CRYPTREC EX-3302-2023

軽量暗号 Ascon などに関わる標準化動向調査

GMO サイバーセキュリティ by イエラエ株式会社

2023 年 9 ⽉

1

エグゼクティブサマリー
本報告書では、NIST 軽量暗号コンペティションで 2023 年 2 ⽉ 7 ⽇に選定された Ascon
について標準化動向の調査を⾏った。Ascon の選定に関連する情報については、⽂献 [1]に詳しく記載されているため、この⽂献を中⼼に調査を⾏った。
Final Round では、最終候補として 10 のアルゴリズムが選択され、以下に⽰すような選考プロセスにおいて評価が⾏われた。
・

選考プロセスでのポイント
Ø

様々な評価基準（安全性、ソフトウェアおよびハードウェアの性能、設計の成熟度、第三者による安全性評価の量、知的財産権の有無など）に異なる重み付けを割り当てて実施Ø異なるセキュリティ要件、異なる機能性、異なる複雑性を持った攻撃などを踏まえた評価の実施Ø

限られたリソースにおける安全性評価および性能評価の実施

最終候補となったアルゴリズムの中から NIST が Ascon を選定したポイントについて整理を⾏うと以下の項⽬が挙げられる。
・

・

安全性
Ø

⾼いセキュリティーマージン

Ø

多数の第三者による安全性評価の数

設計/実装
Ø

設計の微調整を⾏わないという設計の成熟度

Ø

軽量暗号コンペティションである CAESAR プロジェクトにおいて軽量暗号の最終的なポートフォリオに選択されている実績・Ø

漏えいに対するモードレベルでの保護メカニズムを有することØ

実装と設計の柔軟性Ø

サイドチャネル攻撃に対する対策を⾏うための追加コストが低いこと

機能性
Ø

・

ハッシュに加えて XOF や MAC などの追加機能を有すること

性能Ø

ソフトウェアおよびハードウェア環境において、現⾏の NIST 標準である AESGCM や SHA-2 を上回る性能を有すること

2

また、NIST 以外の標準化団体における検討については、2023 年 9 ⽉現在では⼤きな動きは⾒られなかったが、2023 年後半に予定されている NIST が発⾏する標準仕様の公開を受けて、本格的に様々な団体での検討が⾏われるものと考える。また、標準化された暗号技術が利⽤できる環境としてソフトウェアやハードウェア実装が公開されることが重要である
が、CAESAR プロジェクト等の実績などから実装がいくつか公開されているケースが⾒受けられた。これは Ascon の設計が成熟しており、NIST 軽量暗号コンペティションにおいて設計の微修正が⾏われていないことが背景にあると考える。

3

⽬次
エグゼクティブサマリー ............................................................................... 2
1.

はじめに ................................................................................................. 5

2.

NIST 軽量暗号コンペティション ........................................................... 63.

Ascon の選定に関する評価基準や評価観点 ........................................... 10

3.1.

NIST 軽量暗号コンペティションにおける評価基準や評価観点 .......... 10

3.2.

NIST 軽量暗号コンペティションにおける評価プロセス .................... 11

3.3.

Ascon に関する評価 ........................................................................... 15

4.

他標準化団体における軽量暗号 Ascon への検討状況 ............................. 17

5.

Ascon に関する考察 .............................................................................. 19

5.1.

安全性 ................................................................................................ 195.2.

性能 ................................................................................................... 19

5.3.

標準化 ................................................................................................ 22

6.

まとめ ................................................................................................... 23

参考⽂献 ...................................................................................................... 25

4

1.

はじめに
2017 年 3 ⽉に公開された CRYPTREC 暗号技術ガイドライン（軽量暗号）（以下、「2016 年度ガイドライン」という） [2]では、「実装性能と安全性のトレードオフを勘案した上で、従来の暗号技術に対して特定の性能指標で優位性（軽量性）を持つように設計された共通鍵暗号技術」をスコープとし、軽量暗号の活⽤例、代表的な軽量暗号の性能⽐
較、代表的な軽量暗号に関する基本情報について紹介している。しかしながら、暗号⽅式に対する安全性評価技術は⽇進⽉歩であり、2016 年度ガイドラインの公開から 5 年以上が経っているため、2016 年度ガイドラインには記載されていない。そのため、軽量暗号の安全性を脅かす新たな脅威が⽣じている可能性は⼗分に考えられる。そこで、2016 年度ガイ
ドラインで紹介された暗号⽅式を中⼼とした代表的な軽量暗号の安全性評価に関する動向調査を⾏うことを⽬的とし、2021 年 9 ⽉の時点における軽量暗号に対して現実的な脅威に繋がる脆弱性が指摘されているか否かを明らかにするための報告書として「CRYPTREC
暗号技術ガイドライン（軽量暗号）」掲載の暗号⽅式に関する安全性評価の動向調査 [3]が公開された。
また、2019 年度量⼦コンピュータ時代に向けた暗号の在り⽅検討タスクフォースにおいて、「CRYPTREC において、軽量暗号は CRYPTREC 暗号リストに組み込まず、別途ガイドラインという形で取り扱う」ことが決定された。この決定を踏まえて 2020 年度第2 回暗号技術検討会において、2016 年度に作成した「CRYPTREC 暗号技術ガイドライン（軽量暗号）」について 2023 年度中を⽬処に更新することが承認された。そこで本報告書では、2020 年度第 2 回暗号技術検討会の承認内容を踏まえて、「NIST Lightweight コ
ンペティション最終選考で採択された軽量暗号⽅式」や「軽量暗号として ISO/IEC 等で近年採録されたもしくは採録される予定の⽅式」に関する標準化動向について状況を整理した調査報告として、「軽量暗号の評価指標、標準化動向に関する調査（NIST 軽量暗号コン
ペティションファイナリストなど）」 [4]が報告された。しかしながら、調査報告は 2022
年 12 ⽉であったため Lightweight Cryptography Project の結果を含めた内容にすることができなかった。Ascon が選出された。
本調査報告書では、前回の報告書の調査期間以降である 2023 年 2 ⽉ 7 ⽇に選定された Ascon を中⼼とした標準化動向調査を⾏い、「CRYPTREC 暗号技術ガイドライン（軽量暗号）」の更新に向けた標準化動向調査結果を執筆する。

5

2.

