軽量暗号ガイドライン紹介
暗号技術評価委員会
軽量暗号WG主査(東北大学 教授)
本間 尚文
1

軽量暗号WG 委員構成
主査
委員委員委員委員
委員

本間 尚文
青木 和麻呂
岩田 哲
小川 一人
小熊 寿
崎山 一男

委員

渋谷 香士

委員
委員委員委員
委員

鈴木 大輔
成吉 雄一郎
峯松 一彦
三宅 秀享
渡辺 大

東北大学
日本電信電話株式会社
名古屋大学
日本放送協会株式会社トヨタIT開発センター
電気通信大学
ソニーグローバルマニュファクチャリ
ング＆オペレーションズ株式会社
三菱電機株式会社
ルネサスエレクトロニクス株式会社
日本電気株式会社
株式会社東芝株式会社日立製作所
2

軽量暗号WG（2013～2017）• 活動目的– 軽量暗号WGは，軽量暗号技術が求められるサービスにおいて，電子政府のみならず利用者が適切な暗号方式を選択でき，容易に調達できることをめざして設置された• 活動概要– 軽量暗号技術に関する検討– 軽量暗号技術に関する現状調査（サーベイ）– アプリケーションに関する調査– 実装評価– 今後の活動方針に関する議論（→ガイドライン発行）
3

CRYPTREC暗号技術ガイドライン（軽量暗号）の作成目的• 作成目的– IoT等の次世代ネットワークサービスにおいて軽量暗号の活用が期待されることから，方式を選択・利用する際の技術的判断に資すること，今後の利用促進をはかることを目的として，当該暗号技術のガイドラインを作成• 想定する読者– システム設計時に暗号技術の選択・利用の判断に関わるセキュリティや暗号の技術者
4

CRYPTREC暗号技術ガイドライン（軽量暗号）• 2017年6月発行（日本語版・英語版）

CRYPTREC Webサイト（http://www.cryptrec.go.jp）
からダウンロード可能

5

ガイドラインの目次(1/2)
第1章 はじめに第2章 軽量暗号とその活用法
2.1 軽量暗号とは
2.2 軽量暗号はどこに使えるのか
2.3 どんな軽量暗号，パラメータを選べばいいか
2.4 軽量暗号活用例と効果

6

ガイドラインの目次(2/2)
第3章 軽量暗号の性能比較
3.1 ブロック暗号
3.2 認証暗号

第4章 代表的な軽量暗号
4.1 ブロック暗号
4.2 ストリーム暗号
4.3 ハッシュ関数
4.4 メッセージ認証コード
4.5 認証暗号
7

ガイドラインに記載したアルゴリズム• 第4章に代表的な軽量暗号アルゴリズムを技術分野ごとに記載（2016年7月時点で決定）• 選択基準– IACR(国際暗号学会)等の主要国際会議で発表されている– 国際標準となっている または 検討中– 有力な攻撃法が発見されていない– その他，技術分野ごとに検討8記載されたアルゴリズム• ブロック暗号
アルゴリズム名発表された国際会議, 採録/提案されている標準等

LED
Piccolo
TWINE
PRINCE
MidoriPRESENT
CLEFIASIMON
SPECKCHES 2011
CHES 2011
SAC 2012
Asiacrypt 2012
Asiacrypt 2015
CHES 2007, ISO/IEC 29192-2
FSE 2007, ISO/IEC 29192-2
Cryptology ePrint Archive (Report 2013/404)
Cryptology ePrint Archive (Report 2013/404)



主要国際会議で近年発表されており、現段階で有力な攻撃法が発見されておらず、かつ十分な実装性能をもつものを選択.
軽量暗号国際標準 ISO/IEC 29192-2 記載 または 検討中のものを選択.

9記載されたアルゴリズム• ストリーム暗号
アルゴリズム名発表された国際会議, 採録/提案されている標準等

Grain v1/-128A
MICKEY 2.0
Trivium
EnocoroChaCha20

eStream portfolio, ISO/IEC 29167-13
eStream portfolio
eStream portfolio, ISO/IEC 29192-3
ISO/IEC 29192-3
RFC 7539

安全性評価が十分に行われたと考えられられる eStream portfolio 選定暗号 および ISO/IEC 標準から選択.
2015年にRFC化されたChaCha20も選択.

