[論文レビュー] SOSEMANUK: a fast software-oriented stream cipher

Côme Berbain, Olivier Billet+10 more|Oct 10, 2008

Cryptographic Implementations and Security参考文献 2被引用数 17

ひとこと要約

Sosemanukは、128〜256ビットの鍵を対象として設計された、ソフトウェア指向の高速ストリーム暗号であり、SNOW 2.0とSERPENTの原則を組み合わせることで、強固なセキュリティと優れたパフォーマンスを両立している。内部状態を縮小し、最適化されたデータマッピングと、24ラウンドのSERPENT変種を用いた高速な鍵/初期値（IV）セットアップを採用することで、現代のプロセッサ上で最高水準のスループットと低キャッシュ圧力を実現し、128ビットのセキュリティを128〜256ビットの全鍵長に対して主張している。

ABSTRACT

Sosemanuk is a new synchronous software-oriented stream cipher, corresponding to Profile 1 of the ECRYPT call for stream cipher primitives. Its key length is variable between 128 and 256 bits. It ac- commodates a 128-bit initial value. Any key length is claimed to achieve 128-bit security. The Sosemanuk cipher uses both some basic design principles from the stream cipher SNOW 2.0 and some transformations derived from the block cipher SERPENT. Sosemanuk aims at improv- ing SNOW 2.0 both from the security and from the efficiency points of view. Most notably, it uses a faster IV-setup procedure. It also requires a reduced amount of static data, yielding better performance on several architectures.

研究の動機と目的

• 現代のプロセッサに適した、高速で安全かつ効率的なソフトウェア指向ストリーム暗号の設計。
• SNOW 2.0の潜在的な構造的弱みを排除し、データキャッシュ圧力を低減する。
• 24ラウンドのSERPENT変種を用いて鍵セットアップの効率を向上させ、より迅速な再同期を実現する。
• 128〜256ビットの全鍵長に対して128ビットのセキュリティを達成しながら、高いスループットを維持する。
• レジスタ使用の最適化と静的データの削減により、RISCおよびその他のアーキテクチャでのパフォーマンス向上を図る。

提案手法

• F_{2^32}上での10ワードのLFSRを用い、原始多項式Q(X) = X^8 + X^7 + X^5 + X^3 + 1を採用する。
• 非線形変換関数「Trans」は、XOR、ローテーション、およびビットスライスベースのSボックス演算を組み合わせ、混乱と拡散を実現する。
• 「mux」演算は非線形性を導入し、高速相関攻撃および代数的攻撃に対する耐性を高める。
• 鍵およびIVセットアップに24ラウンドのSERPENT変種（Serpent24）を用い、最小限のオーバーヘッドで強力な拡散を実現する。
• SERPENTの1層分のSボックス（Serpent1）をビットスライスモードで使用し、効率的な非線形ミキシングを提供する。
• 内部状態はLFSRフィードバックと非線形関数の組み合わせにより更新され、出力は32ビットのXOR演算で生成される。

実験結果

リサーチクエスチョン

• RQ1 代数的および相関攻撃に対して強い耐性を備えつつ、高いパフォーマンスを実現できるストリーム暗号を設計できるか？
• RQ2 セキュリティを損なわず、速度を最適化した鍵およびIVセットアップは可能か？
• RQ3 内部状態サイズの縮小と静的データの削減により、RISCアーキテクチャでのパフォーマンス向上が図れるか？
• RQ4 SERPENTのビットスライスモードSボックスをソフトウェアストリーム暗号に適用することで、セキュリティと効率性が向上するか？
• RQ5 可変鍵長（128〜256ビット）の範囲で128ビットのセキュリティを維持しつつ、既存の代替手法を上回る速度を達成できるか？

主な発見

• AMD Athlon 64 X2 4200+（2.20GHz）上で、Sosemanukは1バイトあたり759.06サイクルを達成し、同クラスの大多数の競合製品を上回る性能を示した。
• 同じプラットフォーム上では、IVセットアップに692.71サイクルを要し、SNOW 2.0の489.35サイクルよりも顕著に高速であった。
• Alpha EV6（500MHz）上でも、鍵セットアップに1301.09サイクルを要したが、古めのアーキテクチャにもかかわらず、競争力のある性能を示した。
• 0.13µm CMOSプロセスを用いたハードウェア実装では、18,819ゲートを要し、10 Mbpsで564.8 nJ-µm²のパワー・アース・タイム積を達成し、WLAN用途に適していた。
• 静的データの削減により、データキャッシュ圧力が低く抑えられ、RISCプロセッサ上でパフォーマンスが向上した。
• Serpent1をビットスライスモードで使用し、さらに「mux」関数を適用することで、代数的および高速相関攻撃に対する効果的な耐性が得られた。