NIST 軽量暗号コンペティション

2016 年度ガイドラインの発⾏後、NIST*による軽量暗号コンペティション（以下、NIST
軽量暗号コンペティションとする。
） [5]が開催された。前回の報告書 [4]の執筆時には「最終評価は 2022 年末に終了する予定である」と告げられていたが、2023 年 2 ⽉ 7 ⽇に Ascon を選定したことがアナウンスされた。
なお、NIST 軽量暗号コンペティションの Web サイトでは、図 1 のような構成となっており、各 Round に関する情報や軽量暗号 Workshop に関する情報、制約のある環境下での実装性能など有益な情報へのリンクが整理されている。

図 1

NIST 軽量暗号コンペティション*

NIST の正式名称は、National Institute of Standards and Technology であり、⽇本語では⽶国⽴標準技術研究所と呼ばれるアメリカの政府機関である。科学技術分野における計測と標準に関する研究が⾏われている。
URL： https://www.nist.gov/

6以下に、2023 年 9 ⽉現在の NIST 軽量暗号コンペティションにおける標準化動向に関する状況を整理する。NIST 軽量暗号コンペティションでは選定プロセスにおける Round 1
から Final Round の 3 回の選定が実施されている。それぞれの選定プロセスにおいて、どのような軽量暗号アルゴリズムが提案され、採択されたかについては表 1 を参照することで全体像を把握することができるように情報整理を⾏なっている。

#

Round1
候補アルゴリズム名
1 ACE
2 ASCON
3 Bleep64
4 CiliPadi
5 CLAE
6 CLX
7 COMET
8 DryGASCON
9 Elephant
10 ESTATE
11 FlexAEAD
12 ForkAE
13 Fountain
14 GAGE and InGAGE
15 GIFT-COFB
16 Gimli
17 Grain-128AEAD
18 HERN & HERON
19 HYENA
20 ISAP
21 KNOT
22 LAEM
23 Lilliput-AE
24 Limdolen
25 LOTUS-AEAD and LOCUS-AEAD
26 mixFeed
27 ORANGE
28 Oribatida
29 PHOTON-Beetle
30 Pyjamask
31 Qameleon
32 Quartet
33 REMUS
34 Romulus
35 SAEAES
36 Saturnin
37 Shamash & Shamashash
38 SIMPLE
39 SIV-Rijndael256
40 SIV-TEM-PHOTON
41 SKINNY-AEAD/SKINNY-HASH
42 SNEIK
43 SPARKLE (SCHWAEMM and ESCH)
44 SPIX
45 SpoC
46 Spook
47 Subterranean 2.0
48 SUNDAE-GIFT
49 Sycon
50 Thank Goodness It’s Friday (TGIF)
51 TinyJambu
52 Triad
53 TRIFLE
54 WAGE
55 Xoodyak
56 Yarará and Coral

表 1

Round2
候補アルゴリズム名
ACE
ASCON
Bleep64
CiliPadi
CLAE
CLX
COMET
DryGASCON
Elephant
ESTATE
FlexAEAD
ForkAE
Fountain
GAGE and InGAGE
GIFT-COFB
Gimli
Grain-128AEADHERN & HERON
HyENA
ISAP
KNOT
LAEM
Lilliput-AE
Limdolen
LOTUS-AEAD and LOCUS-AEAD
mixFeedORANGE
Oribatida
PHOTON-Beetle
Pyjamask
Qameleon
Quartet
REMUS
Romulus
SAEAES
Saturnin
Shamash & Shamashash
SIMPLE
SIV-Rijndael256
SIV-TEM-PHOTON
SKINNY-AEAD/SKINNY-HASHSNEIKSPARKLE (SCHWAEMM and ESCH)
SPIX
SpoC
Spook
Subterranean 2.0
SUNDAE-GIFT
Sycon
Thank Goodness It’s Friday (TGIF)
TinyJambu
Triad
TRIFLEWAGE
Xoodyak
Yarará and Coral

Final Round
候補アルゴリズム名
ACE
ASCON
Bleep64
CiliPadi
CLAE
CLX
COMET
DryGASCON
Elephant
ESTATE
FlexAEAD
ForkAE
Fountain
GAGE and InGAGE
GIFT-COFB
Gimli
Grain-128AEADHERN & HERON
HyENA
ISAP
KNOT
LAEM
Lilliput-AE
Limdolen
LOTUS-AEAD and LOCUS-AEAD
mixFeedORANGE
Oribatida
PHOTON-Beetle
Pyjamask
Qameleon
Quartet
REMUS
Romulus
SAEAES
Saturnin
Shamash & Shamashash
SIMPLE
SIV-Rijndael256
SIV-TEM-PHOTON
SKINNY-AEAD/SKINNY-HASHSNEIKSPARKLE (SCHWAEMM and ESCH)
SPIX
SpoC
Spook
Subterranean 2.0
SUNDAE-GIFT
Sycon
Thank Goodness It’s Friday (TGIF)
TinyJambu
Triad
TRIFLEWAGE
Xoodyak
Yarará and Coral

Final Selection
候補アルゴリズム名
ACE
ASCON
Bleep64
CiliPadi
CLAE
CLX
COMET
DryGASCON
Elephant
ESTATE
FlexAEAD
ForkAE
Fountain
GAGE and InGAGE
GIFT-COFB
Gimli
Grain-128AEADHERN & HERON
HyENA
ISAP
KNOT
LAEM
Lilliput-AE
Limdolen
LOTUS-AEAD and LOCUS-AEAD
mixFeedORANGE
Oribatida
PHOTON-Beetle
Pyjamask
Qameleon
Quartet
REMUS
Romulus
SAEAES
Saturnin
Shamash & Shamashash
SIMPLE
SIV-Rijndael256
SIV-TEM-PHOTON
SKINNY-AEAD/SKINNY-HASHSNEIKSPARKLE (SCHWAEMM and ESCH)
SPIX
SpoC
Spook
Subterranean 2.0
SUNDAE-GIFT
Sycon
Thank Goodness It’s Friday (TGIF)
TinyJambu
Triad
TRIFLEWAGE
Xoodyak
Yarará and Coral

