IoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

Midori は、消費電力の削減を目指して設計されたブロック暗号である。その構成や構造は、低消費電力のブロック暗号、ストリーム暗号、擬似ランダム関数の設計にも応用可能だが、そのままの適用は安全性の問題を引き起こす可能性がある。そこで、Midori の低消費電力特性を保ちつつ、各プリミティブの解析結果をもとに、安全で効率的なアルゴリズム設計を進める。

五十部 孝典 ( Takanori Isobe, Ph. D.)

そして、低消費電力と安全性を重視した構成要素の最兵庫県立大学大学院 情報科学研究科 教授

適化や、適切なパラメータ選択を行う。

(Professor, University of Hyogo, Information Science)

アルゴリズムの安全性評価では、差分や線形、積分攻撃に対する安全性に関して、数理ソルバーを用いた

受賞：電子情報通信学会 末松安晴賞 (2023 年) 文部科学大臣表彰 若手科学者賞 (2023 年) 国際暗号学会 Fast Software Encryption Best PaperAward (2011, 2022, 2023 年) 電子情報通信学会 暗号と情報セキュリティシンポジウム(SCIS) イノベーション論文賞 (2014, 2018, 2021 年) , 電子情報通信学会 論文賞 (2014) )他評価を行う。達成目標としては、既存技術であるAESやMidoriと比較して大幅な消費電力の削減を実現することである。これによりバッテリーの寿命を顕著に延ばすことが期待される。

研究専門分野：情報セキュリティ、暗号

あらまし

２．研究の背景超スマート社会では、IoT デバイスを用いてプライ

超スマート社会（Society5.0）では、エッジデバイバシー情報や生体情報などのセンシティブな情報を収スから情報を取得し、クラウドで分析を行い、システ集し、クラウドで分析を行う。そのため、従来の通信ム全体としての適切な情報処理技術を実施する。大量ネットワークやサーバに対するセキュリティのみではのエッジデバイスは、プライバシー情報や生体情報ななく、IoT デバイスでの暗号化技術が極めて重要にな

どのセンシティブな情報を収集するため、従来の通信る。一般的に、IoT デバイスはハードウェアリソースネットワークやサーバに対するセキュリティのみならが制限されているため、軽い処理での演算が可能な暗ず、エッジデバイスでの暗号化技術が極めて重要とな号が求められる。本研究では、IoT デバイス向けの低る。実際、EU の一般データ保護法や個人情報保護法の消費電力暗号の開発を行う。具体的には、暗号の安全施行に伴い、エッジデバイスで収集したセンシティブ性を維持したまま、暗号演算や構造の軽量化を実現す情報の暗号化は法的に義務付けられ、暗号技術は社会るアプローチを採用し、暗号演算時の消費電力の最小的に不可欠となっている。

化を目指す。結果として、共通鍵暗号プリミティブで一般的に、IoT エッジデバイスはセンサーノードなあるブロック暗号 WARP、ストリーム暗号 Atom、擬似ラどのリソースが限られたデバイスを対象とし、軽量なンダム置換 Orthros の 3 つのアルゴリズムを設計し、処理での演算が可能な暗号が求められる。さらに、セ既存技術を大幅に上回る低消費電力特性を持つことをンサーは多様な場所や環境に配置され、医療用途では示す。

体内への埋め込みも考慮されるため、バッテリー駆動１．研究の目的が前提となる。この観点から、センサーの寿命を延ば本研究の目的は、IoTデバイス向けの低消費電力暗すためには、超低消費電力の暗号技術が必要とされて号の開発である。初めに、既存の低消費電力暗号としいる。実際、2019 年から NIST(アメリカ国立標準技術て知られるブロック暗号 Midori[1]やストリーム暗号研究所)により、軽量の暗号の標準を決めるプロジェク

Plantlet[2]の安全性を、数理ソルバーを利用して厳密トが実施されており、産業的にも学術的にも非常に重に評価する。この評価技術を基に、安全かつ超低消費要な研究テーマである。

