[論文レビュー] Freestyle, a randomized version of ChaCha for resisting offline brute-force and dictionary attacks

P. Arun Babu, Jithin Jose Thomas|arXiv (Cornell University)|Feb 9, 2018

Cryptographic Implementations and Security参考文献 24被引用数 3

ひとこと要約

Freestyle は、ハッシュベースの停止条件と鍵予測ペナルティ（KGP）を導入することで、オフラインのブルートフォース攻撃および辞書攻撃に対して耐性を持つ、ランダム化された可変ラウンド数の ChaCha ストリーム暗号の変種です。1つの鍵とノンスあたり最大 $2^{128}$ 種類の異なる暗号文を生成でき、実用上、既知の平文攻撃、 chosen-plaintext 攻撃、chosen-ciphertext 攻撃が不可能になりますが、その代償として ChaCha20 に比べて 1.6–3.2倍遅く、暗号文が 3.125% 大きくなります。

ABSTRACT

This paper introduces Freestyle, a randomized and variable round version of the ChaCha cipher. Freestyle uses the concept of hash based halting condition where a decryption attempt with an incorrect key is likely to take longer time to halt. This makes Freestyle resistant to key-guessing attacks i.e. brute-force and dictionary based attacks. Freestyle demonstrates a novel approach for ciphertext randomization by using random number of rounds for each block, where the exact number of rounds are unknown to the receiver in advance. Freestyle provides the possibility of generating $2^{128}$ different ciphertexts for a given key, nonce, and message; thus resisting key and nonce reuse attacks. Due to its inherent random behavior, Freestyle makes cryptanalysis through known-plaintext, chosen-plaintext, and chosen-ciphertext attacks difficult in practice. On the other hand, Freestyle has costlier cipher initialization process, typically generates 3.125% larger ciphertext, and was found to be 1.6 to 3.2 times slower than ChaCha20. Freestyle is suitable for applications that favor ciphertext randomization and resistance to key-guessing and key reuse attacks over performance and ciphertext size. Freestyle is ideal for applications where ciphertext can be assumed to be in full control of an adversary, and an offline key-guessing attack can be carried out.

研究の動機と目的

• 鍵が再利用された場合や暗号文が攻撃者に露出する状況においても、ブルートフォース攻撃および辞書ベースの攻撃に対して耐性を持つ対称暗号の設計。
• KRACK 攻撃などで示されたように、鍵やノンスの再利用によって不正なセキュリティリスクを引き起こす決定的ストリーム暗号（例：ChaCha）の脆弱性の解消。
• 誤った鍵で復号する際の処理時間が正しい鍵で復号する場合と比べて著しく遅くなるようなメカニズムの導入により、攻撃者の計算コストを増加。
• 鍵やノンスを変更せずに暗号文のランダム化を実現することで、複数の暗号文のXORによる cryptanalysis を防ぐ。
• 鍵予測攻撃に対する耐性を形式的かつ定量的に定式化し、攻撃者にかかる相対的計算負荷を反映する指標としての鍵予測ペナルティ（KGP）の導入。

提案手法

• Freestyle は、各メッセージブロックごとに $[R_{\text{min}}, R_{\text{max}}]$ の範囲からランダムに選択された可変ラウンド数 $R_i$ を使用し、暗号文のランダム化を実現。デフォルトでは $R_{\text{min}} = 12$、$R_{\text{max}} = 36$。
• 制限付きのハッシュベースの停止条件を導入：定期的な間隔 $H_I$ で 16ビットのハッシュ値を計算し、その値が事前に計算された値と一致するまで復号処理を継続。誤った鍵では処理時間が長くなる。
• 暗号化の初期化段階では、設定可能なイテレーション回数（ペパービット）とハッシュの複雑さパラメータ $H_C \in \{1,2,3\}$ を含み、停止条件の計算コストを制御。
• 側面攻撃に耐性を持つよう、ARX（加算-XOR-ローテート）命令を用いたハッシュ関数を採用。衝突が発生した場合に値を増加させることで、衝突に強い設計を実現。
• 非決定的 CTR モードを導入。これにより、同じ鍵、同じノンス、同じメッセージに対し、ランダムなラウンド数とペパービットの組み合わせにより最大 $2^{128}$ 種類の異なる暗号文を生成可能。
• ユーザーの入力に関わらず、最低12ラウンド、最大36ラウンドを強制的に適用することで、弱いパラメータでも十分なランダム性とセキュリティを確保。

実験結果

リサーチクエスチョン

• RQ1 誤った鍵で復号する時間が正しい鍵で復号する時間よりも著しく長くなるような対称暗号を設計可能か？ これにより、オフラインの鍵予測攻撃のコストが著しく上昇する。
• RQ2 鍵やノンスを変更せずに、複数の暗号文のXORに基づく攻撃を防ぐために、暗号文のランダム化をどのように実現できるか？
• RQ3 可変ラウンド数とハッシュベースの停止条件が、ChaCha のようなストリーム暗号のセキュリティとパフォーマンスに与える影響は何か？
• RQ4 実用的に KGP > 1 を達成可能か？ また、その場合、正当なユーザーと攻撃者の間での相対的パフォーマンスにどのような影響が生じるか？
• RQ5 鍵やノンスの再利用が行われても、既知の平文攻撃、chosen-plaintext 攻撃、chosen-ciphertext 攻撃に対して安全な暗号を設計可能か？

主な発見

• Freestyle は KGP > 1 を達成しており、攻撃者が誤った鍵を使用する場合、正当なユーザーに比べて少なくとも KGP 倍の計算負荷を要するため、オフライン攻撃が著しく遅延する。
• 同じ鍵、同じノンス、同じメッセージに対し、ランダムなラウンド数とペパービットのおかげで、最大 $2^{128}$ 種類の異なる暗号文を生成可能であり、XOR に基づく cryptanalysis に対しても鍵とノンスの再利用が安全である。
• 可変ラウンド数とハッシュ計算のオーバーヘッドのため、ChaCha20 より 1.6～3.2倍遅く、暗号文サイズは 3.125% 大きくなる。
• 制限付きのハッシュベースの停止条件により、誤った鍵では復号処理が完全なハッシュ検証を経て長時間かかる一方、正しい鍵では迅速に復号が完了する。
• ARXベースのハッシュ関数と設定可能なパラメータ（$H_I$, $H_C$, ペパービット）を用いることで、側面攻撃への耐性を損なわずにセキュリティとパフォーマンスのトレードオフを調整可能。
• ユーザーが弱いパラメータを提供しても、Freestyle はデフォルトで $R_{\text{min}} = 12$ および $R_{\text{max}} = 36$ を適用するため、十分なランダム性とセキュリティが保証され、設定ミスに起因する脆弱性を防止。