💻 computer science

Symfrog-512: High-Capacity Sponge-Based AEAD Cipher (1024-bit State)

本論文は、1024 ビット状態を持つスポンジベースの AEAD 暗号「Symfrog-512」の完全な仕様、参照実装、テストベクトル、ベンチマーク結果を公開し、MIT ライセンス下で独立した検証と再実装を可能にするものである。

原著者： Victor Duarte Melo

公開日 2026-02-23

📖 1 分で読めます☕ さくっと読める

原著者： Victor Duarte Melo

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

1. 全体像：どんな仕組み？

SymFrog-512 は、あなたの大切なデータ（写真や銀行口座の情報など）を**「暗号化（鍵をかける）」し、「改ざん防止（封印）」**する技術です。

従来の方法： 多くの暗号は、小さな箱を次々と並べて処理します。
SymFrog-512 の方法： 巨大な**「1024 ビット（128 バイト）のドラム」**を 1 つ用意し、その中でデータを混ぜ合わせます。このドラムは非常に大きく、中身がどうなっているか外部からは全く見えません。

2. 核心の仕組み：巨大な「スポンジ」と「回転ドラム」

この技術は、**「スポンジ」と「回転ドラム」**の 2 つのアイデアを組み合わせています。

① 巨大なスポンジ（1024 ビットのドラム）

Imagine a giant sponge that is 128 bytes (1024 bits) in size.

仕組み： このスポンジは、**「512 ビット（表面）」と「512 ビット（奥深く）」**に分かれています。
- 表面（Rate）： ここにデータ（平文）を「吸い込ん（Absorb）」で、暗号文を「絞り出（Squeeze）」します。
- 奥深く（Capacity）： ここは**「秘密の部屋」**です。外部からは見えず、データが完全に混ざり合う場所です。
なぜ大きいのか？ 奥が深いほど、ハッカーが「中身がどうなっているか」を推測するのが難しくなります。SymFrog-512 はこの「奥」を非常に深く（512 ビット）設定しており、**「推測しようとしても、宇宙の寿命より長い時間がかかる」**レベルの安全性を目指しています。

② 回転ドラム（P1024-v2）

データがスポンジに入ると、**「P1024-v2」**という魔法の回転ドラムが 24 回回ります。

何をする？ ドラムが回るたびに、データは**「Chi（チ）」という非線形な操作や「Kick（キック）」**という掛け算のような操作で、カオス（混沌）状態に混ぜられます。
例え： 白い粉（データ）と黒いインク（鍵）を巨大なミキサーに入れて、24 回も高速回転させます。一度混ぜば、元の白い粉と黒いインクを完全に分離することは不可能になります。

3. 具体的な使い方：ファイルの暗号化

この技術を使ってファイルを保護する手順は、以下のような「魔法の儀式」です。

鍵と呪文（Nonce）の準備：
- 1024 ビットの「鍵（K）」と、256 ビットの「呪文（Nonce）」を用意します。
- 呪文は、同じ鍵を使っても毎回違うようにすることで、同じデータでも毎回違う暗号文になるようにします。
ドラムの起動：
- 鍵と呪文をドラムに投入し、1 回回転させて「魔法の基盤」を作ります。
データの処理（吸い込みと絞り出し）：
- Associated Data（付帯データ）： 「これは何のファイルか」というラベルを先に吸い込みます。
- 暗号化： データをドラムに吸い込み、回転させてから「暗号文」として絞り出します。
- 重要： 暗号化されたデータ（暗号文）自体を、再びドラムに吸い込みます。これにより、**「暗号化と改ざん防止が同時に」**行われます。
最後の封印（タグ）：
- 処理が終わると、ドラムを 1 回回し、**「256 ビットの魔法の封印（タグ）」**を生成します。
- このタグは「このファイルが誰のものか、そして誰にも改ざんされていないか」を証明するシールです。

