ブランチ追加でも2ラウンドType-II GFNの平文回復攻撃への耐性は向上せず（未査読論文）

スマートカードやIoTデバイスで使われる軽量暗号の基盤構造「一般化Feistel構造（GFN）」に関する新たなプレプリント論文が公開された。Type-II GFNでは、データ経路（ブランチ）の数を増やしても、低ラウンド構成に対する平文回復攻撃への耐性が向上しないことが示されている。実運用されている暗号が直ちに破られるわけではないが、暗号設計における長年の前提を問い直す内容となっている。

■導入

何十年もの間、エンジニアが「一般化Feistel構造（GFN）」を設計する際には、ある暗黙の直感が働いていた。GFNは、数億枚のスマートカードや交通系決済システム、産業用センサーに組み込まれている国際的な軽量暗号標準、ソニーの「CLEFIA」などを支えるマルチブランチ型のブロック暗号アーキテクチャである。その直感とは、古典的な2ブランチのFeistel暗号が一般的な攻撃に対して構造的に弱く見える場合、データをより多くのブランチに分散させればよいという単純なものだった。つまり、幅を広げれば安全になるという考え方である。

暗号学研究の最新成果が集まる主要なリポジトリであるIACR Cryptology ePrint Archiveで7月24日に公開されたプレプリント論文は、この直感が成り立たないことを示している。マルチブランチ暗号で広く採用されている「Type-II GFN」において、2ラウンドの暗号から完全な平文を回復するために必要なオラクルクエリの回数は、暗号が使用するブランチ数にかかわらず「3」であるという。4ブランチ、8ブランチ、16ブランチと増やしても、攻撃者に必要なクエリ回数は変わらない。

河南省量子情報・暗号重点実験室（Henan Key Laboratory of Quantum Information and Cryptography）のYubing Zhu、Jianhong Shi、Yunteng Yang、Yonghui Yangによるこの研究結果は、現在導入されている特定の暗号が破られたことを発表するものではない。例えばCLEFIAは128ビット鍵に対して18ラウンドを使用しており、今回の攻撃が利用する2ラウンドという閾値をはるかに上回っている。むしろ、すべてのType-II GFN暗号の設計思想に組み込まれていた構造的な前提が誤りであることを示したものである。追加のブランチによって拡散範囲を広げても、この種の攻撃に対する防御にはならない。構造的な弱点を補うためにブランチ数を増やした設計者たちは、誤った前提の下で、ハードウェアの複雑化、状態レジスタの大型化、鍵スケジュールの長大化といった実際のエンジニアリングコストを受け入れていたことになる。

■Feistel構造：問題の背景にあるアーキテクチャ

今回の論文が何を覆したのかを理解するためには、一般化Feistel構造とは何か、そしてなぜそれが広く普及しているのかを知る必要がある。

古典的なFeistel暗号は、IBMのLuciferの設計で開発され、1973年に米国の標準化機関へ提出され、その後、米国のデータ暗号化標準（DES）によって広く知られるようになった。この暗号は、データブロックを2つに分割して処理する。各ラウンドでは、一方にラウンド関数を適用し、その出力をもう一方とXOR演算で結合した後、両者を入れ替える。十分なラウンド数を繰り返すことで、暗号学者が「擬似ランダム置換」と呼ぶもの、すなわち計算能力に制限のある攻撃者にとって真にランダムな写像と区別できない関数が生成される。1980年代にMichael LubyとCharles Rackoffは、ラウンド関数自体が安全な擬似ランダム関数であると仮定すれば、この構造では3ラウンドで十分であることを証明した。

一般化Feistel構造（GFN）は、これを2つではなくd個のサブブロックに拡張したものである。主に2つのファミリーが存在する。Type-I GFNは、1つのブランチに単一のラウンド関数を適用し、その結果を他のすべてのブランチにXOR演算で組み合わせる、1対多のブロードキャスト型の構造である。Type-II GFNは、隣接するブランチをペアにしてラウンド関数による処理を行い、その後、すべてのサブブロックを巡回的にシフトさせる。Type-IIは、F関数を用いる各ペアの構造がコンパクトであるため、ハードウェアの制約が厳しい実装で主流となっている。シリコン面積を比例して増やすことなく、小さく効率的な関数を用いて、より大きな実効ブロックサイズを持つ暗号を構築できるからだ。

