PBKDF2

PBKDF2は、HMACなどの疑似乱数関数や、ソルトを付加したパスワードやパスフレーズを用いる。また、鍵導出処理を何度も繰り返して、前回の処理で導出した鍵を次回の処理のパスワードとして用いることで、導出鍵を解読困難にする。この繰り返し処理は、ストレッチングと呼ばれる。

2000年に公開されたPKCS #5 v2.0におけるストレッチングの推奨回数は、最低1000回であった。しかしながら、CPU処理速度の向上に伴って、ストレッチングの推奨回数も増加しており、2005年に公開されたRFC 4120での推奨回数は、4096回である[3]。AppleのiOS 3では2000回、iOS 4では10,000回のストレッチングを行っており[4]、LastPassは、2011年時点で、サーバ側での100,000回のストレッチングに加えて、クライアント側での5000回のストレッチングも行っている[5]。

PBKDF2の繰り返し処理

ソルトをパスワードに付加することで、攻撃者は複数のパスワードを一度に試行できなくなるため、ハッシュ値の事前計算（レインボーテーブル）の効果を下げることができる。PKCS #5では、ソルトの長さを最低でも64ビットにすることを推奨しており[6]、アメリカ国立標準技術研究所は、128ビットのソルトを推奨している[7]。

鍵導出関数PBKDF2は、5つの引数を持つ[8]。

DK = PBKDF2(PRF, Password, Salt, c, dkLen)

ここで、

• PRF は、出力値の長さがhLen であり、2つの引数を持つ疑似乱数関数 (HMACなど)
• Password は、鍵導出のためのマスターパスワード
• Salt は、ソルト
• c は、ストレッチング回数
• dkLen は、導出鍵のビット長
• DK は、導出鍵

である。

hLen ビットのブロックT_iは、次式で求められる。ただし、+は、文字列連結を意味する。

DK = T1 + T2 + ... + Tdklen/hlen
Ti = F(Password, Salt, c, i)

関数F は、PRFのc 回のXOR (^) の繰り返しである。

F(Password, Salt, c, i) = U1 ^ U2 ^ ... ^ Uc

最初のPRFは、Password を鍵とし、ビッグエンディアンの32ビット整数i と連結したSalt を入力値とする。ただし、i は1始まりとする。次回以降は、Password を鍵とし、前回のPRFの出力値を入力値とする。

U1 = PRF(Password, Salt + INT_32_BE(i))
U2 = PRF(Password, U1)
...
Uc = PRF(Password, Uc-1)

例えば、WPA2では、

 DK = PBKDF2(HMAC−SHA1, passphrase, ssid, 4096, 256)

を用いている。

なお、PBKDF1は、PBKDF2より単純な鍵導出関数である。最初のU (PBKDF1ではTとされる) は、PRF(Password + Salt)によって生成され、次回以降は、単にPRF(Uprevious)である。導出鍵は、最終的に算出されたハッシュ値の最初のdkLen ビットとする。このため、PBKDF1の導出鍵の長さは、hLen ビット以下に制限される[8]。

PBKDF2は、HMACを疑似乱数関数として用いるとき、導出鍵が衝突する異なるパスワードの組を容易に得ることが可能である[9]。HMACの中で用いられるハッシュ関数のブロック長よりパスワードが長いとき、パスワードをハッシュ化したものをパスワードとして用いる。例えば、疑似乱数関数として、HMAC-SHA1を用いると、

• パスワード: plnlrtfpijpuhqylxbgqiiyipieyxvfsavzgxbbcfusqkozwpngsyejqlmjsytrmd

は、

• SHA1 (16進数): 65426b585154667542717027635463617226672a
• SHA1 (ASCII): eBkXQTfuBqp'cTcar&g*

となる。よって、PBKDF2-HMAC-SHA1は、次の2つの異なるパスワード

• "plnlrtfpijpuhqylxbgqiiyipieyxvfsavzgxbbcfusqkozwpngsyejqlmjsytrmd"
• "eBkXQTfuBqp'cTcar&g*"

から、ソルトやストレッチングに関係なく、同じ鍵を導出する。例えば、

• PRF: HMAC-SHA1
• ソルト: A009C1A485912C6AE630D3E744240B04
• ストレッチング回数: 1,000回
• 導出鍵の長さ: 16バイト

とすると、2つの関数

PBKDF2-HMAC-SHA1("plnlrtfpijpuhqylxbgqiiyipieyxvfsavzgxbbcfusqkozwpngsyejqlmjsytrmd", ...)
PBKDF2-HMAC-SHA1("eBkXQTfuBqp'cTcar&g*", ...) 

は、同じ導出鍵17EB4014C8C461C300E9B61518B9A18Bを生成する。ただし、パスワードのハッシュ値を得るためには、パスワードも得る必要があるため、導出鍵の衝突は、PBKDF2やHMACの脆弱性を示唆するものではない[10]。

PBKDF2は、ストレッチング回数を調整することで、計算時間を変動させること可能である。しかしながら、短いコード量、少ないメモリ量で実装できるため、ASICやGPUを用いた総当たり攻撃に弱い[11]。パスワードハッシュ関数のbcryptは、計算時間は固定であるものの、計算に多くのメモリ量を必要とするため、PBKDF2より総当たり攻撃に強い[12]。その後に開発された鍵導出関数のscryptは、任意の大きさのメモリ量を使うことができ、ASCIやGPUによる攻撃に対する耐性が高い[11]。

安全なパスワードハッシュ化手法を開発することを目的として、2013年にパスワードハッシュ競技会が開催された。2015年7月20日にパスワードハッシュ関数Argon2の優勝が決まり、他に4つの関数Catena、Lyra2、yescryptおよびMakwaが特別賞として選ばれた[13]。

• RSA PKCS #5 – RSAによるPKCS #5 v2.1.
• RFC 2898 – PKCS #5 v2.0の仕様書
• RFC 6070 – HMAC-SHA1を用いたPBKDF2のテストデータ
• NIST Special Publication 800-132 Recommendation for Password-Based Key Derivation

暗号学的ハッシュ関数とメッセージ認証コード セキュリティ要約 一般的関数 MD5 SHA-1 SHA-2 SHA-3/Keccak SHA-3最終候補 BLAKE Grøstl JH Skein Keccak (勝者) その他の関数 FSB ECOH GOST HAS-160 HAVAL Kupyna LMハッシュ MDC-2 MD2 MD4 MD6 N-Hash RadioGatún RIPEMD SipHash Snefru Streebog SWIFFT Tiger VSH WHIRLPOOL crypt(3) (DES) MACアルゴリズム DAA CBC-MAC HMAC OMAC/CMAC PMAC VMAC UMAC Poly1305 認証付き暗号モード CCM CWC EAX GCM IAPM OCB 攻撃 衝突攻撃 原像攻撃 誕生日攻撃 総当たり攻撃 レインボーテーブル サイドチャネル攻撃 伸長攻撃 差分解読法 設計 アバランシェ効果 ハッシュ衝突 Merkle–Damgård構成法 標準化 CRYPTREC NESSIE NISTハッシュ関数コンベンション 利用 ソルト キーストレッチ メッセージ認証 パスワードハッシュ関数 bcrypt PBKDF2 scrypt Argon2 カテゴリ：ハッシュ関数・メッセージ認証コード・認証付き暗号

暗号 暗号史 暗号解読 Cryptography portal en:Outline of cryptography 共通鍵暗号 ブロック暗号 ストリーム暗号 暗号利用モード 公開鍵暗号 暗号学的ハッシュ関数 メッセージ認証コード 認証付き暗号 乱数生成器 ステガノグラフィー

カテゴリ