センサ・制御データのセキュアかつ高信頼な通信処理
Secure and highly reliable communication processing of a sensor and a control data
岡山大学

野上 保之

日下 卓也

梶谷 翔馬

城市 翔

生田 健

アルゴリズムレベルの安全設計
身の回りのあらゆる“モノ”がインターネットにつながる時代

IoTデバイスの乗っ取り
アクセル・ブレーキの乗っ取り• 自動操縦• スマートメンテナンス• 顧客サービス

自動車 • 自動操縦

鉄道・航空

街
クラウド・ネット社会

家

医療・介護
• 感染経路の探索• 電子健康記録• 遠隔手術• 薬剤投与

交通事故• 走行情報の活用

工場

農業• 遠隔監視・操作• データ分析

産業用ロボットの乗っ取り• 公共インフラ• 環境モニタリング• スマートグリッド

生産ライン停止
信号機の乗っ取り• スマート家電• ホームセキュリティ• スマートグリッド• 農業用センサー• 無人機

交通網の混乱問題点

IoTデバイスが乗っ取られると重大事故・事件につながる恐れ

安全に情報を処理する技術が重要

複雑な数学

認証応用技術応用製品
匿名認証技術大学間無線LANローミング (岡山大学)「ユビキタス環境における実用的な組織間匿名認証の研究開発およびその実証・検証」

楕円曲線暗号
yQP

楕円曲線暗号の高速化を実現しペアリングを利用したグループ署名方式で世界最速レベルの認証処理の実現

ペアリング暗号

楕円曲線上の有理点を利用した暗号
4つの数学的困難性により安全性を保証

楕円曲線暗号

楕円曲線を用いた暗号方式の総称
離散対数問題により短い鍵長で実現可能

拡大体演算 (ベクトル乗算)

m 次元のベクトル空間同士の演算 (m ≦ 20)
各要素が多倍長整数

暗号技術

x

楕円曲線上の離散対数問題により安全性が保証される

y 2 = x 3 + ax + b
ペアリング暗号双線形写像を利用した暗号

多倍長演算 (大きな整数演算)

m

●

基本演算

P

256ビットの標数 p を用いた四則演算

Q

計算端末チップ
楕円曲線上の点 P, Q

ベクトル空間上の点 m

ペアリング暗号のHW実装には
東京エレクトロン デバイス（株）との共同研究「クラウドコンピューティング時代の認証技術を高度に実現する並列代数計算アルゴリズムのLSI化」 実装済

