トピックス
64ビットブロック暗号MISTY1の安全性について
平成27年7月16日
CRYPTREC暗号技術評価委員会
CRYPTREC暗号リストの推奨候補暗号リスト[1]に掲載されている64ビットブロック暗号MISTY1 に対する新たな解析結果を示した論文[2]が、国際暗号学会 （International Association for Cryptologic Research (IACR)）が主催する国際会議 CRYPTO 2015[3]で採録され、国際会議に先立ち、その詳細がIACR ePrint Archive[4]にて発表されました。
この論文では、Integral Cryptanalysisという従来から知られているブロック暗号に対する攻撃法の解読計算量を新たな手法で改良し、仕様通りのMISTY1の128ビットの鍵が、鍵の全数探索（すべての鍵の総当たり）よりも少ない解読計算量で導出できることが初めて示されました。この論文では、解読に必要なデータ量と計算量にトレードオフのある2種類の攻撃法が示されており、下記の表にその解読計算量を示します。
これらの攻撃法において、解読に必要なデータ量は263.58, 263.994と非常に多く、64ビットブロック暗号では鍵を固定すると264通りの（平文, 暗号文）の組しか存在しないことから、ほとんどすべての（平文, 暗号文）の組を集める必要があること、かつ、解読に必要な計算量も2121, 2107.9と非常に多いことから、現実的な脅威につながることはないものと考えられます。本件に関する調査結果については、今後、CRYPTREC Webサイトにて報告する予定です。
| 解読に必要なデータ量[5] | 解読に必要な計算量[6] | |
|---|---|---|
| MISTY1 (full round) | 263.58 | 2121 |
| MISTY1 (full round) | 263.994 | 2107.9 |
- https://www.cryptrec.go.jp/list.html
- Yosuke Todo, “Integral Cryptanalysis on Full MISTY1”, to appear in the proceedings of CRYPTO 2015.
- https://www.iacr.org/conferences/crypto2015/
- https://eprint.iacr.org/2015/682
- 1単位は（平文, 暗号文）の1組で、平文、暗号文ともに64ビットである。本攻撃では、攻撃に使える条件を満たす平文を選択し、それに対応する暗号文の組を収集する必要がある（選択平文攻撃）。
- 1単位は1回の暗号化に要する計算量である。128ビット鍵の全数探索（すべての鍵の総当たり）の計算量は2128である。
ご意見・コメントなどの問い合わせがございましたら、下記までお願いいたします。
CRYPTREC事務局
E-mail: 