電力を実現する暗号アルゴリズムの設計に取り組む。
1

TELECOM FRONTIER No.121 2023 AUTUMN

IoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

図 1

WARP のラウンド関数仕様

３．研究の方法および結果
本研究では、低消費電力暗号としてブロック暗号本研究では 128 ビットブロック暗号 WARP を提案

WARP、ストリーム暗号 Atom、擬似ランダム置換する。WARP は 128 ビット鍵をサポートし、図１で示

Orthros の 3 つの暗号プリミティブの設計を実施した。

す 32 ブランチの Generalized Feistel Network（GFN）
構造をベースにしている。GFN の特徴として、暗号化

3-1. ブロック暗号 WARPと復号化の演算が等価であるため、暗号化回路のみで背景復号化回路を構築することができ、これによりハード制約のあるデバイスにおける暗号化と認証の必要性ウェアのサイズを大幅に削減できる。の増加に伴い、軽量暗号は共通鍵暗号のテーマの一つ

GFN の設計における最も大きな課題は 32 ブランチとして注目を集めている。第一世代の軽量ブロック暗の置換を適切に決定することである。この課題に対処号として、PRESENT[3]、KATAN[4]、 Piccolo[5]などするため、本研究では数理ソルバーである MILP ソルが挙げられる。これらは 64 ビットのブロックサイズバーを用いて適切な部分集合の中から安全性の観点でを持つブロック暗号で、主にハードウェアの回路規模最適な置換を探索し、設計した。WARP の置換は 10を最小化することを目的とした設計が採用されている。

ラウンドの拡散性能を持っており、差分・線形攻撃へ米国標準のブロック暗号 AES と比較し、ブロックサの安全性の指標であるアクティブ S-box 数の観点からイズを 128 ビットから 64 ビットにすることでレジス非常に良い性能を示している。

タ数の削減し、非線形関数や線形関数も AES と比較

低遅延性と回路規模の観点から S-box は Midori[1]し、軽量なものを採用している。その後の第二世代ののものを採用しており、これによってサイドチャネル

軽量暗号では、回路規模のみではなく、さまざまな要攻撃が可能である場合にもその対策は非常に効率的に件、例えば低遅延や低消費電力消費、サイドチャネルできる。WARP の鍵スケジュールは非常にシンプルで攻撃に対する耐性などに焦点を当てて開発された。

あり、128 ビット鍵を半分の 64 ビットに分割し、それ本研究では、128 ビットのブロックと 128 ビットのらを交互に使用する。これによって追加のレジスタの鍵を持つ軽量ブロック暗号の開発を行う。128 ビット必要性がなくなる。また、Feistel 構造の補完特性を避入出力サイズは AES と同じであるため、その代替とけるため、各サブキーは S-box が適用された後に排他してそのまま使用可能であり、実社会利用において有的論理和をとる Piccolo[5]のアイデアに従っている。

用である。さらに、既存の軽量暗号では、ブロックサイズが 64 ビットであることから、誕生日攻撃のよう実装性能な脅威が現実の問題となる可能性があり、暗号の長期STM 90nm 標準セルライブラリで合成されたラウ利用の観点では安全性の問題がある。したがって、128ンドベース実装の性能指標の比較を行なった結果を表

ビットの軽量ブロック暗号は安全性と実利用の両面で1 に示す。消費電力の面では、2 ラウンドアンロールも重要である。の構成が WARP 最も優れており、既存のブロック暗2TELECOM FRONTIER No.121 2023 AUTUMNIoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

仕様号と比較して、最も小さい消費電力で暗号化が可能である。さらに回路規模、電力に関しても最小の数値を本研究で提案するストリーム暗号 Atom は、
秘密鍵 128達成している。

ビットに対して内部状態のサイズが 159 ビットであり、内部状態のサイズが小規模であるという条件を満たし

表1

STM 90nm 標準セルライブラリで合成されたラている。
また、
Atom は NFSR（Non-linear Feedback Shift

ウンドベースの実装の性能指標の比較（1R、2R、4RRegister）と呼ばれるキーフィルタが新たに追加されは 1 回、2 回、4 回のアンロールされた回路を指す）ている。これと従来の LFSR(Linear Feedback ShiftRegister)の 2 つのキーフィルタにより、TMD 攻撃を含む多くの暗号解読手法に対する耐性が得られる。
また、Atom は従来のストリーム暗号と同様に、初期化フェーズとキーストリーム生成フェーズで構成されている。図 2 にキーストリーム生成フェーズの概要を示す。