サイドチャネル攻撃 (SCA) (電磁波解析など)
評価用ボード

回路の小型化（省エネ、高速）

攻撃に対する十分な安全性評価

回路に含まれるアルゴリズム

電磁解析した波形イメージ図 （D:楕円二倍算、A:楕円加算）
未対策

暗号計算部

CVMA
20次元までのベクトル乗算を求める

D D

A

D

DとAの波形の違いか
ら秘密情報が漏洩

D

A A

モンゴメリラダーを適用すると・・

楕円スカラ倍算
楕円曲線上の有理点に対する演算
アフィン座標、射影座標、ヤコビアン座
標に対応

PCと接続し、設定を読み込む

モンゴメリラダー
アルゴリズム対称化によるSCA対策

暗号シミュレーションボード SAKURA-X

DA

DA

D

A

D

理論上DとAが常に交互に現れ秘密情報を盗めないはず！

要検証・今後の課題

楕円曲線暗号・ペアリング暗号 ・・・実装済
HW上でのデータを計測し、理論値との比較を行う

コントローラ東京エレクトロン デバイス社製

対策

幅広い埋め込み次数（1～20）のセキュアなTateペアリング暗号を実現

安全性評価・活用へ
研究開発用に回路データ（verilog）を無料公開予定！

安全性評価のための楕円曲線暗号攻撃実験
ECDLP (楕円曲線離散対数問題)
楕円曲線𝐸: 𝑦 = 𝑥 + 𝑎𝑥 + 𝑏

PollardのRho法

解読手法

ランダムウォークによる点生成をおこない秘密鍵 𝒔 を求める

𝑎, 𝑏 ∈ 𝐹

𝐸を満たす有利点の集合を𝐺 とすると
𝐺 ≜𝑥, 𝑦 |𝑥, 𝑦, 𝑎, 𝑏 ∈ 𝐹 , 𝑦 = 𝑥 + 𝑎𝑥 + 𝑏

𝑅 =点𝑃, 𝑄 ∈ 𝐺 について
𝑄 = 𝑠 𝑃を満たす𝑠を求めること
𝑠 𝑃 = 𝑃 + 𝑃 + 𝑃 + ⋯+ 𝑃 + 𝑃

𝑎 𝑃+ 𝑏 𝑄
𝑅+𝑅𝑓 𝑥 ∈ 0, 𝑙 − 1

𝑖𝑓: 𝑅 = 𝑅

点生成1回の計算量が効率的な手法とされている））

成果と現行の実験

暗号攻撃プログラム
1. クライアント側でランダムな点生成を行い生成した点をサーバ側に送る

楕円加算1回•𝑏 ≠𝑏（ランダムスカラ法における期待値：（ランダムスカラ法における期待値：

Rho法の特徴

並列化が容易𝑎 −𝑎𝑏 −𝑏

期待値：

PollardのRho法を用いた暗号攻撃プログラム•𝑠=

計算が非常に困難𝑠 個の𝑃•

0≤𝑛<𝑙𝑙≤𝑛2.

サーバ側で送られてきた点を保存しこれまでに保存した点と衝突判定を行う

3.

点が衝突するまで1,2を繰り返す

暗号攻撃プログラムの効率化
楕円加算におけるMontgomery Multiplication を最適化=> 従来より性能が26%改善！
他大学と連携した大規模実験
大学の長期休暇等を利用し岡山大学のPC（約500コア）と北九州市立大学のPC（約1000コア）を暗号攻撃実験に使用

サーバ
解読に成功すれば世界記録となる114bitのECDLPに対して攻撃実験を実施中

並列化
各クライアントPCにそれぞれ異なるランダムな初期点を与えることで各PCが別々のランダムウォークを行うため並列化による点生成が容易に可能

𝑅ⅰ

𝑅ⅳ
𝑅ⅱ

𝑅ⅲ

クライアントWebベース暗号攻撃

新たな暗号攻撃手法

Webページを開くだけで攻撃に参加可能• 攻撃プログラムをWebアプリとしてWebブラウザ上で実行• 計算機のプラットフォームに非依存攻撃プログラムのWebアプリ化
暗号攻撃プログラムをWebブラウザ上で実行可能な形式で実装=> Native Client を利用して高速化

NICT （国立研究開発法人情報通信研究機構）総合テストベッドとの連携により最大2000コア程度の計算リソースを用いた大規模暗号攻撃実験を計画中

スマートフォンアプリを利用した攻撃
攻撃プログラムのスマートフォンアプリ化• 暗号攻撃プログラムをスマートフォン上で実行可能なJavaで書き換える• 点生成をスマートフォン上で行う

暗号攻撃プログラムの効率化
ランダムな点生成において楕円加算を効率的に行うための手法として
Montgomery Multiplication とMontgomery Trickを用いた=>27bitにおける計算時間を約1/2に短縮

Web

Native Client によるWebアプリの高速化• C/C++のコードを専用のコンパイラを用いてブラウザ上で実行可能な形式に変換• クライアント計算環境のOSに依存せず実行可能• JavaScriptによる実装と比較して約6倍高速に実行可能

今後の予定

Web
世界のどこからでも容易に協力できるPCとの比較
PCと比べるとスマートフォンでは暗号解読にかかる時間が約100倍遅くなった=> AndroidアプリをC/C++で実装することにより高速化が期待できる※本パネル研究の成果の一部は「文科省科研費基盤（A） 『IoT時代の遠隔操作型・自律型移動システムにおける安全かつ高信頼な通信の実現』」の助成による。

お問合せ先：岡山大学大学院自然科学研究科 氏名 野上 保之
TEL:086-251-8127 E-mail yasuyuki.nogami@okayama-u.ac.jp