4. ファイルの形式：「魔法の封筒」

SymFrog-512 で保存されたファイルは、以下のような**「魔法の封筒」**の形をしています。

表紙（ヘッダー）：
- 「SYMFROG1」という魔法の文字。
- 鍵の作り方（パスワードから作るか、直接鍵を使うか）のフラグ。
- ヘッダーの封印： 表紙自体が改ざんされていないかチェックするシール。これにより、間違った鍵で開けようとした瞬間に「エラー！」と即座に拒否できます（無駄な時間を節約）。
中身（暗号文）： 混ざり合ったデータ。
裏面の封印（タグ）： ファイル全体の完全性を保証する最後のシール。

5. なぜこれが優れているのか？（安全性と実用性）

超・堅牢な安全性：
- 「奥（Capacity）」が 512 ビットと非常に深いため、ハッカーが「衝突（同じ結果になること）」を見つける確率は、**「砂漠の砂粒を 1 つ選び、それが特定の砂粒と一致する」**ほど低いです。
- 256 ビットのタグ（封印）も非常に長く、偽造するのは不可能に近いです。
パスワード対応：
- 複雑なパスワードを入力するだけで、強力な鍵を自動生成する機能（Argon2id）も備えています。
高速さ：
- 実験では、1 秒間に約 131 メガバイトのデータを処理できることが確認されました。これは、現代のハードディスクや SSD の速度に十分追いつく速さです。

6. まとめ：この論文は何を言いたいのか？

この論文は、**「SymFrog-512 という新しい暗号方式を提案し、それが数学的に安全である可能性が高いこと、そして実際に実装して高速に動くことを証明した」**という報告です。

目標： 将来の量子コンピュータ時代や、高度なハッキングに対しても耐えられる「保守的で堅実な」暗号を作ること。
現状： まだ「完璧な証明」はされていませんが、公開されたコードとベンチマーク結果に基づき、世界中の研究者に「このドラムを壊せるか、試してみてください！」と呼びかけています。

一言で言えば：
「巨大な回転ドラムを使って、データをカオスに混ぜ、超強力な封印を施す、非常に安全で速い新しいデジタル金庫の設計図です。」

以下は、提示された論文「Symfrog-512: High-Capacity Sponge-Based AEAD Cipher (1024-bit State)」の技術的な詳細な要約です。

1. 背景と課題 (Problem)

現代の暗号学において、スポンジ構成（Sponge Construction）とデュプレックス（Duplex）モードは、SHA-3 や Ascon などの標準的な構成要素として確立されています。しかし、既存の多くの実装は、特定の用途やハードウェア制約に合わせて最適化されたパラメータ（状態サイズ、レート、容量）を持っています。
SymFrog-512 は、**「大容量の容量（Capacity）」と「保守的なセキュリティ境界」**を両立させつつ、実用的な AEAD（認証付き暗号）方式を提案することを目的としています。特に、1024 ビットという大規模な状態サイズを採用し、理想的な置換モデル（Ideal Permutation Model）における衝突確率を極めて低く抑える設計思想を持っています。また、パスワードからの鍵導出（Argon2id）と生キーの両方をサポートし、堅牢なファイル形式を定義することで、実運用における誤解や脆弱性を防ぐことを目指しています。

2. 手法と設計 (Methodology)

SymFrog-512 は、カスタム設計の 1024 ビット置換関数 $P_{1024-v2}$ と、レート $r=512$ ビット、容量 $c=512$ ビットを持つデュプレックス・スポンジモードを組み合わせています。

2.1 主要パラメータ

状態サイズ: 1024 ビット（128 バイト）。16 個の 64 ビット語で構成。
レート ( $r$ ): 512 ビット（64 バイト）。
容量 ( $c$ ): 512 ビット（64 バイト）。
認証タグ長: 256 ビット（32 バイト）。
ナンス (Nonce): 256 ビット（32 バイト）。
ラウンド数: 24 回。

2.2 置換関数 $P_{1024-v2}$ の構造

1 回のラウンドは以下の 5 つの層で構成されます：

AddRoundConstants: SHAKE256 で生成された定数を容量部分に XOR します。
Mixer: レート部分と容量部分の対応する語を XOR して混合します。
Chi 非線形性: Keccak などで使用される 4 語ごとのグループに対して、論理演算（AND, NOT, XOR）を適用し非線形性を導入します。
Kick Layer: 乗算とマスクを用いた混合処理。奇数インデックスと偶数インデックスの語を交互に更新し、データ依存性のあるキャリーを注入して代数複雑性を高めます。
Rotate and Shuffle: 各語をビット回転させ、固定の P ボックスで語の位置をシャッフルします。

