AESについて　輪講資料

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

Ad

AES
-Advanced Encryption Standard-
2021/06/25発表
@S0R4Suk7
輪講資料
1

0．使用書籍、論文
2

使用書籍、論文
【主題本】
暗号技術のすべて
【副読】
NIST FIPS197 AES
https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.197.pdf
※追記
(注意)
高専4年の学生である私...

1．AESとは
4

AESとは
Advanced Encryption Standard(高度暗号化標準)の略
1997年にアメリカ国立標準技術研究所(NIST)の主導で公募が
行なわれ、いくつか候補があった中でRijndaelという暗号方式
がAESとして選出さ...

何に使われているのか
Wi-Fi,STL/TTL,ファイルの圧縮などの暗号化に使われている。
特にWi-Fiは一般的なワードとして世間に浸透しているが、そ
の暗号化方式や安全性については理解していない人が多い
AESとは何か？
を調べると、Wi...

Wi-Fiの暗号化
Windowsでネットワークの設定
をみると「セキュリティの種類」
が表示されている
セキュリティの種類には3種ある
・WPA2-PSK
・WPA-PSK
・WEP
※パーソナルはPSKを使うやり方を表している
※エンタープ...

Wi-Fiの暗号化
認証プロトコル暗号化プロトコル暗号化アルゴリズム
WPA2-PSK
CCMP AES
TKIP RC4
WPA-PSK
CCMP AES
TKIP RC4
WEP WEP RC4
8

Wi-Fiの暗号化
認証プロトコル暗号化プロトコル暗号化アルゴリズム
WPA2-PSK
CCMP AES
TKIP RC4
WPA-PSK
CCMP AES
TKIP RC4
WEP WEP RC4
現状多くのWi-Fiルータで使われている...

AESの分類について
間違ってはいけないのはAESが
暗号化アルゴリズムであること
暗号化のやり方の一つという認識はちょっと違う
○暗号化方式 AES、DES、RC4
×暗号化の規格 WPA2、WPA
暗号化のプロトコルと暗号化のアルゴリズムは...

他の暗号化アルゴリズムとの比較
・AES
通信データを区切り、置き換え・並び替えのセットを複数回繰り返すアルゴリズム
セキュリティが最も強固
・DES/3DES
一定量のデータをブロック単位で暗号化するアルゴリズム
ブロック長が56bitと短く...

2．暗号化処理
12

改めてAESとは
・暗号化の方式の一つ
・ブロック長が128ビットのブロック暗号
・鍵長は128、192、256ビットに対応している
・SPN構造を採用している
・1ラウンドで4つの処理を行う
13

改めてAESとは復習１
・ブロック長が128ビットのブロック暗号
ブロック暗号
一定の大きさの平文(データを一定の長さごとに区切って) を
処理する暗号
AESは128ビットごとに区切って暗号化していく。
14

改めてAESとは復習２
・鍵長は128、192、256ビットに対応している
鍵長によって処理を実行する回数(ラウンド数)が違う
暗号化は4Wordごとに行う(後述)。
そのためKeyの数は鍵長を32bitで割った値となる
鍵長によってラウンド...

改めてAESとは復習３
・SPN構造を採用している
SPN構造
・換字処理と転置処理を繰り返し適用する構造
・全ビットにサブ鍵を作用可能
・ラウンド数が小さい
・暗号化と復号が同じアルゴリズムにならない
16

改めてAESとは
・1ラウンドで4つの暗号化のための処理を行う
暗号化処理の流れ
1.SubBytes(換字処理)
2.ShiftRows(転置処理)
3.MixCulmns(演算による線形変換)
4.AddRoundKey(サブ鍵との排他的論...

AESの処理手順大まかな流れ
最初にAddRoundKeyを行う
その後以下を(Nr-1)回繰り返す
・SubBytes
・ShiftRows
・MixColumns
・AddRoundKey
最後に以下を実行する
(MixColumnsは実...

AESの処理手順はじめに
ここから先は原理的(数学的に)に成り立ちを考えたい…だが、高専4年の時点では数学的に考える上
で必要な基礎知識が全く足りていない(習っていない数学的知識が多分に含まれている。)
→今回の輪講ではAESでの「サブ鍵作成...

AESの処理手順はじめに
AESでは1ブロック(128bit)を4×4の正方行列とみる。
処理中の正方行列をStateと呼ぶ
1要素1byte(8bit)、1列が1Word(4byte=32bit)
→処理を列または行ごとに行うからKeyの数...

