既知平文攻撃（KPA）とは：仕組み、例、対策

攻撃の仕組み

KPAでは、攻撃者は特定の平文断片と暗号文断片の間にある既知の対応関係を利用して、暗号方式の秘密パラメータを絞り込んだり計算したりする。最も単純な結果は鍵の復元である。十分な組があり、代数的または統計的な弱点を利用できれば、攻撃者は秘密鍵を特定する、あるいはストリーム暗号で用いられる疑似乱数列を再構築できる場合がある。ここでいう平文は本来の可読なデータを、暗号文は暗号化後のデータを指す。既知平文攻撃は、平文が一切得られない暗号文単独攻撃や、攻撃者が選んだ平文の暗号化を要求できる選択平文攻撃とは区別される。

例と実用上の重要性

古典的な換字暗号や転置暗号は、一般に脆弱である。例えば、シーザー暗号のような単純なシフト暗号は、平文のごく短い部分文字列であっても判明していれば解読できる。現代の文脈では、実用的な攻撃の多くが予測可能なヘッダーやファイル形式を利用する。例えば、圧縮アーカイブに含まれていた暗号化されていないファイルを一つ保有する攻撃者は、そのファイルを既知平文として利用し、鍵を復元してアーカイブの残りを復号できる可能性がある。

キーストリームが再利用される場合、ストリーム暗号とワンタイムパッドの実装は特に危険にさらされる。一つの平文を知ることでキーストリームが明らかになり、同一のストリームで暗号化されたほかのメッセージも復号できるようになるためである。

歴史と発展

歴史的に、分析者は推測した、または既知の語句（クリブ）を傍受した暗号文と照合することにより、多くの手作業暗号や初期の機械式暗号を破ってきた。暗号設計が成熟するにつれ、既知平文攻撃への耐性は明示的な目標となった。現代の共通鍵アルゴリズムと安全な動作モードは、多数の平文・暗号文の組が利用可能であっても鍵の復元を実行不可能にすることを目指している。しかし、実装上の欠陥、ノンスの再利用、不十分な乱数性は、実用的な脆弱性を再び生じさせうる。

防御と緩和策

緩和策は、秘密材料の再利用を防ぎ、予測可能性を低減することに重点を置く。推奨される対策には、暗号化のたびに一意のノンスまたは初期化ベクトルを使用すること、機密性と完全性を組み合わせる認証付き暗号モードを採用すること、厳格な鍵管理方針を適用すること、可能な限り決定的暗号化を避けることが含まれる。慎重な実装は、理論上の耐性を実用上の弱点へ変えてしまう情報漏えいを防ぐ。また、悪用可能な条件下で鍵復元を行う既知の攻撃ツールには、適時のパッチ適用によって対処する。

主な区別と実務上の注意点

すべての既知平文シナリオが同じ強さを持つわけではない。既知データの量、位置、変動性は、攻撃者の成功確率に影響する。実際の事例では、攻撃者が完全な鍵、鍵の一部のビット、またはメッセージの偽造や改変に足る情報だけを得ることがある。防御的な設計ではこの点を認識し、プロトコルや保存形式を評価する際、平文が利用可能であることを現実的な脅威モデルとして扱う。定義と形式的モデルについては、攻撃モデル、暗号解析、ならびに平文と暗号文の解説を参照できる。実用的なツールや実演は、同じ用語を用いるセキュリティ勧告や分析論文で取り上げられることが多い。

• 一般的な例：アーカイブやファイルのヘッダーにあるクリブ、再利用されたキーストリーム、予測可能なプロトコルフィールド。
• 一般的な防御策：一意のIV／ノンス、認証付き暗号、厳格な乱数性、鍵のローテーション。
• 関連する話題：選択平文攻撃、暗号文単独攻撃、実装の堅牢化。

KPAを理解することは、運用者や設計者が露出した平文断片が機密性に対してどのように利用され得るかを予測し、現実の攻撃対象領域を減らす選択を行う助けとなる。

古典暗号に関する参考資料および実用例は、標準的な暗号学の文献やセキュリティ勧告で参照できる。