CMACとPoly1305：ブロック暗号MAC

メッセージ認証コード（MAC）は、鍵とメッセージを受け取り、タグを生成します。このタグによって、メッセージが改ざんされておらず、鍵を保持する者によって生成されたことを証明できます。

HMACは基本要素としてハッシュ関数を使用します。一方、CMACとPoly1305はブロック暗号または多項式演算を使用します。ブロック暗号MACはハッシュ関数への依存を避けられ、AESハードウェアと自然に統合できます。

CMAC（Cipher-based MAC）はNIST SP 800-38Bで定義されています。メッセージをブロック境界までパディングし、暗号から2つのサブキーK1/K2を導出して最終ブロックにXORし、その後、中間暗号文を保存せずにCBCモードを実行します。

K1 = AES_K(0^128)を1ビット左シフトし、MSBが1だった場合は定数とXORします。K2 = K1も同様にシフトします。これらのサブキーにより、長さ拡張に対して最終部分ブロックを安全に束縛できます。

Poly1305は、Daniel Bernsteinが設計したワンタイム認証方式です。素数2^130-5上で多項式を評価し、メッセージを多項式の係数として扱い、ワンタイム鍵ペア（r, s）を使用します。

Tag = (sum of (m_i * r^i) mod 2^130-5) + s mod 2^128. タイミング攻撃を防ぐため、鍵rは特定の22ビットがクリアされるよう制限されます。sは16バイトのワンタイム加算マスクです。

Poly1305はほぼ必ずChaCha20と組み合わせて使用されます。ChaCha20はストリーム暗号のキーストリームからワンタイムの（r, s）を生成するため、組み合わせたAEAD方式は安全性が証明されており、ARMやモバイルCPU上で非常に高速です。

AES-GCMは、GF(2^128)上の多項式MACであるGHASHを使用して認証します。AES-CMACはより単純で、IEEE 802.11i（WPA2）およびTLS 1.2の暗号スイートで使用されます。GCMは暗号化と認証の両方を1回の処理で行います。

ARM Cortex-A上のPoly1305は、NEON intrinsicを使用すると約1サイクル/バイトで動作します。AES-CMACは16バイトのブロックごとに1回のAESブロック操作を必要とします。大容量データでは、AES-NIを搭載していないハードウェア上でPoly1305がCMACを上回ります。

AESが擬似ランダム置換であると仮定すると、CMACは選択メッセージ攻撃に対して存在的偽造不可能です。Poly1305は、真にランダムなワンタイム鍵を前提とすれば情報理論的に安全であり、偽造確率は最大で8*ceil(L/16)/2^106です。

CMAC：WPA2、S/MIME、ファイルシステムの完全性。Poly1305：ChaCha20-Poly1305を介したTLS 1.3、WireGuard VPN、Signal Protocol、Noise Protocol Framework。どちらも最新の高セキュリティシステムで広く導入されています。

CMACのCBCベースの構成と、Poly1305の多項式演算について学びました。どちらも実際のプロトコルで使用されている、定数時間で安全なMACです。次はTLS/HTTPSに進み、これらすべての基本要素がどのように組み合わさるかを確認します。