サブリミナルチャンネル

暗号学において、サブリミナルチャネルとは、安全でないチャネルを介して、一見普通の通信に見える通信で秘密裏に通信するために使用できる隠れたチャネルです。^[1]デジタル署名暗号システムにおけるサブリミナルチャネルは、1984年にグスタフス・シモンズによって発見されました。

シモンズは、デジタル署名アルゴリズムにおけるパラメータ置換を通じて「囚人問題」をどのように解決できるかを説明しています。^[2]^[a]

ElGamalやDSAといった署名アルゴリズムには、ランダムな情報を設定するパラメータがあります。彼は、これらのパラメータを利用してサブリミナルにメッセージを送信する方法を示しています。アルゴリズムの署名作成手順は変更されていないため、署名は検証可能であり、通常の署名と区別がつきません。そのため、サブリミナルチャネルが使用されているかどうかを検出するのは困難です。

サブリミナルチャネルは、広帯域チャネルタイプと狭帯域チャネルタイプに分類できます。
ブロードバンドチャネルとナローバンドチャネルは同じデータストリーム内に存在できます。
ブロードバンドチャネルは、利用可能なビットのほぼすべてを使用します。これは通常、チャネル使用率が{50%以上90%以下}であることを意味します。
使用するビット数が少ないチャネルは狭帯域チャネルと呼ばれます。
追加の使用されるビットは、なりすましなどのさらなる保護のために必要です。

広帯域チャネルと狭帯域チャネルでは、異なるアルゴリズムパラメータを使用できます。狭帯域チャネルでは最大限の情報を転送することはできませんが、認証キーやデータストリームの送信には使用できます。

研究は進行中です。更なる開発により、サブリミナルチャネルの強化が可能になり、例えば、事前に認証キーを合意することなくブロードバンドチャネルを確立できるようになります。また、サブリミナルチャネルそのものを回避しようとする開発も行われています。

例

通常の人間言語テキストにおける狭帯域サブリミナルチャネルの簡単な例としては、文中の単語数が偶数の場合はビット「0」、奇数の場合はビット「1」と定義することが挙げられます。したがって、「こんにちは、お元気ですか？」という質問は、サブリミナルメッセージ「1」を送信します。

デジタル署名アルゴリズムには、1つのサブリミナル広帯域チャネル^[3]と3つのサブリミナル狭帯域チャネル^{[4]がある。}

署名時にパラメータをランダムに設定する必要があります。ブロードバンドチャネルの場合、このパラメータはサブリミナルメッセージで設定されます。 $k$ $m'$

鍵生成
1. プライムを選択 $p=2347$
2. プライムを選択 $q=23$
3. 計算ジェネレータ $g=266$
4. 認証キーを選択し、受信者に安全に送信します $x=1468$
5. 公開鍵modを計算する $y=g^{x}$ $p=2100$
署名
1. メッセージを選択 $m=1337$
2. （ハッシュ関数はここでは107によるモジュロ削減に置き換えられます）メッセージのハッシュ値を計算するmod mod $H(m)$ $h=m$ $q=1337$ $107=53$
3. ランダム値の代わりにサブリミナルメッセージが選択される $k=?$ $m'=17$
4. サブリミナルメッセージの逆数を計算する $m'^{-1}=19$ $23$
5. 署名値を計算するmod mod mod mod $r=(g^{k}$ $p)$ $q=(266^{17}$ $2347)$ $23=12$
6. 署名値を計算するmod mod $s=k^{-1}*(h+x*r)$ $q=19*(53+1468*12)$ $23=3$
7. トリプル署名付きメッセージを送信 $(1337;12,3)$
検証中
1. 受信者はメッセージを3回受け取る $(m;r,s)=(1337;12,3)$
2. メッセージハッシュを計算するmod mod $h=H(m)$ $q=1337$ $107=53$
3. 逆数を計算する $w=s^{-1}$ $q=8$
4. mod modを計算する $u_{1}=(h*w)$ $q=53*8$ $23=10$
5. mod modを計算する $u_{2}=(r*w)$ $q=12*8$ $23=4$
6. 署名を計算するmod mod mod mod $v=(g^{u_{1}}*y^{u_{2}}$ $p)$ $q=(266^{10}*2100^{4}$ $2347)$ $23=12$
7. なので、署名は有効です $v=r$
受信側でのメッセージ抽出
1. 3倍から（1337; 12, 3）
2. メッセージ抽出モッド $m'=8*(53+1468*12)$ $23=17$

メッセージ抽出の式は、署名値の計算式を転置することで導出されます。 $s$

$s=m'^{-1}*(h+xr)$ モッド $q$
$s*m'=h+xr$ モッド $q$
$m'=s^{-1}*(h+xr)$ モッド $q$

例: 係数 n = pqr の使用

この例では、n = pq という形式であるとされるRSA係数は、実際には素数p、q、rに対してn = pqr という形式です。計算により、デジタル署名されたメッセージには正確に1ビットの追加ビットが隠蔽されることがわかります。この問題の解決策は、アムステルダムのCentrum Wiskunde & Informaticaの暗号学者によって発見され、nがn = pq という形式であるというゼロ知識証明を開発しました。 ^[^要出典^{]この例は}、Empty Silo Proposalに一部影響を受けています。