NIST 軽量暗号コンペティション選定アルゴリズム（最終決定）

7【Round 1】
2019 年 3 ⽉に NIST は、NIST 軽量暗号コンペティションの Round 1 として 57 件の提出物を受け取り、“Submission Requirements and Evaluation Criteria for the Lightweight
Cryptography Standardization Process” [6]で⽰した要件に基づき完全性と妥当性の観点か
ら提出された軽量暗号アルゴリズムから Round 1 の候補アルゴリズムとして 56 個のアルゴリズム選定を 2019 年 4 ⽉に⾏い、2019 年 8 ⽉に Round 1 を終了した。
なお、Round 1 に関する詳細なステータスについては、“Status Report on the First Roundof the NIST Lightweight Cryptography Standardization Process” [7]を参照してほしい。
なお、Round 1 で使⽤された評価基準は [7]において要約されているので、概要について整理を⾏う。この Round での評価基準として最重要なものは、「提出された暗号アルゴリ
ズムの安全性」と⾔える。軽量暗号であることを評価するために制約のある環境下での実装特性（性能とコスト）も重要な基準となっていたことがわかる。また、実装での安全性の観点からは、サイドチャネル攻撃への対策に適しているかどうかについても評価されていた。

【Round2】
NIST 軽量暗号コンペティションの Round2 は、NIST が 2019 年 8 ⽉に 32 個の候補ア
ルゴリズムを発表し、2021 年 3 ⽉に Finalist を公表したことで Round2 が終了した。なお、Round2 における選定に関する詳細なステータスについては、“Status Report on theSecond Round of the NIST Lightweight Cryptography Standardization Process” [8]を参照
してほしい。
[8]において Round2 で使⽤された評価基準が要約されているので、概要について整理を⾏う。この Round での評価基準は、前回の Round 1 と同様の評価観点である「第三者による分析や広く理解された設計原理と安全性証明に基づく要求」および「制約のあるデバ
イスを⽤いたアプリケーションにおける候補アルゴリズムの性能（制約のある環境における候補アルゴリズムのハードウェアおよびソフトウェアの性能）」というものであり、Round を経ることにより評価基準が詳細化されたという理解をした。なお、Round 1 と同様に候補アルゴリズムのサイドチャネル耐性についても評価基準となっていた。

【Final Round】
NIST 軽量暗号コンペティションの Final Round は、2021 年 3 ⽉に Round2 での評価を踏まえて Ascon、Elephant、GIFT-COFB、Grain-128AEAD、ISAP、PHOTON-Beetle、Romulus、SPARKLE、TinyJAMBU、および Xoodyak の 10 個のアルゴリズムを選定し8た。当初は、NIST 軽量暗号コンペティションにおいて制約のある環境に適した AEAD とハッシュ機能として 1 つまたは複数の⽅式を選択するために標準化プロセスを開始したが、結果として 2023 年 2 ⽉ 7 ⽇に Ascon ファミリーを選定したことを発表した。
なお、Final Round における選定に関する詳細なステータスについては、“Status Reporton the Final Round of the NIST Lightweight Cryptography Standardization Process” [1]を参照してほしい。このドキュメントの⽬的は標準化プロセスとして Final Round の公開記録を提供し、選定された最終候補のアルゴリズムの評価について説明することである。

各 Round での候補アルゴリズムが選定されなかった理由については、NIST が公開している Status Report において⽰されているが、次の Round に進めなかった理由について概要を整理する。

【Round 1】
・ 第三者による安全性に対する評価が公開されていないことや提出資料において、安全性の要求を裏付ける情報が不⼗分である提案については除外された。
・ 第三者評価によって、Forgery Attacks、Length-extension Attacks や Distinguishing
Attacks が存在する⽅式が整理された。
Ø

なお、指摘された懸念を払拭するために設計者が提案した修正は、評価時には考慮されなかったが、実装のバグによる実⽤的な攻撃（例えば、Forgery
Attacks）は排除の理由とはされなかった。NIST の研究者は実装の更新をチェックし、元の仕様と整合性が取れているかを確認した。

【Round 2】・ Round 1 と同様に第三者による安全性評価が⾏われていることや安全性の要求を裏付ける情報が⼗分に情報公開されていること。
・ 制約のあるデバイスを使⽤するアプリケーションにおける性能（制約のある環境におけるハードウェアおよびソフトウェアでの性能）がよいこと。
Ø

さまざまな性能とコストの指標で評価・⽐較され、現在の NIST 標準（特にAES-GCM [9]と SHA-2 [10]）より著しく性能がよいものが選定時に優遇されていた。

・ 追加検討事項として、以下の項⽬について評価されている。
ØSide-Channel Resistance、Nonce-Misuse Security、RUP Security、Impacts ofState Recovery および Post-Quantum Security

9

3.

