情報セキュリティにおける線形解読法と差分解読法の違いとは？2大暗号解析手法を徹底解説

線形解読法（Linear Cryptanalysis）とは

線形解読法は、暗号の構成要素に対するアフィン近似（線形近似）を見つけ出すことを基盤とする代表的な暗号解読手法です。この手法を用いた攻撃はブロック暗号やストリーム暗号に対して実現されており、ブロック暗号に対する2大攻撃手法のひとつとされています（もうひとつは後述の差分解読法です）。

線形解読法は、ブロック暗号の解析において非常に強力な暗号解析ツールとなります。この攻撃では、攻撃者は非線形関数を「確率1/2からずれた確率」で近似できる線形式を探そうとします。

平文と暗号文の関係を含む最良の近似式が発見されると、攻撃者は秘密鍵に関する情報を獲得できます。近似式は次のような形をとります。

$$\mathrm{P_{i} \oplus ..\, \oplus P_{j}\oplus C_{k}\oplus C_{l}=k_{m}\oplus k_{n}}$$

ここで、P_i … P_j は平文ビット、C_k … C_l は暗号文ビット、K_m … K_n は鍵ビットを表します。この近似式はある確率 p で成り立ち、その精度は一般にバイアス $\mathrm{\epsilon \, =\, \left|p-\frac{1}{2} \right|}$ によって評価されます。バイアスが大きいほど、攻撃を成功させるために必要な既知平文の数は少なくなります。

差分解読法（Differential Cryptanalysis）とは

差分解読法もまた広く知られている暗号解読手法で、主にブロック暗号に対して適用されますが、ストリーム暗号や暗号学的ハッシュ関数にも応用可能です。広い意味では、「入力情報の差分が出力の差分にどのような影響を与えるか」を研究する手法といえます。

ブロック暗号の場合、この手法は、複数回の変換（ラウンド）を通じて差分を追跡し、暗号が非ランダムな挙動を示す箇所を特定し、その性質を悪用して秘密鍵を導出する一連の技術として定義されます。

攻撃を効果的なものにするためには、入力差分を注意深く選択することが重要です。まずアルゴリズムの内部構造を分析し、典型的には、暗号化の各段階を通過する確率の高い差分の伝播経路（これを「差分特性」と呼びます）を追跡していきます。

線形解読法と差分解読法の比較

それでは、両手法の違いを比較表で確認してみましょう。

まとめ

線形解読法は、平文・暗号文・鍵のビット間に生じる統計的な線形の偏りを利用する既知平文攻撃であるのに対し、差分解読法は、入力差分と出力差分の対応関係（暗号の非ランダム性）を利用して鍵を導出する攻撃手法です。現代の暗号設計では、これら2大攻撃への耐性を確保するため、Sボックスの設計やラウンド数の設定などに十分な配慮が払われています。