DESの設計上の問題とは？Sボックス・Dボックス・ラウンド数の解説

DES（Data Encryption Standard：データ暗号化標準）は、64ビット単位の平文ブロックを、48ビットの鍵を用いて暗号文へ変換するブロック暗号アルゴリズムです。共通鍵暗号方式に分類され、データの暗号化と復号に同じ鍵を使用します。

DESはIBMによって設計され、その後米国の連邦情報処理標準（FIPS）として採用されました。これまでに行われた数々の検証により、DESが設計時に掲げた要件を満たしていることが確認されています。本記事では、DESの設計における主要な構成要素である「Sボックス」「Dボックス」「ラウンド数」について詳しく解説します。

Sボックス（S-Boxes）とは

Sボックスは、圧縮された鍵と拡張されたRPT（右半分）とのXOR演算によって得られた48ビットの入力を受け取り、置換手法を用いて32ビットの出力を生成する処理です。この置換は、8つの置換ボックス（Sボックス）によって実現されます。

Sボックスには、以下のような重要な特性があります。

• 各行のエントリは、0から15までの値の順列（パーミュテーション）となっている。
• Sボックスは非線形である。言い換えれば、出力は入力のアフィン変換にはならない。
• 入力の1ビットを変更すると、出力では必ず2ビット以上が変化する。
• 2つの入力が中央の2ビット（3ビット目と4ビット目）のみ異なる場合、出力は少なくとも2ビット異なる。すなわち、xを入力、S(x)を出力としたとき、S(x)とS(x ⊕ 001100)は少なくとも2ビット異なる必要がある。
• 2つの入力が先頭の2ビット（1ビット目と2ビット目）で異なり、末尾の2ビット（5ビット目と6ビット目）が同一である場合、2つの出力は異ならなければならない。すなわち、bとcを任意のビットとして、S(x) ≠ S(x ⊕ 11bc00) という関係が常に成り立つ必要がある。

これらの特性により、Sボックスは暗号強度の中核となる「非線形性」と「雪崩効果（ Avalanche effect ）」を実現しています。

Dボックス（D-Boxes）とは

Dボックスは、従来の転置暗号と同様の特性を持つ順列（置換）ボックスです。DESの安全性を支えるため、Dボックスには以下のような厳密な設計規則が課されています。

• 各Sボックスへの入力は、前のラウンドにおける別のSボックスの出力から得られる。
• 特定のSボックスへの入力が、前のラウンドで同一のSボックスの出力から得られることはない。
• 各Sボックスからの4つの出力は、次のラウンドの6つの異なるSボックスへ振り分けられる。
• あるSボックスからの2つの出力ビットが、次のラウンドで同じSボックスへ送られることはない。
• 各Sボックスについて、2つの出力ビットは次のラウンドのSボックスの先頭または末尾の2ビットに配置され、残りの2つの出力ビットは次のラウンドのSボックスの中央のビットに配置される。

こうした規則により、各ラウンド間でのデータの拡散が最大化され、暗号解読者によるパターンの発見が困難になっています。

ラウンド数の設計

DESは16ラウンドのFeistel構造を採用しています。研究の結果、8ラウンドを経過した時点で、すべての暗号文ビットがすべての平文ビットおよびすべての鍵ビットの関数となることが証明されており、この段階で暗号文は平文と鍵のほぼランダムな関数のように振る舞います。したがって、理論上は8ラウンドでも十分であるように見えますが、DESでは差分解読法などの攻撃に対する耐性を高めるため、16ラウンドという余裕を持った設計が採用されました。