2007年のFast Software Encryptionカンファレンスで初めて発表され、後に国際的な軽量暗号標準であるISO/IEC 29192-2として標準化されたソニーのCLEFIAは、まさにこの構造を使用している。128ビットのブロックを4つの32ビットサブブロックに分割する4ブランチのType-II GFNであり、0.13マイクロメートルのCMOS（相補型金属酸化膜半導体）技術において約3,000ゲート相当で実装可能である。これは、スマートカード、RFIDタグ、センサーネットワーク、医療機器などの組み込み用途に十分コンパクトな規模である。この暗号は、128ビット鍵で18ラウンド、192ビット鍵で22ラウンド、256ビット鍵で26ラウンドを実行する。

■新たな論文が実証したこと

この研究は、古典的な2ブランチFeistel暗号に対して確立された平文回復攻撃のフレームワークを、初めてマルチブランチの領域に拡張したものである。なお、2ブランチFeistel暗号に対する攻撃自体も、2026年5月に別のチームが発表した密接に関連するプレプリント論文（ePrint 2026/1040）の主題となっている。

完全な平文回復攻撃は、暗号学者が通常分析する攻撃目標よりも明確に強い目標である。標準的なセキュリティ目標である「選択平文攻撃に対する識別不可能性（IND-CPA）」は、暗号化オラクルにアクセスできる攻撃者が暗号文をランダムなものと区別できるかどうかを問う。一方、完全な平文回復は、攻撃者が課題として与えられた暗号文から元の平文を再構築できるかどうかを問う。これらは異なる目標であり、論文は、標準的なLuby-Rackoffフレームワークでは捉えられない、異なるクエリ複雑性の閾値が存在することを示している。

論文の結果は、2つの攻撃モデルと2つの暗号ファミリーに分類される。

・選択平文攻撃（CPA）：攻撃者が選択した平文を送信し、その暗号化結果を受け取る。攻撃者が選択したデータの暗号化を密かに実行させられるシナリオをモデル化している。

・選択暗号文攻撃（CCA）：攻撃者がさらに選択した暗号文を送信し、その復号結果を受け取る。復号装置に対するパディングオラクル型のアクセスなどを含む、より強力な攻撃モデルである。

d個のブランチとdラウンド（d≧3）を持つType-I GFNの場合、論文はCPAの下でd+1回の暗号化クエリを使用して完全な平文回復を達成している。5ラウンドの暗号であれば、慎重に選択された6回のオラクルへの問い合わせが必要になる。CCAの下では、2dラウンドのType-I GFNに対し、d回の復号クエリで完全な平文回復が可能になる。クエリ複雑性はラウンド数とともに増大し、著者らはType-I GFNにブランチを追加することで攻撃への耐性が測定可能な程度に向上することを確認している。ここでは、ブランチ数に関するヒューリスティック（経験則）がある程度有効である。

一方、d≧4のブランチを持つ2ラウンドのType-II GFNの場合、論文はCPAの下で正確に3回の暗号化クエリを使用して完全な平文回復を達成しており、この回数はdに依存しない。暗号が4ブランチであろうと16ブランチであろうと、攻撃者が必要とするクエリは3回である。CCAの下では、3ラウンドのType-II GFNに対し、1回の暗号化クエリと2回の復号クエリで完全な平文回復が可能になる。

3つ目の重要な発見は、暗号エンジニアにとって最も重大な意味を持つ可能性がある。それは、すべての攻撃がラウンド関数をブラックボックスとして扱っていることである。弱点は、Sボックス、拡散層、鍵スケジュールなど、ラウンド関数における特定の設計選択にあるわけではない。GFN自体のトポロジー（接続構造）に存在している。論文の著者らによると、Sボックスや拡散行列を強化しても攻撃を軽減することはできず、構造的攻撃が成立する閾値を超えてラウンド数を増やすことだけが有効な防御策となる。

■CLEFIAは破られたのか？

破られてはいない。ただし、実務者にとってはその答えの背景が重要である。

実運用されているCLEFIAは、2ラウンドではなく、128ビット鍵の場合に18ラウンドを使用している。論文の攻撃は、非常に少ないラウンド数における構造的な脆弱性を標的としている。CLEFIAの設計者は、識別攻撃が成立する閾値を大きく上回る安全余裕を確保するためにラウンド数を選択している。本稿執筆時点において、フルラウンドのCLEFIAに対し、総当たり探索より有効な既知の古典的攻撃は存在しない。

しかし、この結果はいくつかの理由から実際のシステムにも関係する。

ラウンド削減版での利用。ラウンド数を減らした暗号の分析は、暗号設計をストレステストするために暗号学コミュニティで一般的に用いられる手法である。少ないラウンド数で成功する暗号解読は、さらに研究を進めることで、より多いラウンドにも波及し得る構造的パターンを明らかにする場合がある。レイテンシーと消費電力の制約が厳しいIoTや組み込み環境においては、CLEFIA系暗号のラウンド削減版が、軽量暗号に関する文献で設計上の検討対象として扱われている。

