Microsoft PowerPoint - 6-盛合--日文.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - 6-盛合--日文.ppt"

なおとべ
5 years ago
Views:

1 CLEFIA Sony s s Lightweight Block Cipher Shiho Moriai Sony Corporation 1

2 目次ソニーにおける暗号技術ソニーのブロック暗号 :CLEFIA 設計の背景アルゴリズム仕様設計方針実装性能評価まとめ 2

3 ソニーにおける暗号技術暗号 / 情報セキュリティ技術搭載製品の増加各種暗号アルゴリズム著作権保護機器認証電子マネー & 権利管理システム小型省電力暗号に対する強いニーズ AES を超える優れた暗号 CLEFIA の開発へ 3

4 CLEFIA 設計の背景 AES プロジェクト開始 (1997~) から 10 年 AES プロジェクト攻撃法の進化代数攻撃関連鍵攻撃新しい攻撃法への対策暗号設計法の進化 IC カード, RFID などのアプリケーション拡大制約条件の厳しい環境下でも実装可能なブロック暗号のニーズ 4

5 設計の動機最新の研究成果, 設計手法によりどこまで安全かつ小さく高速な 128 ビットブロック暗号を設計できるか? 安全性実装コスト速度 5

6 CLEFIA のアルゴリズム仕様ソニー共通鍵ブロック暗号ブロック長 :128 ビット鍵長 :128/192/256 ビット基本構造 Type-2 一般化 Feistel 構造 (GFN) データ処理部, 鍵スケジュール部ともにラウンド数 :18 (128ビット鍵) 22 (192ビット鍵) 26 (256ビット鍵) 6

7 Type-2 一般化 Feistel 構造 32 ビット 7

8 データ処理部スケジュール部8 鍵鍵スケジュール部鍵 ( ラウンド数を削減した ) データ処理部 DoubleSwap DoubleSwap DoubleSwap DoubleSwap DoubleSwap DoubleSwap : : : : 部平文暗号文

9 F 関数 SP 型 S0 S1 S0 S1 行列 M S1 S0 S1 S0 行列 M a 8 1 a 2 2 a 1 8 a

10 設計方針全体構造一般化 Feistel 構造拡散行列 DSM: Diffusion Switching Mechanism の利用 S-box 異なる代数構造に基づくコンパクトな S-box 鍵スケジュール部安全性とコンパクト実装が両立可能 10

11 Feistel vs. 一般化 Feistel F F F F F F F F F F F F 11 一般化 Feistel 構造の特徴 F 関数のサイズが小さい複数の F 関数が同時に実行できる多くのラウンド数が必要拡散行列切り替え法 (DSM) により削減可能

12 拡散行列切り替え法 (DSM) DSM:Diffusion Switching Mechanism Feistel 構造において, 複数の拡散行列を組み合わせることにより従来より少ない繰り返し処理で差分 / 線形攻撃への耐性を高める手法 M 0 : MDS 行列, M 1 : MDS 行列でかつ M 0 M 1 : MDS 行列となるように設計 *MDS: Maximum Distance Separable M 0 M 0 M 1 M 1 M 0 M 0 12

13 DSM の効果差分 / 線形攻撃に対する耐性の向上隣接するラウンド関数間の difference cancellation / linear mask cancellation を防止同じラウンド数の差分 / 線形特性に含まれる Active S-boxの最少個数が多くなることを保証できる必要な総ラウンド数を削減可能 CLEFIA のケースでは 25% ラウンド数が削減 13

14 2 種類の S-box S 0 S 1 SS 0 SS SS 1 SS 8 3 f x - 1 in GF(2 8 ) g 4 ビット S-box ベース使用例 :Whirlpool, FOX f, g: GF(2) 上 affine 変換 GF(2 8 ) 上逆元関数ベース使用例 :AES, Camellia 異なる代数構造代数攻撃系への耐性向上 2 種類の S-box の利用 ( 配置も考慮 ) 飽和攻撃 (Saturation Attack) 等への耐性向上 14

15 鍵スケジュール部 (128 ビット鍵 ) 128 ビット鍵 12 ラウンド : ラウンド鍵 DoubleSwap RK 0,..,RK 3 DoubleSwap RK 4,..,RK 7 DoubleSwap RK 8,..,RK ビット中間鍵 DoubleSwap RK 12,..,RK 15 DoubleSwap 関数 DoubleSwap RK 16,..,RK bit 57bit 7 DoubleSwap RK 20,..,RK 23 : : : 57bit bit