AddRoundKey
AddRoundKey
Word(列)ごとにround keyとstateのXORをとる
round keyは鍵生成アルゴリズムによって暗号鍵から生成する
鍵生成アルゴリズム→KeyExpansion(最後に説明)
21

SubBytes
SubBytes
128bitの入力データを8bitごとに
区切り、各ブロックごとに換字変換
を行う関数。
置換表(S-box)に沿って変換を行う。
S-boxの計算方法は後々。
例題
入力データaが以下のとき、結果は？
(1...

SubBytes
SubBytes
128bitの入力データを8bitごとに
区切り、各ブロックごとに換字変換
を行う関数。
例題
平文aが以下のとき、結果は？
(1)a=0011 0001b
x=0011=0x3
y=0001=0x1
A.0...

SubBytes 補足
S-boxの算出方法
24
入力ビット
アフィン変換の式
アフィン変換の式
出力出力

ShiftRows
ShiftRows
右図のようにデータを入れ替える
r行目に対してr-1の左ローテート
を行う
例題
|1|2|3|4|
|5|6|7|8|
|9|A|B|C|
|D|E|F|0|
をShiftRowsにかけるとどうなる？
...

ShiftRows
ShiftRows
右図のようにデータを入れ替える
r行目に対してr-1の左ローテート
を行う
例題
|1|2|3|4|→ |1|2|3|4|
|5|6|7|8|→ |6|7|8|5|
|9|A|B|C|→ |B|C|9|A...

MixColumns
MixColumns
線形処理を行っていく関数。
以下の行列計算を行う
ここで、通常の行列計算とは少し計算の方法が異なることに注意する
通常はS0,i
′
= 𝑥・ 𝑆0,𝑖 + 𝑥 + 1 ・ 𝑆1,𝑖 + 𝑆2,𝑖 +...

MixColumns
1ページ前で説明したことを元にMixColumnsの列変換式は以下の形。
変換式は上の通り(x)、({02}・x)、({03}・x)の3種類。
(x)はそのままの値、({02}・x)は2倍なので1ビットシフト、
({03}...

MixColumns
桁あふれが起きたとき、数学の表現で「既約多項式を使用して剰余を
取る」という計算を行う。(暗号技術のすべてP.178 ステップ2)
既約多項式：𝑥8 + 𝑥4 + 𝑥3 + 𝑥 + 1
また、ここでは2進数8ビットを多項式...

MixColumns 補足① 群・環・体
30

MixColumns 補足② 既約多項式
既約多項式
【定義】
Aを単位的可環とする。
定数でないA上の多項式𝑓(𝑥)が定数とf(x)の定数倍を除くA上の全ての多項式で割り
切れないとき、f(x)をA上既約と呼ぶ。
【定理】
体K上の定数でない...

3．暗号化実例
32

NISTのFIPS197に実例が公開されているのでこの1ラウンド分の処理をみてみる
原理を知る前に実例をみてみる
33

入力と暗号鍵をまずは4×4の正方行列に成形していく
入力はState、暗号鍵はRoundKeyとなる
これに対してそれぞれ先ほど説明した暗号化処理を行っていく
実例正方行列化
32 88 31 e0
43 5a 31 37
f6 30 98 ...

Stateを入力として、RoundKeyとのXORを取る
0x32→00110010 0x43→01000011
0x2b→00101011 0x7e→01111110
XOR →???????? XOR →????????
実例 AddRou...

Stateを入力として、RoundKeyとのXORを取る
0x32→00110010 0x43→01000011
0x2b→00101011 0x7e→01111110
XOR →00011001→0x19 XOR →00111101→0x3d...

Stateを入力として、S-boxの表を参照しながら換字を行っていく
0x19→0xd4 0x3d→0x27 0xe3→0x11 0xbe→0xae...
実例 SubBytes
State
19 a0 9a e9
3d f4 c6 f8
e3...

Stateを入力として、S-boxの表を参照しながら換字を行っていく
実例 SubBytes
State
S-box
19 a0 9a e9
3d f4 c6 f8
e3 e2 8d 48
be 2b 2a 08
State'
d4 e0 b8...

Stateを入力として、r行目-1回左ローテートを行う
実例 ShiftRows
State State'
d4 e0 b8 1e
27 bf b4 41
11 98 52 52
ae f1 e5 30
d4 e0 b8 1e
27 bf b4...

Stateを入力として、r行目-1回左ローテートを行う
実例 ShiftRows
State
ShiftRows
d4 e0 b8 1e
bf b4 41 27
52 52 11 98
30 ae f1 e5
State'
d4 e0 b8 1...

Stateを入力として、GF(28)との行列の積をとる
ここで、Stateの各要素も多項式として表してみる(左1列だけで一旦考える)
0xd4=11010100=??????
実例 MixColumns
State
d4 e0 b8 1e
bf...

