ハッシュとデータ完全性

暗号学的ハッシュ関数は、任意のサイズの入力を受け取り、ハッシュ、ダイジェスト、またはフィンガープリントと呼ばれる固定長の出力を生成する数学的アルゴリズムです。ハッシュ関数は一方向性を持つため、ハッシュから元の入力を特定することは計算上困難でなければなりません。また決定論的であり、同じ入力からは常に同じハッシュが生成されます。ハッシュ関数は、データ完全性の検証、デジタル署名、パスワードの保存など、多くのセキュリティ機構の基盤です。

安全な暗号学的ハッシュ関数には、4つの重要な性質が必要です。原像計算困難性：ハッシュの出力が与えられたとき、その出力を生成する入力を見つけることが計算上困難です。第二原像計算困難性：ある入力が与えられたとき、同じハッシュを持つ別の入力を見つけることが困難です。衝突耐性：同じハッシュ出力を生成する異なる2つの入力を見つけることが困難です。アバランチ効果：入力を1ビット変更しただけでも、まったく異なるハッシュ出力が生成されるため、改ざんを検出できます。

MD5（Message Digest 5）は128ビットのハッシュを生成し、かつて広く使われていました。しかし2004年、研究者がMD5に対する衝突攻撃を実証しました。これは、同じハッシュを生成する異なる2つの入力を見つけられるということです。完全性検証にとって、これは壊滅的な問題です。攻撃者は、元のファイルと同じMD5ハッシュを持つ悪意のあるファイルに置き換えられる可能性があります。MD5は暗号学的セキュリティの用途では完全に破られており、完全性検証、デジタル署名、パスワードハッシュには使用してはいけません。現在でも、セキュリティを目的としないチェックサム（レガシーなファイル検証）で使われることがありますが、これは偶発的な破損の検出に限って許容されます。

Secure Hash Algorithm（SHA）ファミリーは、Security+で扱うハッシュ関数の中でも最も重要なものです。SHA-1（160ビット）は長年標準として使われていましたが、2017年に実用的な衝突攻撃（GoogleのSHAtteredプロジェクト）によって破られ、現在は非推奨です。SHA-256（SHA-2ファミリーの一つで、256ビットの出力）は、デジタル署名、TLS証明書、ファイル完全性検証における現在の業界標準です。SHA-3（Keccak）は、SHA-2の構造を標的とする攻撃への耐性を備えたNISTの代替アルゴリズムですが、ほとんどの用途では依然としてSHA-256が主流です。

パスワードを平文で保存することは決して許容されません。ユーザーがパスワードを作成すると、パスワードそのものではなくハッシュがデータベースに保存されます。ユーザーがログインすると、入力されたパスワードをハッシュ化し、保存されているハッシュと比較します。しかし、標準的なSHA-256はパスワード保存には高速すぎます。攻撃者はGPUを使って、盗み出したパスワードデータベースに対して毎秒数十億件のハッシュを試せるためです。bcrypt、PBKDF2、Argon2のような専用のパスワードハッシュ関数は、計算コスト（ワークファクター）とメモリ要件を追加し、大量のクラッキングを現実的でないものにします。

レインボーテーブルは、一般的なパスワードとそのハッシュを対応付けた事前計算済みの検索テーブルです。これにより攻撃者は、ハッシュを瞬時に検索して元のパスワードを特定できます。レインボーテーブルへの対策として、パスワードのハッシュにはソルトを付ける必要があります。ソルトとは、ハッシュ化する前にパスワードへ追加するランダムな値です。これにより、2人のユーザーが同じパスワードを使っていても、それぞれ異なるハッシュになります。ソルトはハッシュと一緒に保存します（秘密にする必要はありません）。攻撃者がパスワードデータベース全体を入手しても、ハッシュごとに異なるソルトが使われているため、事前計算済みのレインボーテーブルは役に立ちません。

HMAC（Hash-based Message Authentication Code）は、ハッシュ関数と秘密鍵を使って認証コードを生成する方式です。単なるハッシュとは異なり、HMACを計算・検証できるのは秘密鍵を知っている当事者だけです。これにより、完全性（変更の検出）と認証（鍵を持つ者からメッセージが送られたことの証明）の両方を実現できます。HMAC-SHA256は、API認証（APIリクエストへの署名）、JWTトークン、TLSのMAC処理などで広く使われています。これにより、メッセージを傍受した攻撃者が、細工した別のメッセージに置き換えることを防げます。

ハッシュ関数は、デジタル署名で中心的な役割を果たします。大きな文書に署名する際、文書全体を秘密鍵で暗号化することはありません（非常に低速になるためです）。代わりに、次の手順を実行します。(1) 文書のハッシュを計算します（高速で、短い固定長のダイジェストを生成します）。次に、(2) その短いハッシュに秘密鍵で署名します。署名は、暗号化されたハッシュそのものです。検証も同じ考え方で行います。署名を復号してハッシュを取得し、文書を独立してハッシュ化して、両者を比較します。現代のPKI証明書ではSHA-256が必須であり、新しい証明書でSHA-1を使うことは禁止されています。

ファイル完全性監視（FIM）は、ハッシュ関数を使って重要なシステムファイルへの不正な変更を検出します。基準状態では、FIMツールが監視対象のすべてのファイルをハッシュ化し、そのハッシュを安全に保存します。定期的または継続的にファイルを再度ハッシュ化し、基準値と比較します。不一致があれば、ファイルが変更されたことを示します。これは、マルウェアや管理者による不正な操作が原因である可能性があります。Tripwire、AIDE（Linux）、Windows独自の完全性チェックなどのFIMツールは、SHA-256ハッシュを使用します。FIMは、カード会員データ環境の保護を定めたPCI-DSSなどのコンプライアンスフレームワークで要求されています。

チェックサムと暗号学的ハッシュを区別することは重要です。CRC32のようなチェックサムは、送信中に偶発的なデータ破損が起きたことを検出するために設計されています。高速で単純ですが、攻撃者が容易に偽造できます。暗号学的ハッシュ（SHA-256）は、攻撃者による意図的な操作に対しても、衝突への耐性と改ざん検知性を持つように設計されています。ダウンロード中に破損しなかったことだけを確認したい場合はチェックサムを使用し、攻撃者によって意図的に改ざんされていないことを確認したい場合は暗号学的ハッシュを使用してください。

ハッシュ衝突攻撃は現実の世界にも影響を及ぼします。2017年、研究者は同じSHA-1ハッシュを持つ異なる2つのPDFファイルを作成し、SHA-1証明書を偽造できることを実証しました。2008年には、研究者がMD5の衝突を利用して、正規のものに見える偽のCA証明書を作成しました。こうした攻撃があるため、ブラウザーはMD5やSHA-1の証明書を拒否し、認証局は最低でもSHA-256を使用する必要があります。衝突攻撃を理解すると、アルゴリズムの非推奨化が決定される理由や、「それでもハッシュは生成される」という主張だけでは、破られたアルゴリズムの使用を正当化できない理由を説明できるようになります。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、ハッシュ関数が完全性検証のために固定長のダイジェストを生成すること、MD5とSHA-1が破られて非推奨となっていること、SHA-256が現在の標準であること、ソルトがレインボーテーブル攻撃への対策になること、そしてHMACが共有秘密鍵を使ってハッシュに認証を追加することを学びました。次は鍵交換とハイブリッド暗号について学びます。