16 鍵スケジュール部一般化 Feistel 構造データ処理部と共有可能関連鍵攻撃に対する耐性を向上 DoubleSwap 関数シンプルなビット置換演算ながら攪拌効果大暗号化時も復号時も同じ処理でラウンド鍵生成最終ラウンドから第 1ラウンドへ戻るのも容易 16

17 安全性評価差分攻撃線形攻撃差分線形攻撃 Boomerang 攻撃 Amplified Boomerang 攻撃 Rectangle 攻撃 Truncated 差分攻撃 Truncated 線形攻撃不能差分攻撃飽和攻撃 Gilbert-Minier Collision 攻撃高階差分攻撃補間攻撃 XSL/ 代数攻撃 χ 2 /Statistical 攻撃スライド攻撃関連暗号攻撃関連鍵攻撃関連鍵 Boomerang 攻撃関連鍵 Rectangle 攻撃 17

18 ハードウェア実装性能 ASICで5Kgate 以下で実装可能 * 面積当たり速度でAESを上回る最高性能 ** * 0.09μmCMOS 標準セルライブラリ使用 ** 使用 ASIC ライブラリの差 (0.09μm, 0.13μm) を考慮した公平な比較のために CLEFIA の性能を 1.5 で割っても. 18

19 面積当たりの速度 CLEFIA はゲート当たりの速度 ( グラフ上の傾き ) で最も優れた特性をもつ ISO/IEC 国際標準暗号参考文献菅原, 本間, 青木, 佐藤, "128 ビットブロック暗号 CLEFIA の ASIC 実装. コンピュータセキュリティシンポジウム 2007, pp , 2007

20 ゲート規模とゲート効率の関係ゲート効率 (Kbps/gate) CLEFIA の最高ゲート効率 167 Kbps/gate CLEFIA はゲート規模が小さいときに高いゲート効率を達成する特性をもつ = 小型実装向き AES の最高ゲート効率 71 Kbps/gate ゲート規模 (Kgates)

21 消費電力ゲート規模サイクル数を最小にする実装による比較断面積 : ゲート規模 4950gate 36cycle 特に小型実装の際の消費電力において CLEFIA が優れる 5398gate 54cycle 小型 / 省電力 * 実装アルゴリズム暗 / 復号 (cycle) ゲート規模 (gate) 速度 (Mbps) [1] T. Shirai, K. Shibutani, T. Akishita, S. Moriai, T. Iwata: The 128-Bit Blockcipher CLEFIA (Extended Abstract). FSE 2007: [2] A. Sato, S. Morioka, Hardware-Focused Performance Comparisons for the Standard Block Ciphers AES, Camellia, and Triple-DES, ISC 03 (cycles) ゲート効率 (Kbps/gate) プロセス (nm) 出典 CLEFIA 36 4, nm [1] AES 54 5, nm [2]

22 高速コンパクト H/W 実装への寄与点一般化 Feistel 構造小さな F 関数逆関数が不要 DSM によりラウンド数を削減データ処理部と鍵スケジュールが共有可能各パーツが非常にコンパクト拡散行列 ( 遅延も小さい ) S-box DoubleSwap 関数 22

23 ソフトウェア実装性能 Athlon64 上で 12.9cycles/byte, 1.48Gbps を達成 * AMD Athlon 64 プロセッサ (2.4GHz) を使用し, Windows XP 64-bit Edition 上で動作. コードはアセンブラ実装. 23

24 ソフトウェア実装性能 S-box 参照回数は AES より少ないもののデータ依存性が高い. AES: 160 回, CLEFIA: 144 回 2 ブロック並列実装では依存性は低減. * AMD Athlon 64 プロセッサ (2.4GHz) を使用し, Windows XP 64-bit Edition 上で動作. コードはアセンブラ実装. 24

25 まとめソニーにおける暗号技術の重要性ソニーのブロック暗号 :CLEFIA の紹介高速かつコンパクトな実装が可能 Lightweight アプリケーションに最適安全性実装コスト速度 25

CLEFIA_ISEC発表

CLEFIA_ISEC発表 128 ビットブロック暗号 CLEFIA 白井太三渋谷香士秋下徹盛合志帆岩田哲ソニー株式会社名古屋大学目次背景アルゴリズム仕様設計方針安全性評価実装性能評価まとめ 2 背景 AES プロジェクト開始 (1997~) から 10 年 AES プロジェクト攻撃法の進化代数攻撃関連鍵攻撃新しい攻撃法への対策暗号設計法の進化 IC カード, RFID などのアプリケーション拡大