図2

キーストリーム生成フェーズの概要

実装性能

3-2. ストリーム暗号 Atom

表 2 は、Atom やその他の軽量ストリーム暗号を STM

背景90 nm 標準セルライブラリを使用した回路で実装した

一般的な Time Memory Tradeoffs（TMD）攻撃に対し場合のハードウェア測定値である。表より、Atom はて安全なストリーム暗号の条件として、内部状態のサ128 ビットのセキュリティレベルを持つ暗号としてはイズが秘密鍵の長さの 2 倍以上である必要があると考最も消費電力が低く、さらに比較的コンパクトな回路

え ら れ て い た 。 し か し 、 FSE 2015 で 提 案 さ れ た

面積での実装が可能であることが確認できる。

Sprout[6]と呼ばれるストリーム暗号では、内部状態の

表 2:Atom および他の軽量ストリーム暗号のサイズが秘密鍵の長さと等しいにも関わらず、TMD 攻

ハードウェア測定値 (STM90nm)

撃に対して耐性を持っていることが示された。これに触発され、Sprout と同じ Grain 構造を持つ Lizard[7]や Plantlet などの内部状態の短いストリーム暗号の設計が次々と生まれたが、Sprout を含めていずれも脆弱性が発見されている。以上から、内部状態のサイズの軽量化と安全性の両立が可能であるかどうかはストリーム暗号において重要な問題である。本研究では、内部状態のサイズが秘密鍵と同等の大きさであり、なおかつ提案されているすべての攻撃に対する耐性を持った低消費電力スストリーム暗号の設計を目的とする。

3

TELECOM FRONTIER No.121 2023 AUTUMN

IoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

図 3

Orthros のラウンド関数

3-3. 擬似ランダム置換 Orthros

順列の両方を含む単一の線形層を使用しているが、背景

Orthros ではビット順列とニブル順列のハイブリッ

IoT 社会の発達にともない，より少ない遅延で暗号ドを提案している。これにより短いラウンド数で安全化が実行可能な 128 ビット低遅延擬似ランダム関数が性を達成可能である。この線形層の変更は、アンロー求められている。既存の軽量暗号である GIFT[8]、ル実装では追加のハードウェアコストを必要としない。

KATAN、LED[9]、Piccolo[5]、PRESENT[3]、SIMON[10]S-box に関しては、擬似ランダム置換では、Midori やは回路規模の最小化の観点では優れているが、暗号演QARMA のようなインボリューション特性が必要ないた

算の多くのサイクルが必要であり、暗号に必要な遅延め、探索空間が大幅に広がり、既存のものより遅延がは非常に大きい。一方、既存の低遅延の暗号技術とし大幅に小さい新しい 4 ビットの S-box を開発することては、PRINCE[11]、QARMA[12]、Mantis[13]、Midori[1]が可能である。などが知られているが、これらはブロック暗号であり、擬似ランダム置換は提案されていない。擬似ランダム置換は、特定の暗号化モードは高い安全性を達成可能であるとともに、逆演算関数の必要がないため、回路規模の観点でも優れている。また、その不可逆性より、特定の攻撃手法に対して高い耐性を持つ可能性があり、大幅に遅延を削減可能である。また、消費電力は遅延性能と回路規模に比例するため、低遅延暗号の設計はそのまま低消費電力の設計に繋がる。

仕様

図4

本研究で提案する擬似ランダム置換 Orthros は 128

Orthros の概要

ビットの鍵を持つ。ラウンド関数と全体構成をそれぞれ図 3 と 4 に示す。Orthros の全体構造は、Branch1 と実装性能Branch2 と呼ばれる 2 つの SPN 型の鍵付き置換の排他的論理で構成されている。Orthros のラウンド関数は、Midori に基づいており低遅延暗号に適しているが、新STM90nm のライブラリ実装結果を表３に示す。この結果から、Midori や QARMA よりも暗号化に必要なLatency の値が小さくなることがわかる。また、消費しい線形層と S-box を採用することで遅延をさらに最電力に関して既存技術よりも小さくなる。