利用モードとの相互作用。特定の認証付き暗号モードやディスク暗号化モードは、CPAまたはCCAモデルに近い形で、暗号化オラクルまたは復号オラクルへのアクセスを攻撃者に許す場合がある。こうした状況では、少ないラウンド数における基盤暗号の構造的な振る舞いが直接関係する。

標準化におけるセキュリティ根拠。論文は、主要な設計目標としてIND-CPAを用いる枠組みが十分かどうかを明確に問い直している。GFNのセキュリティ根拠を支えるラウンド数の閾値を確立した標準的なLuby-Rackoff分析は、完全な平文回復を試みる攻撃者ではなく、識別不可能性を破ろうとする攻撃者を想定して策定された。CPA環境において、非常に少ないクエリで完全な平文回復が可能であることを示した今回の結果は、セキュリティ証明が保証すべき水準を実質的に引き上げるものである。

ブランチ数に関する前提。設計上の実際的な問題は、GFNの構造的な弱点を補う対策として受け入れられてきたブランチ数の拡大が、少ないラウンド数のType-II暗号に対してCPAへの防御にならないことである。セキュリティ対策としてブランチ数の拡大に依存していた暗号設計の根拠は、平文回復攻撃モデルに照らして再検討する必要がある。

■完全な平文回復攻撃とは何か？

一般の読者にとって、暗号化された値をランダムなものと区別することと、実際の平文を回復することの違いは、専門的に思えるかもしれない。しかし、実際の能力には大きな差がある。

暗号文をランダムな値と区別できる攻撃者は、暗号に何らかの問題があり、ランダムな置換のようには振る舞っていないことを検知できる。一方、平文を回復できる攻撃者は、暗号化されたデータに実際に何が書かれているかを知ることができる。後者は、暗号化された通信を読み取ったり、保護された鍵を回復したり、保護された組み込みデバイスからファームウェアを抽出したりしようとする攻撃者の目標である。今回の論文は、暗号化システムに対する驚くほど少ない回数の問い合わせによって、GFNアーキテクチャに対してこの強力な能力を実現できることを示している。

Type-II GFNに対するCPAで3クエリという結果は、文脈を踏まえると特に注目に値する。Luby-Rackoffの証明は、2ブランチFeistel暗号の3ラウンドが安全な擬似ランダム置換を生成することを保証している。新しい論文は、設計者が同等以上のセキュリティ特性を提供すると期待していたマルチブランチ構造である2ラウンドのType-II GFNに対し、状態の幅をどれだけ広げても、わずか3回の選択平文クエリで完全な平文を回復できることを示している。

■GFN暗号解読をめぐる研究動向

このプレプリント論文は、活発な研究分野に新たな成果を加えるものである。先行論文（2026年5月公開のePrint 2026/1040）は、2ブランチFeistel暗号に対する識別攻撃を、本質的に同じクエリ複雑性のまま完全な平文回復攻撃へ体系的に拡張できることを示した。また、この手法がUnified Feistel-Lai-Masseyフレームワークにも拡張でき、AEZ-core、FMix、OleFなどの実用的な暗号化方式に影響することも示している。今回の新しい論文は、先行研究が未解決の領域として残していたdブランチの構成に、その手法を明示的に拡張したものである。

これとは別に、IACR Transactions on Symmetric Cryptology（2026年第1号）に掲載されたÖzdemirとRijmenによる論文は、GFN構造に対する汎用的な多次元線形暗号解析を定式化し、識別攻撃および鍵回復攻撃が可能なラウンド数の範囲を拡張した。具体的には、Type-1 GFNに対する汎用識別攻撃の最大ラウンド数をt²+2t−1に、Type-2 GFNに対する最大ラウンド数を2t+3に拡張した。ここでtは構造を表すパラメーターである。これらの結果を合わせると、GFNアーキテクチャの構造的な弱点がどこにあるのかについて、ますます詳細な全体像が描かれつつある。

■GFNベースの標準規格の今後

論文はいくつかの未解決問題を示している。この分析では、ラウンド関数をオラクルとして扱っている。これは構造的暗号解析における標準的なアプローチであり、トポロジー上の脆弱性を特定のラウンド関数の性質から意図的に切り離すものである。汎用的なGFNを上回る差分攻撃および線形攻撃への耐性を得るために設計された「拡散切り替え機構（Diffusion Switching Mechanism）」を使用するCLEFIAの具体的なラウンド関数に、これらの結果がどのように関係するかは、暗号方式ごとの今後の研究課題として残されている。