Ascon の選定に関する評価基準や評価観点

NIST 軽量暗号コンペティションの最終選考アルゴリズムとして Ascon が選定されたが、Final Round†における評価基準と選考プロセスについての概要を整理し、Ascon が選定された理由について調査結果を⽰す。詳細については、⽂献 [1]の「2. Evaluation Criteria
and Selection Process」を参照することでより詳しく情報を得ることができる。

3.1. NIST 軽量暗号コンペティションにおける評価基準や評価観点
NIST 軽量暗号コンペティションにおける評価基準について、まとめると以下に⽰す 4 つが主な基準となっていると考えられる。また、重要度という観点から評価基準を⾒ると、最も重要な基準は「安全性」である。それに次ぐ重要な基準は「制約のある環境下におけるソフトウェアおよびハードウェアでの性能」であると考えられる。

・

暗号学的安全性・制約のある環境下におけるソフトウェアおよびハードウェアでの性能

・

サイドチャネル攻撃や故障攻撃への耐性

・

知的財産

それぞれの評価基準について、具体例を挙げて詳しく解説を⾏う。

・

暗号学的安全性
評価対象アルゴリズムにおける安全性は、提出された閲覧可能な⾃⼰による安全性
解析結果、設計者による安全性に対する要求、安全性証明、広く閲覧可能な第三者による安全性評価などの情報を幅広く評価している。
なお、明⽰的に提出が要求されていないが、Nonce-misuse シナリオや Releasing
Unverified Plaintext (RUP) シナリオ、状態回復への影響、耐量⼦暗号としての安全性などが追加の考慮事項として挙げられている。
なお、最終候補として選定されたアルゴリズムに対する安全性評価については、⽂献 [1]の「3. Finalists」に整理されている。

†

⽂献 [1]において、Final Round が Round 3 として明記されていることに注意された
い。

10

・

制約のある環境下におけるソフトウェアおよびハードウェアでの性能
様々な性能やコストに関する測定基準において、Final Round に選定されたアルゴリ
ズム同⼠や NIST 標準である AES-GCM [11] [12]（AEAD としての⽐較対象）とSHA-2 [13]（ハッシュ関数としての⽐較対象）との⽐較・評価が⾏われる。なお、現⾏アルゴリズムとして広く採⽤されている AES-GCM や SHA-2 に対しては⼤幅に優れた性能を発揮することが期待されている。
なお、最終候補として選定されたアルゴリズムの性能⽐較結果は、⽂献 [1]の「4.
Benchmarking Results」および「B. NIST Software Benchmarking Results」に整理さ
れている。

・

サイドチャネル攻撃や故障攻撃への耐性
サイドチャネル攻撃への耐性を提供する必要はないと⽰されているが、簡単かつ低コストで実現できることが強く要望されている。
なお、最終候補として選定されたアルゴリズムのサイドチャネル攻撃や故障攻撃に関する結果は、⽂献 [1]の「4.3. Resistance to Side-Channel and Fault Attacks」に整理されている。

・

知的財産
知的財産について、特許請求の使⽤を必要とする可能性のあるアルゴリズムや実装に反対はしないが、技術的な理由によりこのアプローチが正当化される場合、評価プロ
セスでの選定を妨げる可能性のある要因であると⽰されている。
なお、知的財産に関する声明については、⽂献 [1]の「2.2. Selection Process」に整理されている。

3.2. NIST 軽量暗号コンペティションにおける評価プロセス
最終候補を公正に評価し、標準化されたのちに⻑期にわたって利⽤されるアルゴリズムを選択することが困難な作業であることが⽰されており、困難な作業である理由として、
以下の項⽬が挙げられている。

・

最終候補の機能11

・セキュリティの要求

・

ベースとなる構成要素

・

サポートされるパラメータサイズ

・

設計アプローチ・

バリエーションの数・利⽤可能な第三者による安全性評価の数・最適化された実装物の数

また、NIST 軽量暗号コンペティションの初期段階において、ターゲットアプリケーションに関して、⼀般からのフィードバックを踏まえて 2 つのプロファイル（図 2）を決定した。この部分が NIST 軽量暗号コンペティションにおいて 1 つまたは複数のアルゴリズムが選定される可能性が出た要因である。

図 2 軽量暗号アプリケーションにおけるプロファイル

2 つのプロファイルが定められており、以下のとおりである。
・

プロファイル 1
Ø

制約のある環境でのソフトウェアとハードウェアのための AEAD およびハッシュ・

プロファイル 2Ø

制約のある環境でのハードウェアのための AEAD

最終候補に対する評価プロセスとして、第三者によるセキュリティ評価、バリエーショ
ン、設計の微調整、ベンチマーク、耐量⼦安全性、知的財産に関する声明の 6 つの観点か
ら状況を整理し、まとめる。

12

・

第三者によるセキュリティ評価
最終候補のアルゴリズムは、多くの第三者によるセキュリティ評価が⾏われた。それぞれの最終候補に対する評価結果は、⽂献 [1]の「3. Finalists」にまとめられている。また、単⼀鍵および Nonce-respecting において最終候補における安全性の要求を無効にするような評価はなく、ほとんどの候補は安全性のマージンがある状況であった。

・

バリエーション
AEAD とハッシュについては、異なる⼊出⼒サイズをサポートし、かつ／または異なるベースとなる構成ブロックを持つ、複数のバリアント（最⼤ 10 個）の提出が許可されたが、NIST は公正な⽐較を⾏えるようにするため特定の⼊出⼒サイズを持つ
AEAD とハッシュのバリエーションを各チームに求めた。この要望に対して、いくつかのチーム（Ascon、SPARKLE、Xoodyak など）には eXtendable Output Function(XOF)の亜種が含まれていたが、これらは正式なバリエーションとは考慮されなかっ
たが、XOF 機能を提供できる柔軟性は選考過程において設計における有利な点としてみなされた。

・

設計の微調整Final Round の初期段階において、安全性や実装性能を向上させるための軽微な設計変更（NIST は以前に実施されたセキュリティ評価を無効にしない範囲を想定）が許可されたが、Ascon、GIFT-COFB、ISAP、PHOTON-Beetle および SPARKLE につ
いては、設計上の微調整は実施されなかった。⼀⽅、その他の候補については、性能向上や安全性改善のために設計が修正された。

・

ベンチマークNIST 標準である AES-GCM と SHA-2 よりも⼤幅に優れた性能を発揮することが期
待されている。また、軽量暗号の重要な要素の 1 つとして、実装者が特定の⽤途に最適な実装を⾏うためのトレードオフ（コストと性能）を⾏えることである。
ソフトウェアでのベンチマーク結果として Ascon、GIFT-COFB、SPARKLE、
TinyJAMBU および Xoodyak が、様々なプラットフォームで性能における優位性を⽰めした。詳細な情報については、⽂献 [1]の「4.1. Software Benchmarking」および「Appendix B. NIST Software Benchmarking Results」にまとめられている。また、
ハードウェアでのベンチマーク結果として、Ascon、Xoodyak および TinyJAMBU が13