Stateを入力として、GF(28)との行列の積をとる
ここで、Stateの各要素も多項式として表してみる(左1列だけで一旦考える)
0xd4=11010100=𝑥7 + 𝑥6 + 𝑥4 + 𝑥2
実例 MixColumns
x x+1 1 1...

MixColumnsでは＋をXOR、・を次の既約多項式を法とする多項式の積とすること
を念頭に置き、行列の計算を行う。
多項式でXORの計算
係数付き多項式の計算は剰余の計算なので＋も－も関係ない。→偶数個は0になる
実例 MixColumns...

実例 MixColumns
State
d4 e0 b8 1e
bf b4 41 27
52 52 11 98
30 ae f1 e5
x x+1 1 1
1 x x+1 1
1 1 x x+1
x+1 1 1 x
GF(2)
×
04 e0 ...

AddRoundKeyをする前に、RoundKey'をRoundKeyから生成する
色んなサイトなどでAESの解説を見たが、ここについて書かれていることは少ない
NISTのFIPS197をみると、RoundKeyが変わっているのが分かるはず
こ...

KeyExpansion
KeyExpansion
Key(1つ前のRoundKey)からRoundKeyを作成する関数
AES-128のRoundKey作成手順は右下の通り
SubWord処理や
RotWord処理
を使いRoundKeyを作...

KeyExpansion
47
KeyExpansion(byte key[4*Nk], word w[Nb*(Nr+1)], Nk)
begin
word temp
i = 0
while (i < Nk)
w[i] = word(key[4...

実例 KeyExpansion
48
逐次コードを参照しながらFIPS197に書いてあるAES-128のサブ鍵作成例を
読んで理解していく。w[i]={4byte}={32bit}
AES-128はその名の通り鍵長が128bitである
→つまり...

実例 KeyExpansion
まずw[4]を作ることを考える
tempにはひとつ前の鍵要素を
入れる
w[3]は{09cf4f3c}
RotWord
1byte分左ローテートをする
09cf4f3cは、
|09|cf|4f|3c|
と考えると...

実例 KeyExpansion
RotWord
1byte分左ローテートをする
09cf4f3cは、
|09|cf|4f|3c|
と考えると、
|cf|4f|3c|09|
となる。
AES-128のRoundKey作成例
50
while (i...

実例 KeyExpansion
SubWord
SubWordはS-boxの表に
基づいた換字を行う
「暗号技術のすべて」p.174
を参照しながらSubBytesと
同じように処理をすると、
|cf|4f|3c|09|
から
|8a|84|e...

実例 KeyExpansion
RotWord,SubWord処理をしたら
RconとXORする、とある
Rcon
RconはRoundConstantの略で、
ラウンドコンスタント定数と訳す
定数と書いてあるが、コードを
見るとわかるように計...

実例 KeyExpansion
Rcon
XORをやっていく
temp={8a84eb01}
Rcon={01000000}
0はXORしても変わらないから、
aと1だけを考える
0xa=1010
0x1=0001
xor=1011=b
よって...

実例 KeyExpansion
長々とやってきたKeyExpantionの最後の処理
を考える
今回はw[4]を作ることを考えている。また鍵数Nk=4より、
w[0] ={2b7e1516}
={001010110111111000010101...

Stateを入力として、RoundKeyとのXORを取る
0x04→00000100 0x66→01100110
0xa0→10100000 0xfa →11111010
XOR →???????? XOR →????????
実例 AddRo...

Stateを入力として、RoundKeyとのXORを取る
0x04→00000100 0x66→01100110
0xa0→10100000 0xfa →11111010
XOR →10100100→0xa4 XOR →10011100→0x9...

平文(Input)と暗号鍵(Cipher Key)を使って
・AddRoundKey(暗号鍵との排他的論理和)
・SubBytes(換字処理)
・ShiftRows(転置処理)
・MixColumns(演算による線形変換)
・KeyExpans...

4．復号処理
58

AESは色々な処理を組み合わせたSPN構造だが、復号の手順も意外と単純
暗号化処理の手順を逆にしていくことで復号ができる
？なぜ復号化ができるのか
SubBytes：S-boxを見ると、要素が同じセルがない
→間違った復号をすることがなく、また...

復号処理
・1ラウンドで4つの処理を行う、暗号化の逆の手順
復号処理の流れ
1.InvAddRoundKey
2.InvMixColumns
3.InvShiftRows
4.InvSubBytes
なお、InvはInverse(逆)の略
In...

