2023年7月17日～2023年7月23日に読んだ中で気になったニュースとメモ書き（TLSらじお*1第115回の原稿）です。
全文を公開している投銭スタイルです。

[RFC 9446 Reflections on Ten Years Past the Snowden Revelations]
[Reverse HTTP Transportドラフト]
[Cloudflareの耐量子鍵交換確認サイト]
[その他のニュース]
[暗認本：14 確率的アルゴリズム]
[まとめ]

[RFC 9446 Reflections on Ten Years Past the Snowden Revelations]

こちらのツイートから。

RFC 9446
Reflections on Ten Years Past the Snowden Revelationshttps://t.co/po2FxvcTk9
国家によるインターネットの広域盗聴を暴露した2013年のスノーデン事件の振り返り。RFCになった
— ゆき (@flano_yuki) 2023年7月22日

リンク先はこちら。

www.rfc-editor.org

プロトコルの仕様とかベストプラクティスを定めたRFCがメインでたまにジョークRFCが混じってるのは知ってたけど、こういうエッセイ的なRFCもあるんだなと思った。

スノーデンの暴露を受けて、TLS1.3の開発、DoT（DNS over TLS）やDoH（DNS over HTTPS）、ECH（Encrypted Client Hello）によるプライバシー改善の取り組み、Let's EncryptによるWebの暗号化の推進、メール送信の暗号化、MACアドレスのランダム化など様々な取り組みが行われていることがわかる。

[Reverse HTTP Transportドラフト]

こちらのツイートから。

逆向きに接続する Reverse HTTP Transport の仕様 - ASnoKaze blog https://t.co/RXaX25ih6U

良さそう
— hi_go (@_h1g0_) 2023年7月17日

リンク先はこちら。

asnokaze.hatenablog.com

HTTP/2又はHTTP/3をベースに、オリジンサーバがCDNにあるプロキシサーバに対してコネクションを確立し、TLSハンドシェイク後、プロキシサーバからオリジンに対してHTTPリクエストを送ると言う流れになるらしい。
TLSハンドシェイク時にプロキシサーバはオリジンサーバに対しクライアント証明書を求めることで、HTTPリクエスト送信先のホストを確認できるとのこと。

仕事などで直接この仕組みを利用する機会はなさそうな気もするけど、ALPNとか既存プロトコルをうまく使ってて面白い。

[Cloudflareの耐量子鍵交換確認サイト]

こちらのツイートから。

それでちゃんと使えるようになっているの？という点については、Cloudflareが提供しているhttps://t.co/4ett9SuVNw にアクセスすると簡易な確認ができます！

どんどんPQCが身近なところにやってきてますね✨ pic.twitter.com/I6i8x1Mxep
— 菅野哲 / GMOイエラエ取締役CTO (@satorukanno) 2023年7月18日

リンク先はこちら。

pq.cloudflareresearch.com

先日取り上げた通り、Chromeのcanary版でECDHEとKyberのハイブリッド鍵交換が使えるようになってたのは知ってたけど、google.comくらいしか接続先がないと思ってたら、Cloudflareでテストができるとは。
開発者ツールを開かなくていいので、こっちの方が接続確認の方法としては便利そう。

クライアント側のハイブリッド鍵交換サポート状況も、同じサイトでまとまってて良い。Cloudflareや第三者がフォークしてるライブラリが多いが、Zig言語のハイブリッド鍵交換サポートが0.11.0でリリース予定とのこと。3月くらいに紹介したやつか。

[その他のニュース]

▼Who Writes OpenSSL?

こちらのツイートから。

How much of OpenSSL do you think is written by employees on company time vs individuals? If you guessed the majority you'd be right! 87% of OpenSSL commits in the last 12 months were from people paid to work on OpenSSL by their employers. Details:https://t.co/W4QyJOvXVe
— Mark J Cox (@iamamoose) 2023年7月17日

リンク先はこちら。

www.openssl.org

過去1年間のOpenSSLのコミットの87%が、そのために給料をもらっている56人によるものとのこと。2014年にHeartbleed脆弱性が話題になった頃には、OpenSSLは資金難でコード品質も酷い状況だった*2のに比べると、随分と改善している。

▼群と楕円曲線とECDH鍵共有

こちらのツイートから。

暗号のblog記事を書くときに毎回「普通の掛け算のような性質を満たすので」という言い回しを書くのが面倒になってきたので、
「群と楕円曲線とECDH鍵共有」https://t.co/RuXCJpjIqE
という記事を書きました。
— herumi (@herumi) 2023年7月17日

リンク先はこちら。

zenn.dev

離散対数問題、よくわかってないのでいつかちゃんと勉強したい...。

量子コンピュータが実用化されても破れないとされている鍵共有方式の一つにCSIDHという方式があります。

耐量子アルゴリズムでもDHをベースにしてるCommutative Supersingular Isogeny Diffie-Hellman（可換超特異同種写像DH）があるらしい。元の論文によるとシーサイドと発音するっぽい。

▼PQCデジタル署名の追加候補

こちらのツイートから。

It's here: https://t.co/jNk8BpqAZC
— Martin R. Albrecht (@martinralbrecht) 2023年7月17日

リンク先はこちら。

csrc.nist.gov

追加候補のリストが発表されたらしい。先日取り上げたFAESTも掲載されている。署名のベース技術の違いもあるが、候補数は約40と数が多い。耐量子暗号の標準化は来年の予定だったはずだけど、ここからどうやって減らしていくんだろう...。

こんなツイートも。

Zooが爆誕した！
--
Post-Quantum signatures zoo,https://t.co/vNUfdLdMFy
— 菅野哲 / GMOイエラエ取締役CTO (@satorukanno) 2023年7月19日

リンク先はこちら。パラメータごとの署名サイズとかもまとまっている。

pqshield.github.io

並べ替えもできるのでやってみると、EdDSAが桁違いに優秀。署名サイズだけならPQCでもそれなりに小さいものがあるが、鍵サイズがデカすぎる...。

▼CAT: CryptAttackTester

こちらのツイートから。

DJBのCryptAttackTesterとな、、、2023年6月14日に公開されてた。チェックしてなかったhttps://t.co/cjORoOT7TS
— kjur (@kjur) 2023年7月18日

リンク先はこちら。

cat.cr.yp.to

先日取り上げたストリーム暗号ChaCha20の開発や、楕円曲線Curve25519の提案で知られるDJBことDaniel J. Bernstein氏が、新たに暗号攻撃のテストツールを開発したらしい。
論文の付録では、KyberやAESへの攻撃の見積りの甘さを指摘しており、NISTのたい量子暗号の標準化にどう影響するか気になるところ。

[暗認本：14 確率的アルゴリズム]

引き続き、ニュース以外のメインコンテンツとして『暗号と認証のしくみと理論がこれ1冊でしっかりわかる教科書』を読んでいく。
今週はChapter 3 共通鍵暗号から、セクション14をざっとまとめた。

いつでも同じ暗号文は危険
- 秘密鍵を安全に共有するのは高コスト
  - 通常は一度決めたらしばらく利用継続
- 同じ平文を暗号化しても毎回異なる暗号文が必要
  - ECBモードで暗号化するとAESでも同じ暗号データになり危険（CBCモードなら安全*3）
    - 詳細は次セクションの暗号化モードで
  - 2020年にZoomのECBモード利用が発覚
確率的アルゴリズム
- 決定的アルゴリズム：同じ入力に同じ値を出力する
- 確率的アルゴリズム（乱択アルゴリズム）
  - 決定的アルゴリズム＋乱数