例 - RSA ケーススタディ

これは（実際に動作する）PGP公開鍵（RSAアルゴリズムを使用）です。この鍵は2つのサブリミナルチャネルを含むように生成されています。1つ目は「鍵ID」で、通常はランダムな16進数で表示されるはずですが、下の図では「C0DED00D」と「密かに」改ざんされています。2つ目は公開鍵のbase64表現です。これもまた、全てランダムな意味不明な文字列であるはずですが、英語で読める「//This+is+Christopher+Drakes+PGP+public+key//Who/What+is+watcHIng+you//」というメッセージが挿入されています。これらのサブリミナルメッセージは、RSA 鍵生成フェーズにおける乱数生成を改ざんすることで追加されました。

PGPキー。RSA 2020/C0DED00D Fprint: 250A 7E38 9A1F 8A86 0811 C704 AF21 222C  -----PGP公開鍵ブロック開始----- バージョン: 非公開  mQESAgAAAAAAAAAAEH5Ar//これはクリストファー・ドレイクスのPGP公開鍵です// 誰が/何があなたを監視しているのか//Di0nAraP+Ebz+iq83gCa06rGL4+hc9Gdsq667x 8FrpohTQzOlMF1Mj6aHeH2iy7+OcN7lL0tCJuvVGZ5lQxVAjhX8Lc98XjLm3vr1w ZBa9slDAvv98rJ8+8YGQQPJsQKq3L3rN9kabusMs0ZMuJQdOX3eBRdmurtGlQ6AQ AfjzUm8z5/2w0sYLc2g+aIlRkedDJWAFeJwAVENaY0LfkD3qpPFIhALN5MEWzdHt Apc0WrnjJDby5oPz1DXxg6jaHD/WD8De0A0ARRAAAAAAAAAAAAAbQvQ2hyaXN0b3Bo ZXIgRHJha2UgPENocmlzdG9waGVyLkRyYWtlQFBvQm94LmNvbT60SE5ldFNhZmUg c2VjdXJpdHkgc29mdHdhcmUgZGlyZWN0b3IgQ2hyaXN0b3BoZXIgRHJha2UgPE5l dFNhZmVAUG9Cb3guY29tPokBEgMFEDPXgvkcP9YPwN7QDQEB25oH4wWEhg9cBshB i6l17fJRqIJpXKAz4Zt0CfAfXphRGXC7wC9bCYzpHZSerOi1pd3TpHWyGX3HjGEP 6hyPfMldN/sm5MzOqgFc2pO5Ke5ukfgxI05NI0+OKrfc5NQnDOBHcm47EkK9TsnM c3Gz7HlWcHL6llRFwk75TWwSTVbfURbXKx4sC+nNExW7oJRKqpuN0JZxQxZaELdg 9wtdArqW/SY7jXQn//YJV/kftKvFrA24UYLxvGOXfZXpP7Gl2CGkDI6fzism75ya xSAgn9B7BqQ4BLY5Vn+viS++6Rdavykyd8j9sDAK+oPz/qRtYJrMvTqBERN4C5uA IV88P1U= =/BRt -----PGP公開鍵ブロック終了-----

改善点

ブリッケルとデローレンティスの署名方式を改良することで、認証鍵を共有する必要のない広帯域チャネルが実現できる。^[5]ニュートンチャネルはサブリミナルチャネルではないが、拡張チャネルとして捉えることができる。^[6]

対策

ゼロ知識証明とコミットメント方式の助けを借りれば、サブリミナルチャネルの使用を防ぐことが可能です。^[7]^[8]

この対策には1ビットのサブリミナルチャネルがあることに留意すべきである。これは、証明が成功する可能性もあれば、意図的に失敗する可能性もあるという問題があるためである。^[9]

別の対策としては、ランダム性の潜在的な利用を検出することはできるが、それを防ぐことはできない。^[10]

注記

^ シモンズの囚人問題は囚人のジレンマと同じではない。^[1]

