クレプトグラフィー

クレプトグラフィー的攻撃(kleptographic attack)は、非対称暗号を使用して暗号化バックドアを実装する攻撃である[6]。例えば、そのような攻撃の一つに、公開鍵と秘密鍵のペアが暗号システムによってどのように生成されるかを微妙に変更し、攻撃者の秘密鍵を使用して秘密鍵を公開鍵から導出できるようにすることがある。うまく設計された攻撃では、感染した暗号システムの出力は、対応する感染していない暗号システムの出力と、計算上区別できない[7][8]。感染した暗号システムがハードウェアセキュリティモジュール、スマートカード、トラステッドプラットフォームモジュールなどのブラックボックス実装である場合、攻撃の成功に完全に気づかれなくなる可能性がある。

リバースエンジニアは、攻撃者によって挿入されたバックドアを明らかにすることができ、対称型バックドアである場合は、自分自身で使用することもできる[9]。しかし、定義上、クレプトグラフィー的バックドアは非対称であり、リバースエンジニアはそれを使用することができない。クレプトグラフィー的攻撃（非対称バックドア）は、バックドアを使用するために攻撃者にしか知られていない秘密鍵を必要とする。この場合、リバースエンジニアが十分に資金を供給され、バックドアに関する完全な知識を得たとしても、攻撃者の秘密鍵なしで平文を抽出しようとすることは無意味なままである[10]。

クレプトグラフィー的攻撃は、暗号システムに感染し、攻撃者のためのバックドアを開くトロイの木馬として構築することも、暗号システムの製造元によって実装することもできる。この攻撃は、必ずしも暗号システムの出力全体を明らかにする必要はない。より複雑な攻撃手法では、バックドアが存在する状態で、感染していない出力と安全でないデータを交互に生成する可能性がある[11]。

クレプトグラフィー的攻撃は、RSA鍵生成、ディフィー・ヘルマン鍵共有、デジタル署名アルゴリズム、およびその他の暗号アルゴリズムとプロトコル用に設計されている[11]。SSL、SSH、IPsecプロトコルは、クレプトグラフィー的攻撃に対して脆弱である[12]。いずれの場合も、攻撃者は、バックドア情報がエンコードされている情報（公開鍵、デジタル署名、鍵交換メッセージなど）を検査して特定の暗号アルゴリズムまたはプロトコルを妥協することができる。秘密鍵（通常は私有鍵）を使用して非対称バックドアのロジックを利用する。

A. JuelsとJ. Guajardo[13]は、第三者がRSA鍵の生成を検証する方法(KEGVER)を提案した。これは、秘密鍵がブラックボックス自体にしか知られていない分散鍵生成の一形態として考案されている。これにより、鍵生成プロセスが変更されず、秘密鍵が盗聴攻撃によって再現されないことが保証される[13][14]。

クレプトグラフィー的攻撃（RSAに対する単純化されたSETUP攻撃を含む）の4つの実際の例は、オープンソースのCrypToolプロジェクトのプラットフォームに依存しないバージョンのJCrypTool 1.0[15]にある[16]。JCrypToolでは 、KEGVERメソッドによるクレプトグラフィー的攻撃の防止のデモンストレーションも実装されている。

NIST SP 800-90Aの暗号論的擬似乱数生成器Dual_EC_DRBGには、クレプトグラフィー的バックドアが含まれていると考えられている。Dual_EC_DRBGは楕円曲線暗号を利用していて、NSAは秘密鍵を保持していると考えられており、Dual_EC_DRBGのバイアスの欠陥とともに、NSAは例えばDual_EC_DRBGを使用してコンピュータ間のSSLトラフィックを解読することができる[17]。