令和3年度春期 ITストラテジスト 午前Ⅰ 問12

攻撃者の前提条件に注目して整理する

安全性の性質を区別するときは、名称の印象ではなく、攻撃者が最初に何を手にしていて、何を見つけることが困難であるべきかという前提の違いに着目すると整理しやすくなります。

この問題で問われていること

問われている性質ごとに、攻撃の出発点として与えられるものと、攻撃者が自由に選べるものの範囲を自分の言葉で書き出し、問題に示された記述や条件がどの前提に対応しているかを照らし合わせることが検討の中心になります。

視点

ハッシュ関数の安全性の性質は、どれも『ある条件を満たす入力を見つけるのが計算上困難であること』として表されます。区別の手がかりは、攻撃を始める時点で何が固定され、何が攻撃者に委ねられているかという前提の置き方にあります。似た名称や言い回しに引きずられず、前提と目標の組を一つずつ自分で書き出してから、問題中の記述に当てはめて確かめる進め方が有効です。

確認ポイント

• 各性質について、攻撃の開始時点で攻撃者に与えられているものを自分の言葉で書き出せているか
• 攻撃者が自由に選べる部分と固定されている部分の違いを、名称の印象ではなく前提条件で説明できるか
• 問題に示された記述や条件を、自分で書き出した前提と目標の組に一つずつ照らし合わせて確かめたか

正解

ア

解説

原像計算困難性（一方向性）とは、あるハッシュ値が与えられたときに、そのハッシュ値を出力する任意のメッセージ（原像）を見つけることが計算量的に困難であるという性質です。したがって正答はアです。

理由

ハッシュ関数Hについて、ハッシュ値hが与えられたとき、H(m)=hを満たすメッセージmを原像と呼びます。ハッシュ関数は可変長の入力を固定長に写すため、一つのハッシュ値に対応する原像は理論上多数存在します。原像計算困難性とは、実際にhの生成に使われたメッセージを特定することに限らず、hを出力するどのメッセージを見つけることも計算量的に困難であるという性質です。これはアの記述と一致します。

比較

関連する要件として、第二原像計算困難性（あるメッセージm1が与えられたとき、H(m1)=H(m2)となる別のm2を見つけることが困難）と、衝突困難性（ハッシュ値が一致する相異なる二つのメッセージを自由に選んで見つけることが困難）があります。ウは衝突困難性の説明です。イはハッシュ関数一般の基本機能、エは実装の耐タンパ性に関する記述で、いずれも原像計算困難性ではありません。

選択肢ア（正解）

これは正解だよ。原像計算困難性（一方向性）は、あるハッシュ値hが与えられたとき、H(m)=hとなる任意のメッセージm（原像）を見つけることが計算量的に困難という性質で、アの記述と一致する。実際にhの生成に使われたメッセージの特定に限らず、同じhを出力する別のメッセージを見つけることも困難である点が要件になる。

選択肢イ

これは不正解だよ。可変長の入力から固定長のハッシュ値を生成できることは、ハッシュ関数一般の基本的な機能・仕様であり、安全性要件ではない。チェックサムのような暗号学的でないハッシュ関数も満たす性質で、ハッシュ値から原像を見つける困難さについては何も述べていないため、一方向性の説明にはならない。

選択肢ウ

これは不正解だよ。ハッシュ値が一致する相異なる二つのメッセージを見つけることが困難という性質は、衝突困難性（強衝突耐性）の説明である。攻撃者は特定のハッシュ値を与えられず、二つのメッセージを自由に選べる。与えられたハッシュ値に対応するメッセージを探す原像計算困難性とは条件が異なる。

選択肢エ

これは不正解だよ。処理メカニズムへの外部からの不正な観測や改変を防御できるという性質は、実装の耐タンパ性やサイドチャネル攻撃への対策に関する記述であり、ハッシュ関数の数学的な安全性要件ではない。与えられたハッシュ値から原像を見つける困難さを述べていないため、原像計算困難性には当たらない。

学習のポイント

原像計算困難性、第二原像計算困難性、衝突困難性の違いと、ハッシュ関数の基本機能との区別