0）（0 1）（0 2）（0 p-1）

0 1 2 p-1

・・・

・・・

標本空間 U210 （0,0）（0,1）（0,2）（0,p-1）

（1,0）（2,0）

・・・・


・・・p-1

（ , ）

・・・

・・・

（p-1 0）（p-1 p-1）・・・・・・・・・

mod p

Pr(A) =

p 1 （p 1,0）（p 1,p 1）

この式が成り立つ（a,b）の個数Pr(A) =

（a,b）の総数 = p2


ba

0 （0 0）（0 1）（0 2）（0 p-1）

0 1 2 p-1

・・・

・・・

分

210 （0,0）（0,1）（0,2）（0,p-1）

（1,0）（2,0）

・・・・

Tag=am+b分子：

aを決めると、・・・p-1

（ , ）

・・・

・・・

（p-1 0）（p-1 p-1）・・・・・・・・・

mod p aを決めると、bが決まる。

Pr(A) =

p 1 （p 1,0）（p 1,p 1）


（a,b）の総数 = p2

a = 0 → b = taga = 1 → b = tag - m

a = p-1 → b = tag - （p-1）m・・・

p個


a p 1 → b tag （p 1）m

ba

0 （0 0）（0 1）（0 2）（0 p-1）

0 1 2 p-1

・・・

・・・

標本空間 U210 （0,0）（0,1）（0,2）（0,p-1）

（1,0）（2,0）

・・・・


・・・p-1

（ , ）

・・・

・・・

（p-1 0）（p-1 p-1）・・・・・・・・・

mod p

Pr(A) =

p 1 （p 1,0）（p 1,p 1）


（a,b）の総数

=p a = 0 → b = tag=

=1p 2 a = 1 → b = tag - m

a = p-1 → b = tag - （p-1）m・・・

p個

2011/1/13 confidential 63p a p 1 → b tag （p 1）m

∀ P( )• ∀x ,P(x)全てのx各各x任意のxF

に対し、P(x)が成り立つ

For any x

• ∀x ,∀y,P(x,y), y, ( ,y)全ての(x,y)

各(x,y) に対し、P(x,y)が成り立つ各( ,y)任意の(x,y)

に対し、P(x,y)が成り立つ

1• ∀m, ∀Tag, Pr(なりすまし攻撃でボブが騙される) = p

1



アリスボブ（m,Tag）（m’,Tag’）鍵 K 鍵 K=

（ b）

= （a,b）m’ ≠ m

敵（a,b）




（ b）

= （a,b）事象A m’ ≠ m

敵（a,b）

if accept = 事象B



任意に固定


（ b）

= （a,b）事象A

敵（a,b）

if accept = 事象B


• 事象A = {（a,b）| Tag = a・m + b mod p }• 事象B = {（a,b）| Tag’ = a・m’ + b mod p }

• ∀m, ∀Tag, ∀m’(≠m), ∀Tag’Pr(ボブが騙される)

P (A∩B)= Pr(B|A) = Pr(A∩B)Pr(A)

= 事象A,Bが成り立つ(a,b)の数

事象Aが成り立つ(a b)の数p1＝


事象Aが成り立つ(a,b)の数p

方式方式

平文 {0 1 1}• 平文 m ∈ {0, 1, …, p-1}• 鍵 (a,b) ← {0, 1, …, p-1}( , ) { , , , p }• アリスは、

Tag=a・m+b mod pTag=a・m+b mod pを計算し、(m,Tag)をボブに送る。

• ボブは、

Tag=a・m+b mod pTag a m+b mod p• が成り立てばaccept


定理定理

• 本方式においては、

Pr(なりすまし成功)=1/pPr(なりすまし成功) 1/pPr(改ざん成功)=1/p


長いメッセージの場合長いメッセージの場合

• 平文 m1, m2 ∈ {0, 1, …, p-1}• 鍵 (a b c) ← {0 1 p-1}鍵 (a, b, c) ← {0, 1, …, p 1}• Tag=a・m1+b・m2+c mod p


演習(1)演習(1)

• この方式においても、

Pr(なりすまし成功)=1/pPr(なりすまし成功) 1/pPr(改ざん成功)=1/p

が成り立つことを証明せよ。


演習(2)演習(2)

以下の方式の以下の方式の

Ｐｒ(なりすまし成功)、Pr(改ざん成功)( ) (改 )を求めよ。

• 平文 m1, m2 ∈ {0, 1, …, p-1}• 鍵 (a, c) ← {0, 1, …, p-1}• Tag=a・m1+a2・m2+c mod pTag a m1+a m2+c mod p


情報セキュリティ特論（1 - kaoru kurosawa...

Documents