置換・転置ネットワーク（SPN）：構造、設計原理、用途

構造と構成要素

SPNは、主として置換ボックスと転置ボックスという2種類の要素を交互に用いる。一般にSボックスと呼ばれる置換要素は、ビットのグループに小規模な非線形変換を適用する。Pボックスと呼ばれる転置要素は、これらのグループ間でビットを並べ替え、あるSボックスの出力が次のラウンドでは異なるSボックスの入力へ渡るようにする。典型的な実装では、置換の前または後に、鍵から導出したラウンド依存の値を、通常はXORなどの単純な群演算で組み合わせる。

設計原理と望ましい性質

SPNは、シャノンが掲げた混同と拡散という二つの目標を実現することを目指す。優れた設計では、入力または鍵における小さな変更が、暗号文に大きく、一見ランダムな変更を生じさせる。SボックスとPボックスに望まれる性質には、次のものがある。

• Sボックスの雪崩性：一つの入力ビットを反転させると、出力ビットのおよそ半数に影響することが望ましい。
• ビット依存性：単純な解析攻撃に耐えるため、各出力ビットはすべての入力ビットに依存すべきである。これは、非線形性や差分一様性など、設計者が検討する性質の指標によって評価されることが多い。
• Pボックスによる拡散：ビット転置は局所的な差分を広げ、連続するSボックスが、それまで分離されていたビットを混合できるようにすべきである。

SPNのラウンドの仕組み

実装には差異があるものの、1ラウンドは通常、Sボックスによる置換、Pボックスによるビット転置、ラウンド副鍵の混合という手順に従う。この系列を複数回繰り返すことで、暗号は統計的攻撃および構造的攻撃への耐性を高める。設計者は、安全性と性能の均衡を取るためにラウンド数を選択する。

歴史と発展

SPNの考え方は、20世紀初頭の積暗号に関する発想に由来し、20世紀後半にブロック暗号の理論が成熟するなかで洗練された。SPNパラダイムが重要になったのは、非線形層と線形層を明確に分離し、各部分の厳密な解析を可能にするとともに、ソフトウェアおよびハードウェアでの効率的な実装を実現するためである。学術分野および産業分野の多くの暗号は、所望の安全余裕を得るため、SPNの構成要素にさまざまな変形を加えて用いている。

用途、例、注目すべき事項

SPN構成は主に、データの機密性を守るブロック暗号、および認証付き暗号の一部の動作モードで使用される。具体的な例や学習用の事例では、通常、アルゴリズムの設計、Sボックスの選択（Sボックス）、拡散をもたらすビットレベルの転置（Pボックス）が参照される。暗号学的鍵の役割と、状態データと鍵を組み合わせる際に用いる代数的群は、安全性と速度の双方に影響する中心的な実装上の選択である。理論的性質や具体的なパラメータについては、暗号学およびブロック暗号解析の入門書・専門書を参照できる。

安全性に関する考慮事項と他方式との相違

SPNは差分解読法や線形解読法などの攻撃に対して解析される。設計者は、非線形なSボックスの選択、十分なラウンド数、および適切な拡散の確保によって、これらの攻撃を軽減する。SPNは、もう一つの一般的なブロック暗号構造であるFeistelネットワークと対照をなす。Feistel暗号は状態を分割し、その半分にラウンド関数を適用するのに対し、SPNは状態全体に並列の置換を適用した後で転置を行う。いずれの方式も、実用的な暗号設計において重要であり続けている。

追加的な実装上の懸念には、サイドチャネル耐性、鍵スケジュールの設計、対象ハードウェア向けの最適化された対応付けが含まれる。これらの各要因は、SPNベースの暗号が実環境でどのように動作するか、また理論上の安全性が実運用にどう反映されるかに影響する。

置換・転置ネットワーク — 関連項目として、AESスタイルの議論、数学的な取り扱いによる暗号解読の概説、および実用的な暗号仕様を参照のこと（操作の系列、入出力ビットの解析、性質の表）。

具体的なアルゴリズムの文献と標準については、標準的な資料および標準化団体を参照できる。実装ガイドでは、安全かつ効率的な暗号を導く際に、ラウンド数、Sボックスの複雑さ、転置構造の間のトレードオフがしばしば論じられる。