米国 NIST IR 8459 NIST SP 800-38シリーズにおけるブロック暗号利用モードに関する報告書 (2024.09.10)

こんにちは、丸山満彦です。

NISTが、IR 8459 NIST SP 800-38シリーズにおけるブロック暗号利用モードに関する報告書を公表していますね...

SP800-38A-Fの暗号利用モードについてのアルゴリズムと実装についての簡単な調査の結果とその結果に基づく標準の改善提言を示したもののようですね...SP800-38Gは現在改訂中...（といっても、2019年2月にドラフトの意見募集してから5年...）

● NIST - ITL

・2024.09.10 NIST IR 8459 Report on the Block Cipher Modes of Operation in the NIST SP 800-38 Series

NIST IR 8459 Report on the Block Cipher Modes of Operation in the NIST SP 800-38 Series	NIST IR 8459 NIST SP 800-38シリーズのブロック暗号利用モードに関する報告書
Abstract	概要
This report focuses on the NIST-recommended block cipher modes of operation specified in NIST Special Publications (SP) 800-38A through 800-38F. The goal is to provide a concise survey of relevant research results about the algorithms and their implementations. Based on these findings, the report concludes with a set of recommendations to improve the corresponding standards.	本報告書は、NIST 特別刊行物（SP）800-38A から 800-38F で指定されている NIST 推奨のブロック暗号利用モードに焦点を当てる。その目的は、アルゴリズムとその実装に関する関連研究結果の簡潔なサーベイを提供することである。これらの知見に基づき、本報告書は、対応する標準を改善するための一連の提言で締めくくられている。

・[PDF] NIST.IR.8459

目次...

1. Introduction	1. 序文
2. Scope	2. 適用範囲
3. Modes of Operation	3. 運用モード
4. NIST SP 800-38A: Five Confidentiality Modes	4. NIST SP 800-38A： 5つの機密保持モード
4.1. Initialization Vector (IV)	4.1. 初期化ベクトル(IV)
4.2. Plaintext Length	4.2. 平文の長さ
4.3. Block Size	4.3. ブロックサイズ
5. NIST SP 800-38B: The CMAC Mode for Authentication	5. NIST SP 800-38B: 認証のためのCMACモード
6. NIST SP 800-38C: The CCM Mode for Authentication and Confidentiality	6. NIST SP 800-38C：認証と機密性のためのCCMモード
7. NIST SP 800-38D: Galois/Counter Mode (GCM) and GMAC	7. NIST SP 800-38D：ガロア／カウンタ・モード（GCM）と GMAC
8. NIST SP 800-38E: The XTS-AES Mode for Confidentiality on Storage Devices	8. NIST SP 800-38E： ストレージ・デバイスにおける機密性のための XTS-AES モード
9. NIST SP 800-38F: Methods for Key Wrapping	9. NIST SP 800-38F: キーラッピングの方法
10. Implementation Considerations	10. 実装上の考慮事項
11. Editorial Comments	11. 編集コメント
12. Recommendations	12. 提言事項
References	参考文献
Appendix A. List of Symbols, Abbreviations, and Acronyms	附属書 A. 記号、略語、頭字語のリスト
Appendix B. Glossary	附属書B. 用語集

序文...

