[論文レビュー] 22-Step Collisions for SHA-2

Somitra Kumar Sanadhya, Palash Sarkar|ArXiv.org|Mar 8, 2008

Cryptographic Implementations and Security被引用数 4

ひとこと要約

この論文は、微分暗号解折を用いて、SHA-256およびSHA-512の22ステップ衝突攻撃を初めて提示している。特定の微分パスに従うメッセージペアを丁寧に構築することで、平均成功確率が約2−5、最悪ケースでの成功確率が約2−9に達する衝突が得られ、これは、完全ラウンドバージョンを超えるSHA-2ファミリ関数の安全性を分析する上で顕著な飛躍である。

ABSTRACT

In this note, we provide the first 22-step collisions for SHA-256 and SHA-512. Detailed technique of generating these collisions will be provided in the next revision of this note.

研究の動機と目的

• 22ステップのSHA-256およびSHA-512に対して実用的な衝突攻撃を示すこと。
• 当時安全と見なされていたSHA-2のハッシュ関数に対して、微分暗号解折が実際に適用可能かどうかを検討すること。
• 22ステップの処理後に衝突する具体的なメッセージペアを提供し、圧縮関数における構造的弱みを示すこと。
• 完全ラウンドSHA-2の将来の暗号解析の基盤を築くこと。
• 衝突探索における実験的成功率を通じて、微分パスの有効性を検証すること。

提案手法

• 攻撃は、SHA-2の圧縮関数の22ステップにわたり、内部状態レジスタ（a, b, ..., h）の差を追跡する微分暗号解折を用いる。
• 表3に示す特定の微分パスが定義されており、差分（δ）がステップ8で導入され、制御された伝搬ルールに従ってラウンドを通過する。
• 入力差分が定義された微分パスに従うようにメッセージペアが構築され、最終状態での出力差分がゼロ（すなわち衝突）になるように保証される。
• 特に、モジュラー加算におけるキャリー伝搬に注目して、メッセージワード（W）を操作することで、レジスタ値に特定の差分を誘導する。
• SHA-256およびSHA-512の標準的な初期値（IVs）が使用され、メッセージスケジュールの僅かなワードの変更のみで衝突が達成される。
• 成功確率は、微分パスが22ステップにわたり保持される可能性に基づき、実験的に推定される。

実験結果

リサーチクエスチョン

• RQ1 微分暗号解折は、22ステップに短縮されたSHA-256およびSHA-512に対して、効果的に衝突を発見するために適用可能か？
• RQ2 制御された微分パスを用いて、SHA-2の22ステップ衝突を構築する際の成功確率はどの程度か？
• RQ3 内部状態の差分は22ステップにわたりどのように伝搬され、衝突を生じさせるのか？
• RQ4 定義された微分パスに従って衝突を達成するために、どのような特定のメッセージ変更が必要か？
• RQ5 攻撃の平均ケースと最悪ケースにおける実験的成功率は、どのように比較されるか？

主な発見

• 論文は、定義された微分パスを用いて、SHA-256およびSHA-512の両方に対して22ステップ衝突を成功裏に構築した。これは、これらの短縮ラウンドバージョンに対する最初の攻撃である。
• 攻撃の平均ケースでの成功確率は約2−5であり、通常の条件下でも衝突探索が実行可能であることを示している。
• 最悪ケースでは成功確率が約2−9に低下するが、依然として実験的に測定可能で、無視できない程度の値である。
• 表3の微分パスは、差分がステップ8で導入され、特にe、f、g、hレジスタにおいて制御されたキャリー効果を伴って伝搬されることを示している。
• 表1および表2に示すメッセージペアは明示的に提供されており、衝突を達成するためにメッセージスケジュールのわずかな変更しか必要としないことがわかる。
• 攻撃は、22ステップのSHA-2ですら衝突攻撃に対して脆弱であることを示しており、設計上の微分暗号解折に対する耐性に潜在的な弱みがある可能性を示唆している。