最も優れた性能を⽰した。詳細な情報については、⽂献 [1]の「4.2. Hardware
Benchmarking」にまとめられている。
また、サイドチャネル攻撃や故障攻撃への耐性やそのような攻撃を軽減させるための必要な実装オーバーヘッドについても評価が⾏われ、Ascon、ISAP、Xoodyak および TinyJAMBU はとても良い評価を⽰した。詳細な情報については、⽂献 [1]の「4.3.1. Protected Implementations and Side-Channel Security Evaluations」にまとめ
られている

・

耐量⼦安全性
軽量暗号の標準化プロセスにおける主要な関⼼事の⼀つではないが、量⼦コンピュータによる脅威に対する安全性の提供は⻑期利⽤の観点からも必要であるため、評価時には量⼦的な脅威に対するセキュリティも考慮された。⼀般的に共通鍵暗号関連の耐量⼦安全として、最も⼀般的な攻撃は Grover アルゴリズム [14]であり、網羅的な鍵探索(または、ハッシュ関数における衝突の発⾒)を 2 次関数的に⾼速化することが知られている。この攻撃を回避するためには、より⼤きな鍵サイズ（または、より⼤きなダイジェストサイズ）を持たせることになる。
これを踏まえると、3 つの候補が 128 ビットより⻑い鍵をサポートしている結果となった。特に SPARKLE ファミリーと TinyJAMBU ファミリーは 192 ビットと 256 ビ
ットの鍵を持つ AEAD バリエーションを含み、また Ascon のバリエーションの 1 つが 160 ビットの鍵をサポートしている。

・

知的財産に関する声明
NIST は、最初のアルゴリズム提出時に、選択されたアルゴリズムに対して全世界でロイヤリティなしで利⽤できるようにするという⽬標が述べられていた。NIST は、
アルゴリズム提出者に対し、候補アルゴリズムの実装によって侵害される可能性のある既知の知的財産をすべて特定するよう要求しており、結果として、最終候補の中で、該当する特許が特定されたのは PHOTON-Beetle のみという結果となった。しかしながら、この知的財産に関する事項は選考プロセスの決定には影響はなかったことが⽰されている。

14

3.3. Ascon に関する評価
NIST 軽量暗号コンペティションで⾏われた評価として、上記の基準に従って最終候補を評価した結果、NIST は Ascon ファミリーを標準化として選定した。Ascon ファミリーは、AEAD とハッシュ関数、そして追加された XOF を含むものとなっている。これにより、幅広いアプリケーションのニーズを満たすことができる。また、Permutation ベースの設計であるため追加機能を実装する際に追加コストが少なく済むことが期待されている。最終候
補の中でも Ascon は、安全性という側⾯から⾒ると最終候補の中で最も成熟していると考えられている。理由としては、他の最終候補のいくつかは NIST 軽量暗号コンペティションの前から発表されていなかったが、Ascon ファミリーの AEAD バリエーションは CAESAR
コンペティションの⼀環として発表され、安全性等について分析が⾏われていた。このCAESAR コンペティションでは、軽量認証暗号化を含む 3 つのプロファイルが作成されており、最終的に Ascon の AEAD バリエーションは、最終的な CAESAR ポートフォリオにおける軽量アプリケーションの主要な選択肢として選定された実績もある。Ascon の成熟度は、Final Round で⾏われた設計の微調整にも現れており、バリアントが追加されたが、Round 2 のバリエーションには設計の変更が⾏われていない状況であった。この事実を踏まえると、評価・分析で⾏われた攻撃に対処するために設計の微調整を⾏った他最終候補とは異なり、Ascon の⾼い成熟度を認識することができる事象と⾔える。
Ascon は公開されてから⻑い歴史があるため豊富な評価・分析が⾏われており、第三者による評価と実装が最も多いアルゴリズムであると⾔える。また、Ascon は暗号解析攻撃で先⾏しているにもかかわらず、
⾼い安全性を維持している。
さらに、
Ascon ファミリーの AEAD
バリエーションは、nonce-misuse resilience など AEAD におけるいくつかの⾼いセキュリ
ティ機能を有する。

専⽤ハードウェアや組み込みシステムなど制約の多い環境での性能という基準は、最終選定の重要な要因となったと記されている。Ascon はソフトウェアおよびハードウェアで⾮常に優れた性能を発揮した。コストと性能の間のさまざまなトレードオフをサポートする
実装の柔軟性を実証し、制約のあるリソース環境のさまざまなソフトウェアおよびハード
ウェアで、現在の NIST 標準である AEAD（AES-GCM）およびハッシュ（SHA-2）よりも優れた性能を⽰した。Ascon はまた、サイドチャネル攻撃等に対する対策が⾏われた保護された実装において、保護されていない実装よりも追加コストが低いことも⽰された。最終候
補の 1 つである ISAP も、Ascon の Permutation に依存する AEAD のバリエーションを 2
つ持っていたが、最終的に Ascon よりも実装がより⼤きく、より遅くなるため実現性が低いと判断された。

15

軽量暗号の標準化プロセスで研究された Ascon のバリエーションの重要な制限事項の 1 つは、「256 ビット鍵のオプションがない」ことである。これは、量⼦アルゴリズムによる攻撃に対する 128 ビットのセキュリティが必要な場合に問題となる。しかしながら、この点に対して NIST は、この選定プロセスの主な⽬的を「軽量な AEAD とハッシュである」と強調している。もし仮に耐量⼦対策として 256 ビット鍵が必要な場合には、AES-GCM を使⽤することができると考えているようである。必要に応じて、より⾼い耐量⼦安全性を実現する追加のバリエーションの検討する可能性もあることが⽰唆されている。
なお、NIST の⾒解として、当⾯、Ascon ファミリーは制約のある環境下において⼗分な
セキュリティを提供できると考えており、Ascon の性能はターゲット・デバイスやアプリケーションで許容されると予想されるため、現時点では第⼆候補のアルゴリズムは必要ないと判断しているとのことである。

16

4.