1. Introduction	1. 序文
NIST Interagency or Internal Report (NIST IR) 8319 [55] focuses on the Advanced Encryption Standard (AES) [22] that was standardized in FIPS 197 [58]. AES is one of only two block ciphers that are currently standardized by NIST. The other is the Triple Data Encryption Algorithm (TDEA) [10], also known as Triple-DES (Data Encryption Standard). Triple-DES is deprecated and will be disallowed after 2023 [11].	NIST 省庁間報告書または内部報告書 (NIST IR) 8319 [55]は、FIPS 197 [58]で標準化された高度暗号化標準 (AES) [22]に焦点を当てている。AES は、現在 NIST によって標準化されている 2 つのブロック暗号のうちの 1 つである。もう1つはTDEA（Triple Data Encryption Algorithm）[10]で、Triple-DES（Data Encryption Standard）としても知られている。トリプルDESは非推奨であり、2023年以降は使用できなくなる[11]。
A block cipher can only process inputs of a specific length, known as the block size. AES has a block size of 128 bits, and Triple-DES has a block size of 64 bits. To process inputs of other lengths, it is necessary to use a mode of operation. A mode of operation can process shorter or larger inputs by performing one or more calls to an underlying block cipher.	ブロック暗号は、ブロックサイズとして知られる特定の長さの入力のみを処理できる。AES のブロックサイズは 128 ビットであり、Triple-DES のブロックサイズは 64 ビットである。それ以外の長さの入力を処理するには、動作モードを使用する必要がある。ブロック暗号利用モードでは、基礎となるブロック暗号を 1 回または複数回呼び出すことで、より短い入力やより大きな入力を処理することができる。
In fact, it is possible to claim that a block cipher is always used in combination with a mode of operation: using a block cipher “directly” is equivalent to using it in the Electronic Codebook (ECB) mode with the restriction that the input must be exactly one block in length (e.g., 128 bits in the case of AES). Therefore, the real-world applications of the NIST-recommended modes of operation overlap with the applications of the underlying block cipher and include virtually all web browsers, Wi-Fi and cellular devices, and contact and contactless chip cards, as described in NIST IR 8319 [55].	ブロック暗号を 「直接 」利用することは、入力が正確に1ブロック長（例えばAESの場合は128ビット）でなければならないという制約の下、ECB（Electronic Codebook）モードで利用することと同じである。そのため、NIST が推奨するブロック暗号利用モードの実世界での用途は、基礎となるブロック暗号の用途と重複しており、NIST IR 8319 [55]に記載されているように、事実上すべてのウェブブラウザ、Wi-Fi およびセルラーデバイス、接触型および非接触型のチップカードが含まれる。
Therefore, a logical next step after NIST IR 8319 is to analyze the recommended modes of operation. This report analyzes the block cipher modes of operation that are standardized in NIST Special Publication (SP) 800-38A through 800-38F. More specifically:	従って、NIST IR 8319 の次の論理的なステップは、推奨される動作モードを分析することである。本報告書では、NIST 特別刊行物（SP）800-38A から 800-38F で標準化されているブロック暗号利用モードを分析する。具体的には以下の通りである：
・NIST SP 800-38A [25] defines the Electronic Codebook (ECB), Cipher Block Chaining (CBC), Cipher Feedback (CFB), Output Feedback (OFB), and Counter (CTR) modes, which will be referred to collectively as the “five confidentiality modes.”	NIST SP 800-38A [25]は、電子符号表（ECB）、暗号ブロック連鎖（CBC）、暗号フィードバック （CFB）、出力フィードバック（OFB）、カウンタ（CTR）の５つのモードを定義している。
・The Addendum to NIST SP 800-38A [26] defines three variants of the CBC mode: the CBC-CS1, CBC-CS2, and CBC-CS3 modes, where “CS” indicates “ciphertext stealing.”	NIST SP 800-38A [26]の補遺は、CBC モードの 3 つのバリエーション、CBC-CS1、CBC-CS2、 CBC-CS3 モードを定義している。
・NIST SP 800-38B [27] defines the Cipher-based Message Authentication Code (CMAC) mode.	NIST SP 800-38B [27]は、暗号ベースのメッセージ認証コード（CMAC）モードを定義している。
・NIST SP 800-38C [28] defines the Counter with Cipher Block Chaining-Message Authentication Code (CCM) mode.	NIST SP 800-38C [28]は、暗号ブロック連鎖によるカウンター-メッセージ認証コード（CCM ）モードを定義している。
・NIST SP 800-38D [29] defines the Galois/Counter Mode (GCM) and its specialization GMAC to generate a Message Authentication Code (MAC).	NIST SP 800-38D [29]は、メッセージ認証コード(MAC)を生成するためのガロア/カウンタモード(GCM)とその特殊化 GMAC を定義している。
・NIST SP 800-38E [30] defines the XTS-AES mode, where XTS stands for “XEX Tweakable block cipher with ciphertext Stealing,” and XEX stands for “eXclusive-or Encrypt eXclusive-or.”	NST SP800-38E[30]は、XTS-AESを定義している。XTS は 「XEX 暗号文ステアリンによる微調整可能なブロック暗号 」の略であり、XEX は 「排他的論理和あるいは暗号排他的論理和 」の略である。
・NIST SP 800-38F [31] defines the AES Key Wrap (KW) mode, the AES Key Wrap with Padding (KWP) mode, and the TDEA Key Wrap (TKW) mode.	NIST SP 800-38F [31]は、AESキーラップ(KW)モード、パディング付きAESキーラップ(KWP)モード、 TDEAキーラップ(TKW)モードを定義している。
Note that NIST SP 800-38G [32], which defines the Format-Preserving Encryption (FPE) modes FF1 and FF3, is currently undergoing a revision that is proposed in Draft NIST SP 80038G, Rev. 1 [33].	なお、NIST SP 800-38G [32]は、フォーマット保持暗号化(FPE)モード FF1 および FF3 を定義しているが、現在改訂中であり、ドラフト NIST SP 80038G, Rev. 1 [33]で提案されている。

NIST SP800-38シリーズ...

2010.10.21	SP800-38A	Final	Recommendation for Block Cipher Modes of Operation: Three Variants of Ciphertext Stealing for CBC Mode	ブロック暗号利用モードの推奨：CBCモードにおける暗号文盗用の3つのバリエーション
2001.12.01	SP800-38A	Final	Recommendation for Block Cipher Modes of Operation: Methods and Techniques	ブロック暗号利用モードの推奨：方法と技術
2016.10.06	SP800-38B	Final	Recommendation for Block Cipher Modes of Operation: the CMAC Mode for Authentication	ブロック暗号利用モードの推奨：認証のためのCMACモード
2007.07.20	SP800-38C	Final	Recommendation for Block Cipher Modes of Operation: the CCM Mode for Authentication and Confidentiality	ブロック暗号利用モードの推奨：認証と機密性のためのCCMモード
2007.11.28	SP800-38D	Final	Recommendation for Block Cipher Modes of Operation: Galois/Counter Mode (GCM) and GMAC	ブロック暗号利用モードの推奨：ガロア/カウンタ・モード（GCM）とGMAC
2010.01.18	SP800-38E	Final	Recommendation for Block Cipher Modes of Operation: the XTS-AES Mode for Confidentiality on Storage Devices	ブロック暗号利用モードの推奨：XTS-AESモード（ストレージデバイス上の秘匿用
2012.12.13	SP800-38F	Final	Recommendation for Block Cipher Modes of Operation: Methods for Key Wrapping	ブロック暗号利用モードの推奨：キーラッピングの方法
2016.08.04	SP800-38G	Final	Recommendation for Block Cipher Modes of Operation: Methods for Format-Preserving Encryption	ブロック暗号利用モードの推奨：フォーマット保持暗号化の方法
2019.02.28	SP800-38G Rev. 1	Draft	Recommendation for Block Cipher Modes of Operation: Methods for Format-Preserving Encryption	ブロック暗号利用モードの推奨：フォーマット保持暗号化の方法

FIPS197とIR8319

2023.05.09	FIPS197	Final	Advanced Encryption Standard (AES)	高度暗号化標準 (AES)
2021.07.23	IR8319	Final	Review of the Advanced Encryption Standard	高度暗号化標準の見直し