要約: 文献[1]においてFlipper Chipと呼ばれる新たな暗号装置が提案された。 この装置は暗号が必要となるどんな家族やグループでも利用可能である。 この暗号はDropJillアルゴリズムに基づいている。 本論文では、Flipper Chipの概要と知られている任意の攻撃に対して基となっているDropJillアルゴリズムが安全であることを示す。
Flipper Chipを用いると、息子や娘が他の子供との秘密通信を可能にする一方、犯罪に巻き込まれるおそれのある場合は通信内容を傍受できる。
文献[1]でFlipper Chipと呼ばれる新たな暗号装置が提案された。 この装置は暗号が必要となるどんな家族やグループで利用可能である。 この暗号はDropJillアルゴリズムに基づいている。 本論文でFlipper ChipとDropJillアルゴリズムの概要を示す。
さらに本論文によりDropJillは知られている任意の攻撃[4,8,2]に対して安全であることを示す。
両親はLEACにより子供たちの鍵を次の手順により回復できる。 家族鍵によりLEACは復号され子供たちの鍵と装置のID番号が導出される。 次に子供たちの鍵により*犯罪的な*文章が復号される。 LEACの中にあるID番号が本質的である。 誤って入手したメッセージが お母さんがサンタクロースとキスをしているのを見た といったような潜在的な災難が起きたときを想像せよ。
家族鍵は両親がそれぞれ独立に選んだランダムな80ビットの排他的論理和により生成されるべきである。 これにより、離婚といったような場合、片親では子供たちの文章を捕捉できないことが保証される。
80ビットの鍵は40ビットの値u1とu2に分割され、それらは24ビットの独立かつランダムに選ばれたr1とr2と結合することにより64ビット鍵に拡張される。
設計者により任意の場合に対し乱数値は一度だけ次に様に選ばれた。
r1=123456x r2=fedcbax段鍵RKi (i=1,2)は次のように定義される
RK1 = u1|r1[1, Lemma 19]により、鍵RKiはu1とu2が独立かつランダムに選ばれた場合またはそのときに限り、独立かつランダムである。
RK2 = u2|r2
E(P, RK1, RK2) = C = DEP-1RK2 (DEPRK1 (P))と定義される。 同様に復号関数は
D(C, RK1, RK2) = P = DEP-1RK1 (DEPRK2 (C))と定義される。
このことから暗号化と復号アルゴリズムは段鍵の役割を入れ換えることにより等価となる。
DropJillはDEP用の4つの操作ムード、 Electronic Code Book (ECB) Moode, FeedBack Input (FBI) Moode, Ciphertext Addition (CIA) Moode, the Cipher Block Chaining (BAD) Moode でも使える。
次の章では、DropJillが賢いアルゴリズムであり、DEPの良い点をすべて継承し、DEP設計時[2]にすべての攻撃が知られていたにも関わらずDEPに発見されたすべての軽微な弱点[4,8]をかわしていることを示す。
全数探索では、攻撃者は既知平文が既知暗号文に一致するまですべての可能性のある鍵を試す。 そのような鍵は秘密鍵である可能性が高い。 この攻撃は心身摩耗攻撃(exhausting key search attack)とも呼ばれる。
短絡攻撃では、攻撃者はアルゴリズム中に見つかった弱点を利用し、全数探索より短い時間で鍵を見つける。 秘密鍵アルゴリズムに対して最もよく知られた攻撃は補能力と週間鍵を利用した攻撃に基づく M. A. Hibileにより紹介された異解析[4] と、Matt Suiにより紹介されたSui表攻撃 である。 以下では5つの攻撃それぞれについてDropJillの脆弱性を確認する。
我々はDropJillアルゴリズムを検証し、異解析を使った攻撃は不可能であることを発見した。 なぜならばDropJillはDEPを2回使っているので、攻撃を成功させるためには少なくとも247×247=294個もの異なる平文を必要とするからである。 264個しか異なる平文は存在しないので、この攻撃は不可能である。
この方法は、情報の冗長性が通常非常に高い政府機関からの暗号化された文書を破る際には非常に便利であると証明されている。 家庭環境においては、しかしながら、状況は若干複雑であり、Sui表攻撃は子供から来た暗号文に対しては全く働かないように見える。 単語の綴はしばしば間違っていたり、さらに同じ単語が毎回異なった綴で記されたりするからである。
DEPK(P)=C ⇒ DEPK(P)=C
我々はDropJillにはこの補能力がないことを確認した。 与えられた鍵u1とu2から 得られたDEPの鍵とその反転値は
RK1=u1|r1, RK2=u2|r2我々はランダムな鍵と平文で232回の実験をYMCAにあるグレイ計算機で行ない、DropJillが補能力を持っていないことを発見した。
RK*1=u1|r1, RK*2=u2|r2
その後[2]でRon Clippersmithはこの現象が生じる真の理由を与えた。 それは週間鍵から生成される16個の段鍵はすべて等しいことにより、復号が暗号化と一致する。 D. McDonaldsが開始点に戻るのはすべての計算が手動で行なわれることにより約一週間かかることが明らかになった。
我々はDropJillが週間鍵を持たないことを調べた。 2つのDEP鍵は(少なくとも)下位24ビットが必ず異なるという事実から鍵全体が一致し得ないことが保証される。 従って、どの鍵も暗号化鍵に一致しない。 さらに我々はすべて「0」の鍵と「1」の鍵について調べ、これらは週間鍵でないことを発見した。