他標準化団体における軽量暗号 Ascon への検討状況

NIST 軽量暗号コンペティションにおいて、2023 年 2 ⽉に Ascon が選定された結果を受けて、Ascon そのものや軽量暗号に関する採⽤に向けた検討が⾏われているかについて、NIST
以外の組織で標準化が⾏われているかを調査した。調査⽅法については以下のとおりである。

・

調査対象 標準化団体
Ø・

IETF、W3C、ISO/IEC、ITU-T、Global Platform

調査⽅法
Ø

調査⼿段：検索エンジン

Ø

検索キーワード：Ascon、Light weight CryptoØ

検索期間：2023 年 2 ⽉ 7 ⽇ 〜 9 ⽉ 15 ⽇

調査結果は以下のとおり†。
・

IETF
Ø

Internet Draft “Secure UAS Network RID and C2 Transport” [15] の 「 5.3.
Ciphers for Secure Transport」において、無⼈航空機で Ascon を選択するのが最善であることが⽰されている‡。その際には、ESP [16]や DTLS [17]の拡張が必要であるとも記述されている。

ØInternet Draft “Properties of AEAD algorithms” [18]の「4.4.2. Lightweight」において、NIST 軽量暗号コンペティションに関する参照が⾏われている。

Ø

IETF 117 で開催された TLS WG の発表である「New Post-Quantum Signatureson the Horizon」 [19]において、Ascon-Sign（SPHINCS+ with Ascon）が取り上げられていた。

・

W3C
Ø

・

ISO/IECØ†

調査した範囲では該当なし

調査した範囲では該当なし

2024 年 3 ⽉ 3 ⽇現在、調査結果に関して追加情報が無いことを確認した。

‡

Internet Draft 内では「NIST has selected a new lightweight cipher, Ascon, that may be
the best choice for use on a UA. Work will be needed to develop full support for Ascon inboth ESP and DTLS.」と記述されている。

17

・

ITU-T
Ø

・

調査した範囲では該当なし

Global Platform
Ø

調査した範囲では該当なし

以上のことから、標準化団体での検討状況については、⼤きな動きはあるように感じられなかった。しかしながら産業界において NIST 軽量暗号コンペティションの結果を受けて利⽤可能な環境を提供するような動向を把握したのでいくつか紹介する。NIST による最終的な標準化仕様が公開されることで、他標準化団体や産業界での活動が活性化されることが期待される。

・・IP コア関連Ø

Rambus 社 「Ascon-IP-41 暗号エンジン」 [20]ØXiphera 社 「XIP2201B: Ascon」 [21]Ø

CAST 社 「Ascon-F」 [22]暗号ライブラリ関連ØBouncy Castle 1.7.3 以降 [23]ØCIRCL§ [24]§GitHub 上には記述されていないが、”https://pkg.go.dev/github.com/cloudflare/circl@v1.3.3/cipher/Ascon”には仕様が公開さ
れている。

18

5.

Ascon に関する考察

これまでの調査結果を踏まえて Ascon が選定されたことについて考察を⾏う。ポイントとなるのは、⽂献 [1]で⽰されている以下のような評価基準において、全体的に⾼い評価を得ることができている点であると考えられる。

・

暗号学的安全性・制約のある環境下におけるソフトウェアおよびハードウェアでの性能

・

サイドチャネル攻撃や故障攻撃への耐性

・

知的財産

特に「暗号学的安全性」と「制約のある環境下におけるソフトウェアおよびハードウェ
アでの性能」が⾼く評価されているのではないかと考える。

5.1. 安全性
安全性については、Ascon のバリエーションが CAESAR コンペティションの最終ポート
フォリオに含まれていることから、発表からの⻑い歴史があるため、第三者からのセキュリティ評価の数もかなり多い結果となっている。また、NIST 軽量暗号コンペティション
においても Round 2 以降に設計を変更しないくらい設計が枯れていることも評価ポイントになっていたと考えられる。なお、⽂献 [1]の「3.1.2. Security Analysis」において、Ascon ファミリーに対するセキュリティ評価の概要がまとめられているので、具体的な内容を把握したい⽅は参照のこと。

5.2. 性能制約のある環境下におけるソフトウェアおよびハードウェアでの性能については、ソフ
トウェアベンチマークおよびハードウェアベンチマークのそれぞれについて考察を⾏う。
なお、⽂献 [1]の「4. Benchmarking Results」に注意点として、最終候補の特定の指標における最適化の可能性を完全に⽰すものでなく、すべての実装が同じ仮定や⽬標で設計されているわけではないことが⽰されている、さらに、注意点として、最終候補のより効率的な実装は実施可能であり、厳密な順位付けではないことに注意し⼀般的な指針として考慮することが⽰されている。

19

＜ソフトウェア・ベンチマーク＞
マイクロコントローラ上のソフトウェア性能は、最終候補の評価基準として重要である。評価実施については、複数の評価主体によって性能評価が⾏われた。評価主体とマイクロコントローラの環境については表 2 のとおりである。この評価では、メモリに制限のある 8 ビットマイコンから 32 ビットおよび 64 ビットマイコンまで幅広いターゲットプラ
ットフォームを対象としている。

表 2 評価主体とベンチマークに使⽤したマイコンの仕様

以下に、NIST と Renner らによる評価結果の概要を⽰す。
・NIST による評価結果の概要
Ø

評価環境での性能と PlatformIO でのコンパイルに成功した時に使⽤されたフラッシュサイズ（単位: バイト）で評価された。

Ø

AEAD 機能のサイズにおいて、Ascon は⼀貫してトップ・パフォーマーであり、AES-GCM よりもコンパクトな実装を実現した。

Ø

ハッシュ機能のサイズにおいて、Ascon はすべてのプラットフォームで⼀貫して SHA-256 より⼩さかったが、すべての環境で最速だったのは SHA-256 であった。

