CCA攻撃（選択暗号文攻撃）とは？CPAとの違いやネットワークセキュリティにおける重要性を徹底解説

ネットワークセキュリティの分野では、暗号方式の強度を評価するためにさまざまな「攻撃モデル」が定義されています。中でもCCA攻撃（選択暗号文攻撃：Chosen-Ciphertext Attack）は、暗号解読者が自由に暗号文を選んで復号させ、そこから情報を収集する攻撃手法です。この記事では、CCA攻撃の基本概念から、CPA（選択平文攻撃）やCOA（暗号文単独攻撃）との違い、そして代表的な暗号方式の安全性について詳しく解説します。

CPAセキュリティとCCAセキュリティの違い

CPA（選択平文攻撃）では、攻撃者は自分で選んだ平文をオラクル（暗号化装置）に送信し、その結果として得られる暗号文を受け取ることができます。一方、CCA（選択暗号文攻撃）では、攻撃者は自分で作成した暗号文をオラクル（復号装置）に送り、対応する平文を取得しようとします。

つまり、両者の決定的な違いは「攻撃者が操作できる対象」にあります。CPAは平文側を自由に選べる攻撃、CCAは暗号文側を自由に選べる攻撃であり、CCAの方が攻撃者により強力な能力を与えるモデルとして位置づけられます。

選択暗号文攻撃における攻撃者の目的

暗号解読者の究極的な目標は、秘密鍵の入手です。しかし現実的には、追加情報なしに新しい暗号文の断片を解析し、平文の内容を推測することが第一段階となります。暗号文単独攻撃（COA）のように暗号文しか入手できない状況では平文の完全な復元は困難ですが、CCAのような強力な攻撃モデルでは、復号オラクルへのアクセスを通じて重要な情報を引き出せる可能性があります。

選択暗号文攻撃（CCA）の仕組み

CCA攻撃では、攻撃者は被害者に対して任意の暗号文を復号させ、その結果を送り返させることができます。攻撃者は、自分が選んだ暗号文と、それに対応して返ってきた平文のペアを分析することで、被害者が使用している秘密鍵の手がかりを探ります。

特に適応型選択暗号文攻撃（CCA2）と呼ばれる手法では、攻撃者は一連の暗号文を適応的に復号させながら、その都度得られた結果に基づいて次の戦略を調整し、最終的にターゲットとなる暗号文（チャレンジ暗号文）の内容を特定しようとします。

暗号文単独攻撃（COA）とは

暗号文単独攻撃（Ciphertext-Only Attack：COA）は、攻撃モデルの中で最も攻撃者の知識が少ないシナリオです。この攻撃では、攻撃者は暗号化されたメッセージ群にしかアクセスできず、平文の内容や秘密鍵に関する情報を一切持ちません。そのため、攻撃者は手に入れた暗号文だけを頼りに、可能な限り多くの平文情報を復元・推測する必要があります。

古典暗号であるヒル暗号は、一般的にこの暗号文単独攻撃に対しては比較的耐性があると考えられています。なお、暗号方式は大きく「置換型」と「転置型」に分類されます。

選択平文攻撃（CPA）の詳細

選択平文攻撃（Chosen-Plaintext Attack：CPA）は、攻撃者が任意の平文Pを選択し、それに対応する暗号文Cを観察できるという攻撃モデルです。攻撃者は意図的に選んだ平文と暗号文のペアを収集することで、暗号方式の安全性を低下させる情報を獲得しようとします。

現代暗号における代表例としては差分暗号解読（Differential Cryptanalysis）が挙げられます。これはブロック暗号に対する選択平文攻撃の一種で、単一の平文ではなく平文のペアを評価することで、異なる入力データに対するアルゴリズムの挙動の偏りを分析し、鍵情報の推測につなげます。

既知平文攻撃との違い

既知平文攻撃（Known-Plaintext Attack）では、攻撃者は「平文とそれに対応する暗号文のペア」を事前に知っている状態で攻撃を行います。一方、選択平文攻撃では、攻撃者自身が好きなメッセージを選び、ターゲットの鍵で暗号化させた結果の暗号文を観察できます。攻撃者が能動的に入力をコントロールできる点が大きな違いです。

安全性の定義：IND-CPAとIND-CCAの関係

暗号方式の安全性は、攻撃モデルに応じて階層的に定義されます。重要なポイントは以下の通りです。

• IND-CCA1安全な方式は、必ずIND-CPA安全でもある
• IND-CCA2安全な方式は、IND-CCA1とIND-CPAの両方で安全である
• つまりIND-CCA2が最も強い安全性の定義となる

このような安全性の形式化は、Michael Luby氏やMihir Bellare氏らの研究によって発展しました。上位の定義を満たす方式は、下位の攻撃モデルに対しても自動的に安全であることが保証されます。

代表的な暗号方式・モードの安全性

AESはIND-CPA安全か？

AESをCBCモードでランダムなIV（初期化ベクトル）と組み合わせて使用する場合、あるいはCTRモードで一意なノンスを使用する場合、その構成は一般的にIND-CPA（選択平文攻撃に対する識別不可能性）安全であるとみなされています。ただし、鍵長自体は安全性を調整する要素ではなく、各モードごとに適切な鍵の運用が求められます。

OFBやCBCはCCA安全か？

CBCモードやOFBモードといった典型的な動作モードは、選択暗号文攻撃に対する保護を提供していません。実際、これらのモードでは暗号文に余分なブロックを追加したり、末尾のブロックを削除したりする改ざんが可能であり、本来CCA安全な方式では実現できないはずの操作が成立してしまいます。CCA安全性が必要な場面では、認証付き暗号（AEAD）などのより強固な構成を採用すべきです。

RSAの選択平文攻撃への耐性

RSAやElGamalといった公開鍵暗号は、「meet-in-the-middle（MIM）攻撃」などの手法によって脆弱性が指摘されており、IND-CPA（識別不可能性・選択平文攻撃）の観点からも注意が必要です。素朴なRSA暗号は決定的な暗号化を行うため、そのままではCPA安全とは言えず、OAEPなどのパディング方式との併用が不可欠です。

ヒル暗号の強度

前述の通り、ヒル暗号は暗号文単独攻撃に対しては一定の耐性を持つとされていますが、線形代数に基づく構造のため、既知平文攻撃には弱いという特徴があります。

サイドチャネル攻撃とCPAの関係

興味深いことに、「CPA」という略語は暗号学的な選択平文攻撃以外にも使われます。相関電力分析（Correlation Power Analysis：CPA）はサイドチャネル攻撃（SCA）の一種で、攻撃者は暗号チップの消費電流の変動パターンや電磁波（EM）の漏えいを観測することで、AESなどの暗号回路内に組み込まれた秘密鍵の値を解読できる可能性があります。ハードウェア実装におけるセキュリティ対策も同様に重要です。

まとめ：現代の暗号はどれほど安全か

今日の暗号技術は、多様な攻撃モデルに耐えるよう設計されており、古典暗号と比べてはるかに高い安全性を実現しています。仮に攻撃者が大量の平文と暗号文のペアを把握していたとしても、現代の暗号方式で使用されている鍵を特定することは極めて困難です。

ただし、安全性は「どの攻撃モデルを想定するか」によって変わります。攻撃者の知識が最も少ない暗号文単独攻撃（COA）から、強力な復号オラクルを利用できるCCA2まで、各レベルの脅威を理解した上で、用途に応じた適切な暗号方式とモードを選択することが、堅牢なネットワークセキュリティの基盤となります。