SIVモード：Nonce誤用耐性を持つAEAD

AES-GCMなどのCTRモードに基づくAEAD暗号では、暗号化するたびに一意のノンスが必要です。同じ鍵で同じノンスを再利用すると、攻撃者は2つの暗号文をXORして、2つの平文のXORを復元でき、機密性が直ちに破られます。

AES-GCMでのノンス再利用は、単純なCTRモードの場合よりもさらに深刻です。同じノンスと鍵を使って2つのメッセージを暗号化すると、攻撃者はGHASH認証鍵H全体を復元できます。Hが知られると、攻撃者は任意の認証済みメッセージを偽造できます。

RFC 5297で定義されたSynthetic IV（SIV）モードは、ノンス再利用の脆弱性を排除するために設計されました。ランダムなノンスやカウンターベースのノンスを必要とする代わりに、SIVは疑似乱数関数を使用して平文自体からIVを合成的に導出するため、決定論的であり、ノンスの誤用に対する耐性を持ちます。

SIVでは、ノンス（synthetic IVと呼ばれます）をSIV = PRF(key, plaintext, associated_data)として計算します。次に、このIVをCTRモード暗号化のカウンターとして使用します。IVは平文から導出されるため、同じ平文を暗号化すると常に同じ暗号文が生成されます。

SIVで同じ平文を2回暗号化したためにnonceが再利用された場合、観測者に分かるのは、同一のメッセージが2回送信されたということだけです。平文の内容自体は隠されたままです。これは、nonceの再利用によって平文のXORが明らかになるCTRベースのAEADと比べて、大幅な改善です。

AES-SIV（RFC 5297）は、S2V関数（AES-CMACをベースとする連鎖型PRF）を使用してsynthetic IVを生成し、その後、第2のサブキーでAES-CTR暗号化を行います。AESキーを2つ必要とするため、単一キーのAEADモードよりもキー管理がやや複雑です。

AES-GCM-SIV（RFC 8452）は、GCMの性能とSIVに似た安全性を組み合わせるように設計された、より効率的なnonce誤用耐性AEADです。nonceからメッセージごとのサブキーを導出し、Polyval認証子を使用することで、nonce誤用耐性を維持しながらAES-SIVより優れた性能を実現します。

SIVでは、データを2回処理する必要があります。1回目はsynthetic IVの計算、2回目は暗号化に使用します。そのため、AES-GCMのような1回のパスで処理するAEADモードと比べて、計算コストはおよそ2倍になります。レイテンシーやスループットが重視されるアプリケーションでは、このオーバーヘッドを考慮する必要があります。

nonceの生成が信頼できない場合、アプリケーションがステートレスでnonceカウンターを維持できない場合、または決定的暗号化が必要な場合は、SIVが適しています。たとえば、インデックス作成のために同じ値から常に同じ暗号文を生成したいデータベースフィールドの暗号化などです。

レプリカ間でnonceの状態を調整できないステートレスなマイクロサービスは、SIVモードの有力な候補です。グローバルカウンターによる偶発的なnonce再利用のリスクを負う代わりに、SIVなら安全性が自動的に確保されます。キーラッピング（RFC 3394）でも、決定的なキー暗号化のためにSIVの原則が使用されています。

AES-SIVは、libsodium（最近のバージョンではcrypto_aead_aes256gcm_sivとして利用可能）やGoogle Tinkなど、主要な暗号ライブラリで利用できます。AES-GCM-SIVはBoringSSLとGo標準ライブラリでサポートされています。nonce管理が難しい場合、これらは標準のAES-GCMより安全なデフォルト選択肢です。

AES-SIVで同じキーを使って同じ平文を2回暗号化すると、何が起こるでしょうか？

SIVモードは、平文自体からIVを導出することで、nonce再利用による壊滅的な問題を防ぎます。nonceを再利用しても、同一のメッセージが送信されたことだけが分かり、内容までは分かりません。AES-GCM-SIV（RFC 8452）は、ステートレスな暗号化や決定的暗号化が必要な現代のアプリケーションに、効率的なnonce誤用耐性を提供します。