標準化団体にとって、今回の発見は、GFNベース暗号のセキュリティ根拠を再検討し、歴史的に形式的なセキュリティ証明を支えてきた識別不可能性モデルと並んで、平文回復攻撃モデルも組み込むべきだという証拠をさらに加えるものである。CLEFIAを規定する現在の国際標準であるISO/IEC 29192-2は、2019年に最後に更新された。日本の電子政府システム向けにCamellia（GFNではなく古典的な2ブランチFeistel暗号）を推奨しているCRYPTRECは、直近では2024年5月にその推奨を確認している。

このプレプリント論文はIACR ePrint Archive（ePrint 2026/1519）で入手可能であり、まだ正式な査読を受けていない。この論文の現在の位置付けは「IACR ePrint Archive」での公開であり、カンファレンスや学術誌への採択を意味するものではない。

■注目ポイントQ&A

●一般化Feistel構造（GFN）とは何ですか？また、どの暗号で使用されていますか？

一般化Feistel構造は、古典的な2ブランチのFeistel暗号構造をd個のサブブロックに拡張したものです。データを2つに分割するのではなく、ブロックを複数の並列ブランチに分割し、それらにまたがってラウンド関数を適用します。ソニーのCLEFIAはISO/IEC 29192-2で標準化され、DRMシステム、スマートカード、IoTデバイスで使用されており、4ブランチのType-II GFNを採用しています。HIGHTやPiccoloもGFNベースの軽量ブロック暗号です。この構造はハードウェア効率が高いため、制約のあるデバイス向けの暗号で採用されてきました。

●この攻撃は、現在実際のデータを保護しているCLEFIAやその他の暗号に影響しますか？

直接的な影響はありません。今回の攻撃は、少ないラウンド数の構成、具体的にはCPAの場合は2ラウンド、CCAの場合は3ラウンドのType-II GFNを標的としています。実際に導入されているCLEFIAは、鍵のサイズに応じて18〜26ラウンドを使用しており、論文が利用する構造的な閾値を大きく上回る安全余裕を確保しています。フルラウンドのCLEFIAを破る既知の古典的攻撃はありません。論文が提起している懸念は、制約の厳しいIoTや組み込み環境におけるラウンド削減版の利用、復号オラクルへのアクセスを許す動作モードのシナリオ、そしてGFNベース暗号の形式的なセキュリティ証明が平文回復攻撃モデルを十分に考慮しているかという、より広範な問題です。

●「ブランチ数に依存しない」とは簡単に言うとどういう意味ですか？また、なぜ暗号設計において重要なのですか？

暗号設計者がGFN構造のブランチ数を増やして、より幅の広い暗号を構築すると、データはより多くのブランチに分散され、ハードウェアも複雑になります。幅の広い暗号ほど攻撃が難しくなるというのは合理的な直感です。しかし新しい論文は、選択平文攻撃を受けるType-II GFNでは、この直感が成り立たないことを示しています。暗号が4ブランチでも16ブランチでも、攻撃者は正確に3回の暗号化オラクルクエリだけで、2ラウンドの暗号から完全な平文を回復できます。ブランチを追加するエンジニアリングコスト、すなわち論理ゲートの増加、状態レジスタの大型化、鍵スケジュールの複雑化は、攻撃者に必要なクエリ回数をまったく増やしません。GFNの構造的な弱点を補うセキュリティ対策としてブランチを追加した設計者は、CPAの平文回復モデルでは存在しない利点のために、実際のコストを負担していたことになります。

●この研究を受けて、Luby-Rackoffのセキュリティ証明は更新されるべきですか？

2ブランチFeistel暗号の3ラウンドが安全な擬似ランダム置換、すなわちランダム置換と区別できない構造を生成することを確立したLuby-Rackoffの証明は、その主張の範囲内で引き続き有効です。論文が浮き彫りにした問題は、識別不可能性と完全な平文回復が同じ目標ではないということです。この2つの攻撃目標は異なるクエリ複雑性の閾値を持っています。GFNのラウンド数を設定するために伝統的に使用されてきたセキュリティ根拠は、Luby-Rackoffや関連するフレームワークに由来し、より弱い識別不可能性の目標に対して策定されていました。この隔たりが、GFNのセキュリティ証明や標準化上の推奨事項を正式に改訂する必要があるほど重大かどうかは未解決の問題であり、論文も今後優先的に研究すべき課題として挙げています。

元記事: Block Cipher Design Rule Overturned: Adding Branches Does Not Improve GFN Security