現代暗号に対する安全性解析・攻撃の数理
開催⽇程：9/20(⽔) - 9/22(⾦)
開催場所：JR 博多シティ 9 階会議室 1

9/20（⽔）
13:00-13:10 Opening

Session 1: ハードウェアの安全性
13:10-14:10 林優⼀（奈良先端科学技術⼤学院⼤学）
現代暗号を含むハードウェアからの電磁的情報漏えいの数理【アブストラクト】
本講演では、現代暗号を含むハードウェアからの電磁的情報漏えいメカニズムに着⽬し、漏えい源となる暗号モジュールから電磁波を通じてモジュール内部の秘密鍵が機器外部に漏えいする過程を数理モデルにより説明する。また、電磁気学の相反性から、機器外部から到来した電磁波によって暗号モジュールから秘密鍵が漏えいする過程も同様のモデルで説明できることを概説する。
14:25-15:25 上野嶺 (東北⼤学)
メモリ暗号化のための暗号技術とハードウェアアーキテクチャ【アブストラクト】
CPU の外部に配置されるメインメモリは盗聴や改ざんなどの脅威に晒されうるため，それに対抗するためにメモリ暗号化が⽤いられる．特に近年では，不揮発メモリ (NVM) の⾼性能化や⼤容量化に伴い，データセンタや IoT 機器，さらに現代の CPU において省消費電⼒化や⾼性能化を⽬的として不揮発メモリ (NVM) の採⽤例が増えている．⼀⽅で，NVM はそのデータの永続性から盗聴や改ざんのリスクが DRAM に⽐べて⾼まる．そこで，⼤容量の NVM をリアルタイムで暗号化・認証するメモリ暗号化技術が強く求められる．本講演では，セキュア NVM のための暗号化技術およびそのハードウェアアーキテクチャについて，講演者らによる最新の成果を交えながら概説する．

15:40-16:40 Abdul Rahman Taleb (CryptoExperts and Sorbonne University)
Towards Achieving Provable Side-Channel Security in Practice
Abstract:
Physical side-channel attacks are powerful attacks that exploit a device's physicalemanations to break the security of cryptographic implementations. Many countermeasures
have been proposed against these attacks, especially the widely-used and efficient masking
countermeasure. Nevertheless, proving the security of masked implementations ischallenging. Current techniques rely on empirical approaches to validate the security of suchimplementations. On the other hand, the theoretical community introduced leakage models
to provide formal proofs of the security of masked implementations. Meanwhile, theseleakage models rely on physical assumptions that are difficult to satisfy in practice, and theliterature lacks a clear framework to implement proven secure constructions on a physicaldevice while preserving the proven security.

9/21(⽊)
Session 2: 共通鍵暗号の安全性
10:00-11:00 井上明⼦（NEC）
共通鍵暗号の認証暗号利⽤モードの安全性と攻撃について【アブストラクト】
認証暗号は平⽂の秘匿と暗号⽂の改ざん検知が同時に実現できる共通鍵暗号⽅式である.
その安全性は, 2000 年に秘匿と改ざん検知の 2 つとして正式に定義されたが, その後, これらの安全性を満たす認証暗号が実装上の過失により破れる場合があることや, 認証暗号を⽤いるプロトコルが, 秘匿と改ざん検知以上の安全性を認証暗号に要求している場合があることが攻撃により⽰されている. 本発表では, ブロック暗号等の固定⻑⼊出⼒暗号部品を⽤いた認証暗号構成を中⼼の話題として, 基本的な認証暗号の安全性及びそれに対する攻撃, そして上記のように基本の安全性を超えた攻撃や, それらを考慮した認証暗号の拡張された安全性について紹介する.

11:15-12:15 藤堂洋介（NTT）
キャッシュランダム化関数の安全性モデルと SCARF の設計・安全性評価【アブストラクト】

キャッシュ攻撃とはキャッシュとメモリの遅延差を利⽤したサイドチャネル攻撃である。
キャッシュ攻撃を防ぐ⽅法としてキャッシュランダム化が注⽬されている。Usenix
Security2023 で、キャッシュランダム化関数の安全性モデル、調整可能暗号を⽤いた設計理論、具体的な関数 SCARF を設計・発表した。本講演では、この安全性モデルの解説、実際の SCARF の設計プロセス、SCARF に対する具体的な暗号解読の取り組みを紹介する。

