Sボックス

暗号学において、Sボックス（置換ボックス）は、対称鍵アルゴリズムの基本構成要素であり、置換を行う。ブロック暗号では、通常、鍵と暗号文の関係を隠蔽するために使用され、シャノンの混同特性を保証する。数学的には、Sボックスは非線形^[1] ベクトルブール関数である^[2]。

一般的に、Sボックスは、入力ビット数mを受け取り、それを出力ビット数nに変換します。ここで、nは必ずしもmと等しいとは限りません。^[3] m × nのSボックスは、 nビットのワード数2 ^mを持つルックアップテーブルとして実装できます。データ暗号化規格（DES）のように、通常は固定テーブルが使用されますが、一部の暗号では、キーから動的にテーブルが生成されます（例：Blowfish暗号化アルゴリズムやTwofish暗号化アルゴリズム）。

例

固定テーブルの良い例としては、6ビットの入力を4ビットの出力にマッピングするDESのSボックス（S _{5 ）が挙げられます。}

S5		入力の中央4ビット
S5		0000	0001	0010	0011	0100	0101	0110	0111	1000	1001	1010	1011	1100	1101	1110	1111
外側のビット	00	0010	1100	0100	0001	0111	1010	1011	0110	1000	0101	0011	1111	1101	0000	1110	1001
	01	1110	1011	0010	1100	0100	0111	1101	0001	0101	0000	1111	1010	0011	1001	1000	0110
	10	0100	0010	0001	1011	1010	1101	0111	1000	1111	1001	1100	0101	0110	0011	0000	1110
	11	1011	1000	1100	0111	0001	1110	0010	1101	0110	1111	0000	1001	1010	0100	0101	0011

6ビットの入力が与えられた場合、4ビットの出力は、外側の2ビット（先頭と最終ビット）を使って行を選択し、内側の4ビットを使って列を選択することで求められます。例えば、入力「0 1101 1 」は外側のビットが「 01 」、内側のビットが「1101」であるため、対応する出力は「1001」となります。^[4]

分析と特性

DESが1977年に初めて公開された際、Sボックスの設計基準は、当時まだ公に知られていなかった差分解読法の技術を危険にさらさないよう、秘密にされていました。その結果、当時、優れたSボックスの条件に関する研究はほとんど行われていませんでした。むしろ、DESの8つのSボックスは、暗号にバックドア（設計者のみが知っている脆弱性）が仕掛けられているのではないかという懸念から、長年にわたり精力的に研究されました。Sボックスは暗号の唯一の非線形部分であるため、Sボックスが危険にさらされると、暗号全体が危険にさらされることになります。^[5]

Sボックスの設計基準は、差分暗号解読法が一般公開された後に（Coppersmith 1994で）最終的に公開され、この特定の攻撃に対する耐性を高めるために慎重に調整されており、総当たり攻撃と同等であることが示されました。BihamとShamirは、Sボックスに小さな変更を加えるだけでもDESが大幅に弱体化することを発見しました。^[6]

出力ビットの任意の線形結合が入力ビットの曲線関数によって生成されるSボックスは、完全Sボックスと呼ばれます。^[7]

Sボックスは、線形近似表（LAT）、ウォルシュ変換、差分分布表（DDT）、自己相関表、スペクトルといった形で、線形暗号解析と差分暗号解析を用いて解析できる。その強度は、非線形性（曲がっている、ほぼ曲がっている）と微分一様性（完全に非線形、ほぼ完全に非線形）によって要約される。^[8]^[9]^[10]^[2]

参照

参考文献

^ Daemen & Rijmen 2013、p. 22.
^ ab Carlet, Claude (2010), Hammer, Peter L.; Crama, Yves (eds.), "Vectorial Boolean Functions for Cryptography", Boolean Models and Methods in Mathematics, Computer Science, and Engineering , Encyclopedia of Mathematics and its Applications, Cambridge: Cambridge University Press, pp. 398– 470, ISBN 978-0-521-84752-0、2021年4月30日取得
^ Chandrasekaran, J.; et al. (2011). 「対称鍵暗号システムのSボックス設計における非線形性を改善するためのカオスベースアプローチ」Meghanathan, N.; et al. (編).ネットワークと通信の進歩：コンピュータサイエンスと情報技術に関する第一回国際会議、CCSIT 2011、インド・バンガロール、2011年1月2日～4日。議事録、パート2。Springer。p . 516。ISBN 978-3-642-17877-1。
^ Buchmann, Johannes A. (2001). 「5. DES」.暗号入門（Corr. 2. 印刷版）. ニューヨーク, NY [ua]: Springer. pp. 119–120. ISBN 978-0-387-95034-1。
^ Coppersmith, D. (1994年5月). 「データ暗号化規格（DES）とその攻撃に対する強さ」 . IBM Journal of Research and Development . 38 (3): 243– 250. doi :10.1147/rd.383.0243. ISSN 0018-8646.
^ Gargiulo の「S-box の変更と DES のような暗号化システムにおけるその効果」Wayback Machineに 2012 年 5 月 20 日にアーカイブ、p. 9。
^ RFC 4086. セクション5.3「ミキシングのためのSボックスの使用」
^ Heys、Howard M.「線形および差分暗号解析に関するチュートリアル」(PDF)。
^ 「S-Boxes and Their Algebraic Representations — Sage 9.2 Reference Manual: Cryptography」. doc.sagemath.org . 2021年4月30日閲覧。
^ Saarinen, Markku-Juhani O. (2012). 「すべての4×4ビットSボックスの暗号解析」. ミリ, アリ; ヴォーデネ, セルジュ (編).暗号技術の特定分野. コンピュータサイエンス講義ノート. 第7118巻. ベルリン, ハイデルベルク: シュプリンガー. pp. 118– 133. doi : 10.1007/978-3-642-28496-0_7 . ISBN 978-3-642-28496-0。