・Renner らによる評価結果の概要

20

Ø

マイクロコントローラ上の AEAD アルゴリズムの性能を評価するためのベンチ
マークフレームワークを開発しており、この評価では、実⾏時間（マイクロ秒、テストベクタの平均⽣成時間）、コンパイル済みバイナリのサイズおよびRAM 使⽤量（STM32F7 のみ）を得ることができる。

Ø

Arduino Uno の環境において、SPARKLE 、GIFT-COFB 、Xoodyak がトップ3 であり、Ascon はかなり近接するような速度であったことから、この環境ではトップ集団でないことがわかる。ただし、コードサイズの観点では Ascon は最⼩サイズに達していると報告されている。

以上のことから、ソフトウェア・ベンチマークにおいて、Ascon は全体的にすべての環境
で実⾏速度およびコードサイズにおけるトップ・パフォーマーであることが選定の決め⼿になったと考えられる。

＜ハードウェア・ベンチマーク＞
ハードウェア・ベンチマークにおいて、Round 2 で実施されたサイドチャネル攻撃対策が⾏われていない実装の性能評価結果の多くは Final Round に流⽤可能であることが⽰されていた。特に NIST は、ジョージ・メイソン⼤学（GMU）の暗号研究グループである
CERG の評価結果に注⽬した。また、GMU はサイドチャネル攻撃等の対策を⾏った実装
評価を⾏うには膨⼤な時間と専⾨知識が必要であり、単⼀グループが単独で⾏うことが困難であることを踏まえて、複数グループのリソースと専⾨知識を集結させるなどの貢献を⾏なっている。
GMU チームによる評価は、ベンチマーク環境として Xilinx 社 Artix-7 プラットフォームを使⽤した。保護された実装と保護されていない実装の両⽅が評価された。保護されていない実装と保護された実装のスループットや⾯積、あるいはマスキングに必要なランダ
ム・ビット数などの性能⽐較により、保護されていない実装に保護⼿法を適⽤するコストに関する知⾒が得られたとされている。その評価結果として、⾮保護の AEAD 実装において Ascon は AES-GCM よりも平⽂を⾼速に処理した。サイズについて Ascon はトップ集団と⽐較するとよい結果は出ていない。なお、スループットから評価すると Ascon は最も
スループットが⾼い結果となった。また、ハッシュ処理では、Ascon の⾮保護実装が最も⾼いスループットを⽰したが、サイズについて Ascon はトップ集団と⽐較するとよい結果は出ていない。
以上のことから、ハードウェア・ベンチマークにおいて、Ascon は全体的にすべての環境
で実⾏速度においてはトップ・パフォーマーであるが、サイズの観点からは Ascon は最⼩21

の実装を実現できていないが、GMU 以外の評価主体の評価によりエネルギー効率がよい
ことが報告されていることから選定の決め⼿になったと考えられる。

上記で考察した結果や⽂献 [1]で議論されている内容を踏まえると、Ascon は NIST 軽量
暗号コンペティションの評価基準において⾼い評価結果を⽰していることから順当な判断によって選定されたと考える。

5.3. 標準化
NIST 軽量暗号コンペティション終了後である 2023 年 6 ⽉ 21〜22 ⽇にオンライン開催であったが、NIST 主催による 6th Lightweight Cryptography Workshop**が開催され、選定プロセスや軽量暗号の標準化に関する様々な側⾯について議論が⾏われた。18 個の発表が⾏われたが、その中から NIST 所属の Meltem Sönmez Turan ⽒によって発表された「Evaluation of the Finalists and the Selection of Ascon」 [25]において、Ascon の標準化
ドキュメントが公開されるタイミングに関する情報について⾔及されているためである。
その標準化ドキュメントの公開時期として 2023 年後半（図 3）と共有されている。本報
告書の 2023 年 9 ⽉現在、標準ドキュメントの草案は公開されていない。

図 3 資料" Evaluation of the Finalists and the Selection of Ascon"**

https://csrc.nist.gov/Events/2023/lightweight-cryptography-workshop-2023

22

6.

まとめ

本報告書では、NIST 軽量暗号コンペティションで 2023 年 2 ⽉ 7 ⽇に選定された Ascon
について標準化動向の調査を⾏った。Ascon の選定に関連する情報については、⽂献 [1]に詳しく記載されているため、この⽂献を中⼼に調査を⾏った。
Final Round では、最終候補として 10 のアルゴリズムが選択され、以下に⽰すような選考プロセスにおいて評価が⾏われた。
・

選考プロセスでのポイント
Ø

様々な評価基準（安全性、ソフトウェアおよびハードウェアの性能、設計の成熟度、第三者による安全性評価の量、知的財産権の有無など）に異なる重み付けを割り当てて実施Ø異なるセキュリティ要件、異なる機能性、異なる複雑性を持った攻撃などを踏まえた評価の実施Ø

限られたリソースにおける安全性評価および性能評価の実施

最終候補となったアルゴリズムの中から NIST が Ascon を選定したポイントについて整理を⾏うと以下の項⽬が挙げられる。
・

・

安全性
Ø

⾼いセキュリティーマージン

Ø

多数の第三者による安全性評価の数

設計/実装
Ø

設計の微調整を⾏わないという設計の成熟度

Ø

軽量暗号コンペティションである CAESAR プロジェクトにおいて軽量暗号の最終的なポートフォリオに選択されている実績・Ø

漏えいに対するモードレベルでの保護メカニズムを有することØ

実装と設計の柔軟性Ø

サイドチャネル攻撃に対する対策を⾏うための追加コストが低いこと

機能性
Ø

・

ハッシュに加えて XOF や MAC などの追加機能を有すること

性能Ø

ソフトウェアおよびハードウェア環境において、現⾏の NIST 標準である AESGCM や SHA-2 を上回る性能を有すること

また、NIST 以外の標準化団体における検討については、2023 年 9 ⽉現在では⼤きな動き

23

は⾒られなかったが、2023 年後半に予定されている NIST が発⾏する標準仕様の公開を受けて、本格的に様々な団体での検討が⾏われるものと考える。また、標準化された暗号技術が利⽤できる環境としてソフトウェアやハードウェア実装が公開されることが重要である
が、CAESAR プロジェクト等の実績などから実装がいくつか公開されているケースが⾒受けられた。これは Ascon の設計が成熟しており、NIST 軽量暗号コンペティションにおいて設計の微修正が⾏われていないことが背景にあると考える。