10記載されたアルゴリズム• ハッシュ関数
アルゴリズム名発表された国際会議, 採録/提案されている標準等

PHOTONSPONGENTQUARK
KECCAKCRYPTO 2011, ISO/IEC 29192-5
CHES 2011, ISO/IEC 29192-5
CHES 2010
SHA-3 competition, FIPS 202• メッセージ認証コード
アルゴリズム名発表された国際会議, 採録/提案されている標準等

SipHashIndocrypt 2012, DIAC


MACは軽量ブロック暗号をCMACで使うか軽量ハッシュ関数をHMACで使うのが一般的であろうと考えられる.
SipHashは短いメッセージに対しても高速なMACであり、Python, Rubyの連想配列用ハッシュ関数として利用されており、今後用途が広がる可能性あり.
11

記載されたアルゴリズム• 認証暗号
アルゴリズム名

ACORN
Ascon
AES-JAMBU
AES-OTR
CLOC and SILC
Deoxys
JoltikKetje
Minalpher
OCB
PRIMATES発表された国際会議, 採録/提案されている標準等
DIAC 2014, DIAC 2015
DIAC 2014, DIAC 2015, CT-RSA 2015(analysis)
DIAC 2014, DIAC 2015
EUROCRYPT 2014, DIAC 2015
FSE 2014 (CLOC), DIAC 2014 (SILC), DIAC 2015
Asiacrypt 2014 (TWEAKEY), DIAC 2014, DIAC 2015
Asiacrypt 2014 (TWEAKEY), DIAC 2014, DIAC 2015
DIAC 2014, (SHA3)DIAC 2014, IEEE GCCE 2015(Hw)
ACM CCS 2001, Asiacrypt 2004, FSE 2011
FSE 2014 (APE), Asiacrypt 2014 (RUP,bound),
DIAC 2014, DIAC 201512

実装詳細評価方針(1/3)• 実装詳細評価の目的– 複数の軽量暗号アルゴリズム及び比較対象となる代表的な既存暗号技術を、同一プラットフォーム上で、統一的な実装ポリシーにより実装し、統一的な評価環境で比較を行う

13

実装詳細評価方針(2/3)• ハードウェア実装評価– 標準的なCMOSセルライブラリ：NANGATE Open
Cell Library (45nm CMOS)– アーキテクチャ：①各アルゴリズムの仕様に準じた標準的な実装,②処理速度を優先する実装,③回路規模を優先する実装– 測定指標：最大動作周波数、処理速度、ゲートカウント、回路遅延、消費電力、ピーク電流• ソフトウェア実装評価– プロセッサ：ルネサスエレクトロニクス組み込みマイコン– 測定指標：処理速度、メモリサイズ(ROM, RAM)14

実装詳細評価方針(3/3)• 実装形態とアルゴリズム– 軽量ブロック暗号• 第4章のアルゴリズム• HW実装, SW実装

– 軽量認証暗号• 第4章のアルゴリズムから選択• SW実装15

軽量暗号の優位性
回路規模• 軽量暗号とAESの差(数kgate)は， 50μm角クラスの小さなチップや180nmなど古いプロセスではcriticalで，暗号機能の搭載可否に影響を与えうる

消費電力量• 回路規模が小さいほど消費電力(量)は小さくなる傾向．
軽量暗号により消費電力(量)に関する設計条件を緩和できる効果が期待できる

レイテンシ• AESの2倍の応答速度をおよそ1/10の回路規模で実現できる軽量暗号が存在（20kgateで10ns以下での演算が可能）．産業向け I/Oデバイス制御などμsオーダーのリアルタイム性が求められる用途で活用可能

メモリサイズ• AESのおよそ1/4のROMサイズで実装可能な軽量暗号が存在．軽量暗号なら追加できるケースやチップ単価を下げられるケースあり

16

軽量暗号の留意点• 軽量暗号で達成可能な安全性– 軽量暗号は特定の性能指標で優位性をもつように設計されており，従来の暗号技術より安全性が低くなる傾向にある• 例えば、64ビットブロック暗号を用いて同じ鍵で2^32ブロック以上暗号化した場合、現実的な脅威になりうることがACM CCS2016で発表された。
• CRYPTRECでも64ビットブロック暗号利用時の安全な利用方法 (同じ鍵での暗号化上限回数)について指針を示す予定– 電子政府推奨暗号でもリスクなしの運用は困難であり，軽量暗号でも利用に応じたリスクを考慮しな17
がらの運用が必要

まとめ• 軽量暗号の適切な利用を支援するため「CRYPTREC暗号技術ガイドライン(軽量暗号)」が発行された– CRYPTREC Webサイトで公開中• 同ガイドラインにより，軽量暗号に対する正しい理解が広まり，必要とされる応用において活用が促進されることを期待したい

18