さらに読む

Kaisa Nyberg (1991).完全非線形Sボックス. 暗号学の進歩 – EUROCRYPT '91.ブライトン. pp. 378– 386. doi : 10.1007/3-540-46416-6_32 .
S. MisterとC. Adams (1996).実用的なSボックス設計.暗号技術の特定分野に関するワークショップ(SAC '96) ワークショップ記録.クイーンズ大学. pp. 61– 76. CiteSeerX 10.1.1.40.7715 .
シュナイアー、ブルース(1996). 『応用暗号学第2版』ジョン・ワイリー・アンド・サンズpp. 296–298, 349. ISBN 978-0-471-11709-4。

チャック・イーストトム(2018). 「対称暗号プリミティブにおける非線形要素の設計のための一般化手法」2018 IEEE 第8回年次コンピューティング・コミュニケーション・ワークショップ・カンファレンス (CCWC) . pp. 444– 449. doi :10.1109/CCWC.2018.8301643. ISBN 978-1-5386-4649-6. S2CID 3659645。

出典

デイメン、ジョアン、ライメン、ヴィンセント（2013年3月9日）「ブリックレイヤー関数」。Rijndaelの設計：AES - 高度暗号化標準（PDF） Springer Science & Business Media pp. 22– 23. ISBN 978-3-662-04722-4. OCLC 1259405449。

外部リンク

Sボックス設計に関する文献調査
ジョン・サヴァードの「Sボックス設計に関する疑問」
「ガウス分布に基づく置換ボックス設計」

[FOOTNOTEDaemenRijmen201322-1] Daemen & Rijmen 2013、p. 22.

[:0-2] Carlet, Claude (2010), Hammer, Peter L.; Crama, Yves (eds.), "Vectorial Boolean Functions for Cryptography", Boolean Models and Methods in Mathematics, Computer Science, and Engineering , Encyclopedia of Mathematics and its Applications, Cambridge: Cambridge University Press, pp. 398– 470, ISBN 978-0-521-84752-0、2021年4月30日取得

[chandra-516-3] Chandrasekaran, J.; et al. (2011). 「対称鍵暗号システムのSボックス設計における非線形性を改善するためのカオスベースアプローチ」Meghanathan, N.; et al. (編).ネットワークと通信の進歩：コンピュータサイエンスと情報技術に関する第一回国際会議、CCSIT 2011、インド・バンガロール、2011年1月2日～4日。議事録、パート2。Springer。p . 516。ISBN 978-3-642-17877-1。

[4] Buchmann, Johannes A. (2001). 「5. DES」.暗号入門（Corr. 2. 印刷版）. ニューヨーク, NY [ua]: Springer. pp. 119–120. ISBN 978-0-387-95034-1。

[5] Coppersmith, D. (1994年5月). 「データ暗号化規格（DES）とその攻撃に対する強さ」 . IBM Journal of Research and Development . 38 (3): 243– 250. doi :10.1147/rd.383.0243. ISSN 0018-8646.

[6] Gargiulo の「S-box の変更と DES のような暗号化システムにおけるその効果」Wayback Machineに 2012 年 5 月 20 日にアーカイブ、p. 9。

[7] RFC 4086. セクション5.3「ミキシングのためのSボックスの使用」

[8] Heys、Howard M.「線形および差分暗号解析に関するチュートリアル」(PDF)。

[9] 「S-Boxes and Their Algebraic Representations — Sage 9.2 Reference Manual: Cryptography」. doc.sagemath.org . 2021年4月30日閲覧。

[10] Saarinen, Markku-Juhani O. (2012). 「すべての4×4ビットSボックスの暗号解析」. ミリ, アリ; ヴォーデネ, セルジュ (編).暗号技術の特定分野. コンピュータサイエンス講義ノート. 第7118巻. ベルリン, ハイデルベルク: シュプリンガー. pp. 118– 133. doi : 10.1007/978-3-642-28496-0_7 . ISBN 978-3-642-28496-0。