参考文献

^ ab Gustavus J. Simmons. 「囚人問題とサブリミナルチャネル」『Advances in Cryptology – CRYPTO '83』51～67ページ、ニューヨーク、1984年。D. Chaum編『Lecture Notes in Computer Science』。
^ グスタフス・J・シモンズ.サブリミナルチャネルとデジタル署名. EUROCRYPT 84ワークショップ「暗号学の進歩：暗号技術の理論と応用」論文集, 364–378ページ, ニューヨーク, ニューヨーク州, 米国, 1985年. Springer-Verlag New York, Inc. doi :10.1007/3-540-39757-4_25
^ グスタフス・J・シモンズ. DSAを使えばサブリミナル通信は簡単. EUROCRYPT '93: 暗号技術の理論と応用に関するワークショップ「Advances in cryptology」、218～232ページ、ニュージャージー州セコーカス、米国、1994年。Springer-Verlag New York, Inc.
^ グスタフス・J・シモンズ. 米国デジタル署名アルゴリズム（DSA）におけるサブリミナルチャネル, 第3回暗号研究の現状と進歩に関するシンポジウム（SPRC '93）議事録, ローマ, イタリア, 1993年2月15～16日.
^ グスタフス・J・シモンズ「安全なサブリミナルチャネル（？）」『CRYPTO '85：暗号学の進歩』33～41ページ、ロンドン、英国、1986年、シュプリンガー・フェアラーク社。
^ Ross J. Anderson、Serge Vaudenay、Bart Preneel、Kaisa Nyberg. The Newton Channel . 第1回国際情報ハイディングワークショップ議事録、151～156ページ、ロンドン、英国、1996年。Springer-Verlag.
^ Yvo Desmedt.暗号技術の濫用とその対策. CRYPTO '88: Proceedings of the 8th Annual International Cryptology Conference on Advances in Cryptology, pages 375–389, London, UK, 1990. Springer-Verlag.
^ Yvo Desmedt. 「サブリミナルフリー認証と署名」Christoph G. Günther編『暗号学の進歩 - EUROCRYPT '88』24ページ、1988年。
^ Desmedt, Yvo (1996). 「シモンズプロトコルはサブリミナルチャネルから逃れられない」.第9回IEEEコンピュータセキュリティ基盤ワークショップ論文集. pp. 170– 175. CiteSeerX 10.1.1.56.4816 .
^ Choi, Jong Youl; Golle, Philippe; Jakobsson, Markus (2006). 「改ざん防止機能付きデジタル署名：認証局のマルウェア対策」第2回IEEE国際シンポジウム「ディペンダブル・オートノミック・セキュアコンピューティング」議事録. CiteSeerX 10.1.1.61.9340 .

ブルース・シュナイアー著『応用暗号学第2版：C言語によるプロトコル、アルゴリズム、ソースコード』、Wiley Computer Publishing、John Wiley & Sons, Inc.、1995年。

外部リンク

セミナー：「隠蔽チャネルと組み込みフォレンジック」

[3] シモンズの囚人問題は囚人のジレンマと同じではない。^[1]

[Simmons:PrisonersProblem-1] Gustavus J. Simmons. 「囚人問題とサブリミナルチャネル」『Advances in Cryptology – CRYPTO '83』51～67ページ、ニューヨーク、1984年。D. Chaum編『Lecture Notes in Computer Science』。

[Simmons:SubliminalChannelAndDigitalSignatures-2] グスタフス・J・シモンズ.サブリミナルチャネルとデジタル署名. EUROCRYPT 84ワークショップ「暗号学の進歩：暗号技術の理論と応用」論文集, 364–378ページ, ニューヨーク, ニューヨーク州, 米国, 1985年. Springer-Verlag New York, Inc. doi :10.1007/3-540-39757-4_25

[Simmons:EasyDSACom-4] グスタフス・J・シモンズ. DSAを使えばサブリミナル通信は簡単. EUROCRYPT '93: 暗号技術の理論と応用に関するワークショップ「Advances in cryptology」、218～232ページ、ニュージャージー州セコーカス、米国、1994年。Springer-Verlag New York, Inc.

[5] グスタフス・J・シモンズ. 米国デジタル署名アルゴリズム（DSA）におけるサブリミナルチャネル, 第3回暗号研究の現状と進歩に関するシンポジウム（SPRC '93）議事録, ローマ, イタリア, 1993年2月15～16日.

[Simmons:ASecureChannel-6] グスタフス・J・シモンズ「安全なサブリミナルチャネル（？）」『CRYPTO '85：暗号学の進歩』33～41ページ、ロンドン、英国、1986年、シュプリンガー・フェアラーク社。

[NewtonChannel-7] Ross J. Anderson、Serge Vaudenay、Bart Preneel、Kaisa Nyberg. The Newton Channel . 第1回国際情報ハイディングワークショップ議事録、151～156ページ、ロンドン、英国、1996年。Springer-Verlag.

[Desmedt:AbusesFight-8] Yvo Desmedt.暗号技術の濫用とその対策. CRYPTO '88: Proceedings of the 8th Annual International Cryptology Conference on Advances in Cryptology, pages 375–389, London, UK, 1990. Springer-Verlag.

[9] Yvo Desmedt. 「サブリミナルフリー認証と署名」Christoph G. Günther編『暗号学の進歩 - EUROCRYPT '88』24ページ、1988年。

[Desmedt:SimmonsNotFree-10] Desmedt, Yvo (1996). 「シモンズプロトコルはサブリミナルチャネルから逃れられない」.第9回IEEEコンピュータセキュリティ基盤ワークショップ論文集. pp. 170– 175. CiteSeerX 10.1.1.56.4816 .

[TamperEvident-11] Choi, Jong Youl; Golle, Philippe; Jakobsson, Markus (2006). 「改ざん防止機能付きデジタル署名：認証局のマルウェア対策」第2回IEEE国際シンポジウム「ディペンダブル・オートノミック・セキュアコンピューティング」議事録. CiteSeerX 10.1.1.61.9340 .