InvSubBytes
SubBytesとの違い
S-boxのテーブルが異なる
→算出に用いる計算式が逆元(逆行列)
を取るようになっている
61

InvShiftRows
ShiftRowsとの違い
ShiftRowsは左ローテート、InvShitRowsでは右ローテートを行う。
62
ShiftRows InvShiftRows

InvMixColumns
MixColumnsとの違い
簡単にするとMixColumnsは
列単位で以下の計算をしていた
右の行列は ↑こいつの逆行列を計算すると
出るので興味ある人はやってみてください
InvMixColumnsは列単位で...

5．復号実例
64

暗号化で示した実例が元に戻ることを確かめてみる(ダイジェスト)
元の平文：3243f6a8885a308d313198a2e0370734
RoundKey ：a0fafe1788542cb123a339392a6c7605
State ：a...

Stateを入力として、RoundKeyとのXORを取る
0xa4→10100100 0x9c→10011100
0xa0→10100000 0xfa→ 11111010
XOR →00000100→0x04 XOR →01100110→0x6...

それぞれ多項式に直して席の掛け算を行う。
過程は大変なので書かないがやり方は一緒。
実例 InvMixColumns
GF 𝟐𝟖 −𝟏
×
67
State'
=
04 e0 48 28
66 cb f8 06
81 19 d3 26
e5 9...

State'を入力として、r行目-1回右ローテートを行う
実例 InvShiftRows
State' State
d4 e0 b8 1e
27 bf b4 41
11 98 52 52
ae f1 e5 30
1byte
2byte
3byt...

State'を入力として、S-boxの表を参照しながら換字を行っていく
0xd4→0x19 0x27→0x3d 0x11→0xe3 0xae→0xbe...
実例 InvSubBytes
State'
69
d4 e0 b8 1e
27 bf ...

State'を入力として、S-boxの表を参照しながら換字を行っていく
実例 InvSubBytes
State
S-box
70
State'
19 a0 9a e9
3d f4 c6 f8
e3 e2 8d 48
be 2b 2a 08
d...

State'を入力として、RoundKeyとのXORを取る
0x19→00011001 0x3d→00111101
0x2b→00101011 0x7e→01111110
XOR →00110010→0x32 XOR →01000011→0x4...

無事復元が完了した。
これでAESの暗号化及び復号の流れを一通り確認することが出来た。
実例おわり
72
32 88 31 e0
43 5a 31 37
f6 30 98 07
a8 8d a2 34
State
一致

6．安全性
73

ここまで暗号化及び復号を試行してみた。
だが、動作原理も暗号処理手順も復号処理手順も明らかになっているAESは、安全
性という面について心配になるかもしれない。
ここからはAESが高い安全性を持っている言われる理由についてである。
なお、暗号方...

まず、前提としてAESはブロック暗号であり、SPN構造である。
ブロック暗号では攻撃者がブロック暗号にブルートフォース攻撃を行うとすると、
秘密鍵の長さをkとすると探索すべき秘密鍵の総数は2𝑘である。
膨大な数である上、AESでは鍵をラウンドご...

では、非線形変換処理部において効率がいい攻撃方法である差分解読法と線形解読
法ではどうだろうか？
差分解読法
AESのS-boxは一定の入力に対する差分になるべく偏りが出ないように設計されて
いる。
どういうことか？
差分解読法は、2つ以上の平...

では、非線形変換処理部において効率がいい攻撃方法である差分解読法と線形解読
法ではどうだろうか？
線形解読法
S-boxは非線形な処理を行う換字表である。
つまり、通常線形な関係式は導出できない。
ちなみに
S-boxへの入力がランダムであると...

これまでAESの安全性について書いてきた。
8ラウンド目までは全探索より効率がいい手法があるが、AESは鍵長が最低の128
ビットの時点で10ラウンド、192ビットでは12、256では14ラウンドある。
それにより、安全性が確保されていることが...

【質問】
・10ページ
暗号化アルゴリズムの方法といってはいけない理由？
【先生のコメント】(補足説明)
・アフィン変換
幾何学
線形→直線
直線ってことは方程式が出る
係数は変換そのもの
行列だけで積を変えるのは線形変換ということ
原点(0)...

Share Slideshare

LinkedIn
Facebook
Twitter

Embed

Size (px)

Show related Slideshows at end

WordPress Shortcode

Link

Share
Email

2024 Trend Updates: What Really Wor... by Search Engine Jou... 1056584 views
Storytelling For The Web: Integrate... by Chiara Aliotta 973080 views
Artificial Intelligence, Data and C... by OECD Directorate ... 908885 views
How to Leverage AI to Boost Employe... by SocialHRCamp 384853 views
2024 State of Marketing Report – by... by Marius Sescu 217959 views
Everything You Need To Know About C... by Expeed Software 235285 views

View on Slideshare

1 of 79 Ad

View on Slideshare

1 of 79 Ad