小化した。
線形層に関しては、Midori128 はビット順列とニブル

4TELECOM FRONTIER No.121 2023 AUTUMN

IoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

表3

STM90nm ライブラリの実装結果面の要求が非常に厳しく、実装要求と量子計算機への安全性を満たす暗号は学術レベルでも実現しておらず、2030 年の B5G の普及に備えて早急な研究開発が求められている。
おわりに本研究では、IoT 向け低消費電力暗号の開発を行った。具体的には、暗号の安全性を維持したまま、演算や構造の軽量化を実現するアプローチをとった。結果として、共通鍵暗号プリミティブであるブロック暗号
WARP、ストリーム暗号 Atom、擬似ランダム置換
Orthros の３つのアルゴリズムを設計した。
参考文献[1] Subhadeep Banik, Andrey Bogdanov, Takanori
Isobe, Kyoji Shibutani, Harunaga Hiwatari, Toru
Akishita, and Francesco Regazzoni. Midori: A blockcipher for low energy. In Tetsu Iwata and Jung HeeCheon, editors, ASI- ACRYPT 2015, Part II, volume9453 of LNCS, pages 411–436. Springer,2015.

４．将来展望情報セキュリティの研究分野では、Beyond5G(B5G)用の暗号開発が学術、産業分野ともに活発になっている。

[2] Vasily Mikhalev, Frederik Armknecht, andB5G 用の暗号技術は、IoT 用の暗号と比べて、性能や安Christian Müller. On Ciphers that Continuously

全性要件が非常に厳しく、既存の暗号技術では対応がAccess the Non-Volatile Key. IACR Trans.

不可能である。B5G の世界では宇宙、深海、航空、砂漠Symmetric Cryptol., 2016(2):52–79, 2016.などバッテリー交換が非常に困難なユースケースが多数あり、性能面においては特に超低消費電力での暗号[3] Andrey Bogdanov, Lars R. Knudsen, Gregor

処理が求められる。また、収集されたビッグデータをLeander, Christof Paar, Axel Poschmann, Matthew

処理するデータセンターにおいても、サステナビリテ

J. B. Robshaw, Yannick Seurin, and C. Vikkelsoe.

ィとプライバシーの両立の観点で低消費電力での暗号

PRESENT: An ultra-lightweight block cipher. In

処理は喫緊の課題である。

Pascal Paillier and Ingrid Verbauwhede, editors,
CHES 2007, volume 4727 of LNCS, pages 450–466.

安全性に関しては、量子計算機に対して強固な安全Springer, 2007.

性が求められる。量子計算機による危殆化の影響が大きい公開鍵暗号(鍵交換や署名に利用)に関しては、米国立標準技術研究所が現在標準化を進めている。国内[4] Christophe De Canni`ere, Orr Dunkelman, andにおいても、2022 年に NICT が凸版印刷と共同で耐量Miroslav Kneˇzevi ́c. KATAN and KTANTAN - a

子計算機暗号を IC カードシステムに実装するなど、

family of small and efficient hardware-oriented実用化に向けて準備が進んでいる。一方、実データをblock ciphers. In Christophe Clavier and Kris Gaj,

暗号する共通鍵暗号に関しては、低消費性などの実装

editors, CHES 2009, volume 5747 of LNCS, pages

5TELECOM FRONTIER No.121 2023 AUTUMN

IoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

272–288. Springer, 2009.

Archive, Report 2013/404, 2013. http://eprint.iacr.org/2013/404.

[5] Kyoji Shibutani, Takanori Isobe, Harunaga
Hiwatari, Atsushi Mitsuda, Toru Akishita, and[11] Julia Borghoff, Anne Canteaut, Tim Güneysu,

Taizo Shirai. Piccolo: An ultra-lightweight

Elif Bilge Kavun, Miroslav Knežević, Lars R.

blockcipher. In Bart Preneel and Tsuyoshi Takagi,Knudsen, Gregor Leander, Ventzislav Nikov,editors, CHES 2011, volume 6917 of LNCS, pages

Christof Paar, Christian Rechberger, Peter342–357. Springer, Heidelberg, 2011.