24

参考⽂献
[1] NIST, “Status Report on the Final Round of the NIST Lightweight
Cryptography Standardization Process:,” NIST, 2023.
[2] CRYPTREC 軽量暗号ワーキンググループ, “CRYPTREC 暗号技術ガイ
ドライン (軽量暗号),” 3 2017.. Available:
https://www.cryptrec.go.jp/report/cryptrec-gl-2003-2016jp.pdf.
[3] 伊藤⻯⾺, “「CRYPTREC 暗号技術ガイドライン（軽量暗号）」掲載の暗号⽅式に関する安全性評価の動向調査,” 2021. . Available:
https://www.cryptrec.go.jp/exreport/cryptrec-ex-3101-2021.pdf.
[4] GMO サイバーセキュリティ by イエラエ株式会社, “軽量暗号の評価指標、標準化動向に関する調査（NIST 軽量暗号コンペティションファイナ
リストなど）,” 17 4 2023. . Available:
https://www.cryptrec.go.jp/exreport/cryptrec-ex-3206-2022.pdf.
[5] National Institute of Standards and Technology, “Lightweight
Cryptography,” . Available: https://csrc.nist.gov/projects/lightweightcryptography.
[6] NIST, “Submission Requirements and Evaluation Criteria for theLightweight Cryptography Standardization Process,” NIST.
[7] K. M. Ç. Ç. D. C. ,. L. B. Meltem Sönmez Turan, “Status Report on theFirst Round of the NIST Lightweight Cryptography Standardization
Process,” 10 2019. . Available:
https://csrc.nist.gov/publications/detail/nistir/8268/final.
[8] NIST, “Status Report on the Second Round of the NIST Lightweight
Cryptography Standardization Process,” NIST, 2021.
[9] M. Dworkin, “NIST Special Publication 800-38D: Recommendation for
Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and
GMAC,” 11 2007. . Available:
https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication80038d.pdf.

25[10] National Institute of Standards and Technology, “FIPS PUB 180-4 Secure
Hash Standard (SHS),” 2015. . Available:
https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.180-4.pdf.
[11] U.S. Department of Commerce , “Advanced Encryption Standard (AES),”2001. . Available: https://doi.org/10.6028/NIST.FIPS.197- upd1.
[12] M. Dworkin, “Recommendation for Block Cipher Modes of Operation:
Galois/Counter Mode (GCM) and GMAC,” 11 2007. . Available:
https://doi.org/10.6028/NIST.SP.800-38D.
[13] U.S. Department of Commerce , “Secure Hash Standard (SHS),” 8
2015. . Available: https://doi.org/10.6028/NIST.FIPS.180-4.
[14] L. K. Grover, “A fast quantum mechanical algorithm for database search,”
1996.
[15] R. Moskowitz, “Secure UAS Network RID and C2 Transport,” 3 2023. .
Available: https://datatracker.ietf.org/doc/draft-moskowitz-drip-securenrid-c2/.
[16] P. Jokela, “Using the Encapsulating Security Payload (ESP) Transport
Format with the Host Identity Protocol (HIP),” 4 2015. . Available:
https://www.rfc-editor.org/rfc/rfc7402.html.
[17] E. Rescorla, “The Datagram Transport Layer Security (DTLS) Protocol
Version 1.3,” 4 2022. . Available: https://www.rfceditor.org/rfc/rfc9147.html.
[18] A. Bozhko, “Properties of AEAD algorithms,” 3 2023. . Available:
https://datatracker.ietf.org/doc/draft-irtf-cfrg-aead-properties/.
[19] T. W. Bas Westerbaan, “New Post-Quantum Signatures on the Horizon,”
7 2023. . Available:
https://datatracker.ietf.org/meeting/117/materials/slides-117-tls-newpost-quantum-signature-algorithms-on-the-horizon-00.
[20] Rambus, “Rambus IP Solution Supports New NIST Lightweight
Cryptography Algorithm,” 22 2 2023. . Available:
https://www.rambus.com/blogs/rambus-ip-solution-supports-new-nistlightweight-cryptography-algorithm/.
26

[21] Xiphera, “XIP2201B: ASCON, A Lightweight Cryptographic Suite for
AEAD and Hashing,” 1 8 2023. . Available:
https://xiphera.com/products/pdf/XIP2201B_PB.pdf.
[22] CAST, “ASCON-F, ASCON Authenticated Encryption & Hashing
Engine,” 11 9 2023. . Available: https://www.castinc.com/security/encryption-primitives/Ascon-f.
[23] Bouncy Castle, “The Legion of the Bouncy Castle,” 8 4 2023. . Available:
https://www.bouncycastle.org/releasenotes.html#r1rv73.
[24] Cloudflare, “CIRCL (Cloudflare Interoperable, Reusable Cryptographic
Library),” . Available: https://github.com/cloudflare/circl.
[25] Meltem Sönmez Turan - NIST, “Evaluation of the Finalists and the
Selection of Ascon,” 21 6 2023. . Available:
https://csrc.nist.gov/Presentations/2023/evaluation-of-the-finalists-andthe-selection.
[26] “CAESAR: Competition for Authenticated Encryption: Security,
Applicability, and Robustness,” . Available:
https://competitions.cr.yp.to/caesar.html.
[27] “FELICS - Fair Evaluation of Lightweight Cryptographic Systems,” .
Available: https://www.cryptolux.org/index.php/FELICS.
[28] “CAESAR submissions,” . Available: https://competitions.cr.yp.to/caesarsubmissions.html.
[29] T. A. &. A. Luykx, An Account of the ISO/IEC Standardization of theSimon and Speck Block Cipher Families, Springer.

27