ブロック暗号：仕組み、動作モード、AES・DESとセキュリティ

ブロック暗号の動作

ブロック暗号の本質は、鍵に依存する可逆な変換を実装することにある。暗号化では、アルゴリズムが固定長の平文ブロック（一般的なサイズは64ビットまたは128ビット）を受け取り、同じサイズの暗号文ブロックを生成する。復号では、同じ秘密鍵を用いて逆変換を適用し、元の平文ブロックを復元する。鍵そのものは利用者またはプロトコルから与えられ、鍵スケジュールによって、暗号内部の各ラウンドで使用するラウンド鍵が導出される。ブロック暗号単体では一度に1ブロックしか扱えないため、通常は任意長のメッセージを暗号化するための動作モードと組み合わせて使われる。

設計パターンと例

ブロック暗号で広く使われる内部構造には、ファイステルネットワークと置換・転置ネットワーク（SPN）がある。ファイステル構造はブロックを半分に分割し、ラウンド関数自体が可逆であるかどうかにかかわらず、全体の写像が可逆になるようにラウンド関数を適用する。データ暗号化規格は、ファイステル暗号として構築された著名な例である。SPNの方式は、非線形な置換と線形な混合の層を繰り返し適用する。高度暗号化標準はSPN構成を採用している。

• ファイステルネットワーク：DESなどの暗号で用いられ、歴史的な影響力が大きく、逆変換を簡潔に実現できる。
• 置換・転置ネットワーク：AESで用いられ、高い拡散性と強い代数的構造を備える。
• 鍵スケジュール：利用者鍵を各ラウンド用の鍵へと拡張する内部構成要素。

動作モード

ブロック暗号は固定長ブロックを変換するため、より長いメッセージや可変長メッセージを実用的に暗号化するには動作モードが必要となる。動作モードは、ブロック間をどのように連結するか、また結果として機密性、完全性、あるいはその両方を提供するかを定める。代表的なモードは以下のとおりである。

• ECB（Electronic Codebook）：最も単純なモードである。同一の平文ブロックを暗号化すると同一の暗号文ブロックが得られるため、ほとんどの用途では一般に推奨されない。
• CBC（Cipher Block Chaining）：初期化ベクトル（IV）を用いてブロックを連鎖させ、同一メッセージでも異なる出力が得られるようにする。歴史的には、ファイルおよびディスクの暗号化で広く用いられた。
• CTR（Counter）：連続するカウンタ値を暗号化することで、ブロック暗号をストリーム暗号へ変換する。並列処理およびランダムアクセスを可能にする。
• AEADモード（例：GCM）：関連データ付き認証暗号を提供し、機密性と完全性の検証を一つの構成で組み合わせる。

歴史と標準化

初期の実用的なブロック暗号は1970年代に開発された。データ暗号化規格（DES）はIBMで作られ、1977年に標準化された。これはファイステル構造とブロック単位の暗号化を産業界に広めた。計算能力の進展により、DESの56ビット鍵では十分でなくなり、研究を経て、2001年に高度暗号化標準（AES）が開発・採用された。AESは現在も広く使用されている。

セキュリティ上の考慮事項と攻撃

ブロック暗号の安全性は、設計の品質と鍵長に左右される。適切に設計された暗号は、暗号のラウンド関数における統計的性質を利用する差分解読法や線形解読法など、既知の攻撃への耐性を持つ。実際的な脅威には、総当たり鍵探索（より長い鍵で軽減できる）、不適切な鍵管理、不適切な場面でのIVの再利用、動作モードの誤用がある。鍵スケジュールに欠陥があれば、弱鍵や関連鍵攻撃に対する脆弱性を示す構成もある。

用途、重要性、区別

ブロック暗号は、安全な通信プロトコル、ディスクおよびファイルの暗号化、仮想プライベートネットワーク、安全なストレージなど、多くの暗号応用で使われる。データを1ビットまたは1バイトずつ暗号化するストリーム暗号とは区別されるが、特定の動作モード、たとえばCTRと組み合わせれば、ストリーム暗号のような方式で利用できる。現代の実務では、完全性を伴わない機密性だけを提供する場合に生じやすい問題を避けるため、認証暗号モードが選好されることが多い。

アルゴリズム仕様や推奨動作モードを含む、より詳細な技術資料および標準については、応用暗号学の権威ある資料や、関係する国内・国際機関が提供する標準文書を参照する。入門的な追加資料としては、共通鍵暗号方式、暗号学の資料、ならびに上記でリンクしたDESおよびAESの原典文書などのアルゴリズム固有の資料がある。