Rombouts, Søren S. Thomsen, and Tolga Yalçin.
PRINCE - A low-latency block cipher for pervasive[6] Frederik Armknecht and Vasily Mikhalev. On

computing ap- plications - extended abstract. In

Lightweight Stream Ciphers with Shorter Internal

Xiaoyun Wang and Kazue Sako, editors,

States. In Fast Software Encryption - 22nd

ASIACRYPT 2012, volume 7658 of LNCS, pages

International Workshop, FSE 2015,208–225. Springer, 2012.

Istanbul,Turkey, March 8-11, 2015, Revised
Selected Papers, pages 451–470, 2015.

[12] Moses Liskov, Ronald L. Rivest, and David[7] Matthias Hamann, Matthias Krause, and Willi

editor, CRYPTO 2002, volume 2442 of LNCS, pages

Wagner. Tweakable block ciphers. In Moti Yung,
31–46. Springer, 2002.

Meier. LIZARD - A Lightweight Stream Cipher forPower-constrained Devices. IACR Trans.

[13] Christof Beierle, Jérémy Jean, Stefan Kölbl,

Symmetric Cryptol., 2017(1):45–79, 2017.

Gregor Leander, Amir Moradi, Thomas Peyrin, Yu
Sasaki, Pascal Sasdrich, and Siang Meng Sim. The[8] Subhadeep Banik, Sumit Kumar Pandey,

SKINNY family of block ciphers and its low-latency

Thomas Peyrin, Yu Sasaki, Siang Meng Sim, andvariant MANTIS. In Matthew Robshaw andYosuke Todo. GIFT: A small present - towards

Jonathan Katz, editors, CRYPTO 2016, Part II,

reaching the limit of lightweight encryption. In

volume 9815 of LNCS, pages 123–153. Springer,

Wieland Fischer and Naofumi Homma, editors,2016.

CHES 2017, volume 10529 of LNCS, pages 321–345. Springer, 2017.

関連文献[9] Jian Guo, Thomas Peyrin, Axel Poschmann, andSubhadeep Banik and Zhenzhen Bao and Takanori

Matthew J. B. Robshaw. The LED block cipher. In

Isobe and Hiroyasu Kubo and Kazuhiko Minematsu

Bart Preneel and Tsuyoshi Takagi, editors, CHESand Fukang Liu and Kosei Sakamoto and Nao

2011, volume 6917 of LNCS, pages 326–341.
Springer, 2011.

Shibata and Maki Shigeri, "WARP : Revisiting GFN[10] Ray Beaulieu, Douglas Shors, Jason Smith,on Selected Areas in Cryptography (SAC) 2020,

Stefan Treatman-Clark, Bryan Weeks, and Louis

Lecture Note in Computer Science, vol. 12804, pp.

Wingers. The SIMON and SPECK families of535--564. Springer, 2020

for Lightweight 128-bit Block Cipher", Conference

lightweight block ciphers. Cryptology ePrint
Subhadeep Banik, Andrea Caforio, Takanori Isobe,

6TELECOM FRONTIER No.121 2023 AUTUMN

IoT 向け超低消費電力暗号の設計理論の確立とアルゴリズム開発
Designing Low-Energy Symmetric-Key Primitives or IoT Devices

Fukang Liu, Willi Meier, Kosei Sakamoto andSantanu Sarkar, "Atom: A Stream Cipher withDouble Key Filter", IACR Trans. Symmetric Cryptol(ToSC/FSE), issue 1, pp.5-36, 2021.
Subhadeep Banik, Takanori Isobe, Fukang Liu,KazuhikoMinematsuandKosei

Sakamoto,"Orthros: A Low-Latency PRF", IACR Trans.
Symmetric Cryptol (ToSC/FSE), 2021, issue 1, pp.3777, 2021.
この研究は、令和元年度ＳＣＡＴ研究助成の対象として採用され、令和２～４年度に実施されたものです。

7

TELECOM FRONTIER No.121 2023 AUTUMN