2.3 AEAD モードとファイル形式

ドメイン分離: 初期化、付随データ（AD）、暗号文、タグ生成の各フェーズで、状態の特定バイトに異なる定数（0xA0, 0xC0, 0xF0 など）を XOR してフェーズを区別します。
出力変換 (Output Transform): 単純にレート部分を読み取るのではなく、レートと容量の両方から情報を抽出し、SplitMix64 最終化関数を適用して 512 ビットの鍵ストリームを生成します。これにより、容量からの拡散を強化しています。
ファイル形式: 152 バイトのヘッダー（マジックナンバー、バージョン、フラグ、ソルト、ナンス、長さ、予約領域）と、ヘッダー認証タグ（32 バイト）を含みます。ヘッダータグの検証により、誤った鍵での復号を早期に拒絶（Early Reject）できます。
鍵導出: 必要に応じて Argon2id を使用してパスフレーズから 1024 ビットの鍵を導出します。

3. 主な貢献 (Key Contributions)

完全な仕様と実装の整合性: 公開されている参照実装（GitHub）と完全に一致する詳細な仕様書の提供。
理想的な置換モデルにおけるセキュリティ証明: 容量 $c=512$ ビットとタグ長 $t=256$ ビットを採用することで、 Birthday 攻撃に対する耐性を $O(q^2/2^{512})$ 、偽造攻撃に対する耐性を $O(q^2/2^{512} + 2^{-256})$ まで保証する理論的解析を提供。
堅牢な実装アーキテクチャ:
- ストリーミング処理によるメモリ使用量の最小化。
- 機密データのゼロクリアとメモリロック。
- 原子性のあるファイル書き込み（一時ファイル + 名前変更）によるデータ破損の防止。
- 定数時間でのタグ比較。
検証可能なアセット: ベンチマーク結果、拡散チェック（Avalanche 効果）、SHA-256 チェックサム付きの回帰テスト用データセットの公開。

4. 結果 (Results)

性能ベンチマーク:
- 置換関数 $P_{1024-v2}$ の実行時間: 435.1 ns（20 万回反復の平均）。
- AEAD 核心部分の暗号化スループット: 131.7 MiB/s（64 MiB バッファ、I/O と鍵導出を除く）。
拡散特性 (Avalanche Effect):
- 1 ビットの入力差分に対するハミング距離の測定では、約 4 ラウンドでランダムな期待値（512 ビット）に近づき、24 ラウンド終了時には平均 512 ビット（標準偏差約 16 ビット）に達することが確認されました。
テストベクトル:
- 0 バイトから 1MB 以上の様々な長さの平文に対して、暗号化・復号の完全な整合性が確認され、出力ファイルサイズが「平文長 + 184 バイト（ヘッダー 152 + タグ 32）」となることを実証しました。

5. 意義と結論 (Significance)

SymFrog-512 は、大規模な状態サイズ（1024 ビット）と保守的なパラメータ設定により、将来の計算能力の向上や高度な暗号解析に対する「安全マージン」を重視した AEAD 方式です。

理論的側面: 容量 512 ビットは、現実的なファイル暗号化ワークロードにおいて衝突確率を無視できるレベルまで低下させ、IND-CPA（選択平文攻撃に対する暗号文の秘匿性）と INT-CTXT（暗号文の完全性）の両方を強力に保証します。
実用的側面: Argon2id による鍵導出のサポートや、ヘッダー認証による早期拒絶機能は、実世界での運用ミス（間違った鍵での処理など）を防止する設計思想を反映しています。
今後の展望: 本論文は $P_{1024-v2}$ の公開暗号解析を呼びかけており、この設計が特定の攻撃に対してどのように耐性を持つか、あるいは弱点があるかを確認するための基盤を提供しています。

総じて、SymFrog-512 は、スポンジ構成の理論的強固さと、実装レベルの堅牢さを融合させた、実験的かつ高品質な AEAD 設計の提案と言えます。