ブロック暗号に欠かせない、ブロック暗号化モードとは・・・

　ブロック暗号は、一定の長さのブロックごとに暗号化処理を行います。従って、ブロック長より長かったり短かったりするデータを扱う場合は若干の工夫が必要です。

　以下は ISO/IEC 10116 に規定されたモード一覧です。

　上記４つのモードは、DES の利用モードとして考案されましたが、DES に限らず他のブロック暗号にも適用が可能です。この他にも、PCBC や Counter Method など新しい暗号利用モードも考案されています。

　ECBモードは、上記の通り、１ブロックずつ単純に処理します。このモードはブロック単位処理の裏をかいた暗号文一致攻撃をに弱い欠点があります。（上述のとおりです。）

　暗号ブロックが一致した場合は復号した平文は一致するということですから、重要な秘密が漏れる可能性が高いと考えられます。特定のある暗号ブロックに対応する平文ブロックが１度知られると、同一の値を持つ暗号ブロックはすべて解読されたことになります。

　現実には、暗号文全体のうち部分的な平文は状況的に推測できるということは少なくないので、ECBは長い平文を暗号化する場合にはお勧めできないモードです。暗号を利用した商用アプリケーションで実際に利用されることはないでしょう。

　また、ブロック単位の差し替えなど、暗号文改ざん攻撃にも弱いという問題があります。このような改ざん攻撃を成功させるために、鍵を入手したり平文を正確に把握する必要がないので注意が必要です。

　ECB は、暗号化も復号化もランダムアクセスに適しています。どちらもランダムに選んだ着目ブロックに対して操作が可能です。

　　　　　図1 ECB モード

　CBCモードでは、前の平文ブロックを暗号化した結果を次の平文に XOR 演算によって重ね合わせ、その結果に対して暗号化処理を行います。最初のブロックを暗号化する場合は、前の暗号文の最後のブロックを利用するか、または外部から与えた初期ベクトル(initial vector) を利用します。

　 前の暗号化結果が次のブロックに連鎖されるので連鎖モードと呼びます。同一の平文から同一の暗号文が生成される可能性はきわめて低いといえます。同一の平文が続く場合も安心です。CBCに対する暗号文一致攻撃は以下の様に考えられます。

　暗号文ブロック Cj, Ck に対応する平文が Pj , Pk とします。ここで、偶然に Ck=Cj であった場合に以下の攻撃が成立します。それぞれの一個前の暗号文を Ck_1 Cj_1 とすると

　　　　　　XOR( Ck_1 , Ck ) = XOR( Cj_1 , Cj )

　が成立します。CBCの手順から、以下が成立します。

　　　　　　XOR( Cj_1,Ck_1 ) = XOR( Pj , Pk )

　すると、二つの平文の間に生じる差分は入手できてしまいます。しかしながら、このような攻撃が成功する確率は非常に稀であるといえます。ECB などこのレベルの攻撃では問題外に弱いわけですから。

　CBC暗号モードの初期値は、敵から見えてもかまわないことになっていますが、毎回違う値を利用することが推奨されています。

　CBC は、暗号化がランダムアクセスに適していません。暗号化は先頭から順次行う必要があります。

　CBC は、復号化がランダムアクセスに適しています。復号化はランダムに選択した着目ブロックに対して操作できます。(一つ前の暗号文ブロックは必要です。)

　　　　　図2 CBC モード

　OFBは、初期ベクトル(initial vector) を暗号化し、それをまた暗号化し、次々と乱数を生成します。その乱数列を XOR 演算によって平文に重ね合わせ暗号化処理を行います。従って、ブロック暗号をストリーム暗号のように利用します。

　OFBの 初期値は敵から見えてもかまわないことになっていますが、同じ鍵を使う場合は初期値は必ず毎回違う値を利用しなければなりません。

　同一の初期値と鍵の組み合わせから生じる乱数列は常に同一です。平文と暗号文の組が一組敵の手に渡ってしまうと、そこから乱数列がわかってしまい、同一の初期値と鍵で暗号化したすべての暗号文が解読されてしまいます。

　OFB は、暗号化も復号化もランダムアクセスに適していません。どちらも先頭から順次行う必要があります。最近人気のある暗号化モードにカウンタモード(counter mode)（またはカウンタメソッド）があります。カウンタモードは、先頭からのブロック番号を求めてその値を暗号化し、その数値を乱数として使います。カウンタモードであれば、安全性こそ若干損なうかもしれませんが、暗号化も復号化もランダムに行えて便利です。

　　　　　図3 OFB モード