Session 3: 量⼦計算機に対する安全性
13:45-14:45 ⼤⻄健⽃（三菱電機）
効率的な近似量⼦フーリエ変換を利⽤した Shor アルゴリズム【アブストラクト】
本発表では，素因数分解問題を解く Shor アルゴリズムの効率化⼿法について議論する．現在利⽤されている主な公開鍵暗号として，RSA 暗号や楕円曲線暗号があり，素因数分解問題や離散対数問題に安全性の基盤を置いている．Shor アルゴリズムは，これらの問題を多項式時間で解く量⼦アルゴリズムである．現在の公開鍵暗号が危殆化する時期を⾒積もるため，Shor アルゴリズムの計算コスト評価は極めて重要である．本発表では，近似量⼦フーリエ変換に基づく Shor アルゴリズムについて議論する．特に，本発表では，将来実現しうる⼤規模な耐故障性量⼦計算機を考慮し，耐故障性を持つ Shor アルゴリズムについて計算コストの削減⽅法を議論する．

15:00-16:00 ⼭⼝純平（富⼠通）
素因数分解問題に対する新しい量⼦アルゴリズム SQIF の実装と解析【アブストラクト】
2022 年 12 ⽉に Shor よりも少ない量⼦ビットで素因数分解可能とする新しい量⼦アルゴリズム SQIF(Sublinear-resource Quantum Integer Factorization)が提案された．SQIF は平⽅差法をベースとしており，特に平⽅差法の関係式計算を組み合わせ最適化問題に帰着し， その近似解を量⼦アルゴリズム QAOA を⽤いて計算することで関係式を得る．本講演では，2023 年 5 ⽉の CSEC で発表した「格⼦と最適化⼿法を⽤いた素因数分解法の実験報告」の詳細を紹介する．まず SQIF の詳細を紹介し，関係式が数個しか計算できないという問題点を指摘する．次に，⼗分な数の関係式が計算可能な拡張 SQIF を提案し，その実験結果を紹介する．実験を⼤規模にするため QAOA の代わりに古典的なアニーリング計算を使⽤し， 11 から 55 ビットの合成数の素因数分解に成功した．最後に，2048ビット合成数の分解に必要な量⼦ビット数および計算量の⾒積もりを与える．

16:10-16:40 ⽥⼝ 廉 (東京⼤学)
バイナリ ECDLP を解く Shor のアルゴリズムにおける楕円曲線加算の量⼦リソース削減【アブストラクト】
離散対数問題を多項式時間で解く Shor のアルゴリズムの実装に係る量⼦リソース評価の研究が数多く⾏われており，バイナリ楕円曲線では量⼦逆元計算が主要な計算であることが知られている．その中でも我々は Toffoli ゲート数と深さの⾯でより有効な量⼦ FLT 逆元計算に着⽬する．我々は，既存の量⼦ FLT 逆元計算アルゴリズムを純粋に改良する量⼦ FLT逆元計算アルゴリズムを提案し，量⼦ビット数をさらに削減できることを⽰す.

9/22(⾦)Session 4: サイドチャネル攻撃に対する安全性
10:00-11:00 草川恵太（TII）
格⼦ベースの鍵カプセル化⽅式に対するサイドチャネル攻撃を利⽤した鍵回復攻撃【アブストラクト】
量⼦計算機の開発の進展を受け、耐量⼦計算機暗号（PQC）の標準化や実装が盛んになっている。⼤きな影響を持つ NIST の PQC 標準化では、サイズ・速度・安全性といった観点から鍵カプセル化⽅式（KEM）として格⼦暗号の Kyber が選ばれた。⼀⽅、標準化される暗号は様々な機器で実装されることから、サイドチャネル攻撃耐性も重要視される。本発表では Kyber を中⼼とした格⼦暗号に対するサイドチャネル攻撃を利⽤した鍵回復攻撃を、紹介する。特に、サイドチャネル攻撃を⽤いて平⽂判定オラクルや復号オラクルを構築した後の、攻撃の効率化について紹介する。
11:20-12:20 伊東燦（NTT）
深層学習に基づくサイドチャネル攻撃とその対策【アブストラクト】
暗号モジュールから副次的に発⽣する消費電⼒・漏洩電磁波（サイドチャネル情報）を⽤いることで、暗号モジュール内の秘密鍵を推定する攻撃をサイドチャネル攻撃という。本講演では、近年⾼い注⽬を集めているニューラルネットワークを⽤いたサイドチャネル攻撃（DL-SCA)について解説を⾏う。DL-SCA では、あらかじめ攻撃対象モジュールのサイドチ
ャネル情報について学習することで、従来よりも強⼒な攻撃が可能なことが知られている。
また、サイドチャネル攻撃に対する代表的な対策⼿法であるマスキング対策と、その理論的な安全性についても紹介し、マスキング対策が DL-SCA に対しても有効であることを説明する。

12:20-12:30 Closing
13:00-15:00 Free Discussion