目次
1. はじめに
ウェブサイトのアカウントやパスワードの漏洩が後を絶たないことから、情報セキュリティ、特にパスワードの安全性の重要性が改めて浮き彫りになっている。ウェブサイト側の脆弱性も一因ではあるが、パスワードそのものの本質的な強度が最も重要である。一般的な安全でないパスワードの慣行としては、キーワードに基づくパスワード、一般的なフレーズの使用、個人情報の組み込み、パスワードの使い回しなどが挙げられる。AIや大規模言語モデルの発展は、攻撃者によるパスワード推測をさらに効率化する可能性がある。
本研究では、暗号学的に安全な疑似乱数生成器（PRNG）に基づく安全なパスワード生成器を提案する。鍵付きハッシュメッセージ認証コード（HMAC）、暗号ベースMAC（CMAC）、またはKECCAK MAC（KMAC）を用いてPRNGを構築し、安全な乱数を生成した上でパスワードを生成する。生成された乱数性は、NIST SP 800-90B規格に基づくエントロピー評価および独立同分布（IID）テストにより検証される。
2. 関連研究
2.1. 線形合同法に基づくPRNG
C言語やJavaなどの言語で一般的に使用される線形合同法は、漸化式：$f_i(k) \equiv a \times f_{i-1}(k) + c \ (\text{mod} \ m)$ により数列を生成し、シード値 $k$ で初期化される。これは安全ではない。なぜなら状態を逆算可能であり、$f_{i-1}(k) \equiv (f_i(k) - c) \times a^{-1} \ (\text{mod} \ m)$ によりシード値と数列全体が暴露されるためである。
2.2. 安全な疑似乱数生成器
暗号学的PRNGは、出力の一部が既知であっても予測不可能となるように設計されている。
2.2.1. HMACベースPRNG
その安全性は、ハッシュ関数（例：SHA2、SHA3）の一方向性に依存する。鍵 $k$ とメッセージ $M$ に対して、HMACは次のように計算される：$r_{hmac}(k, M) = h((k \oplus opad) \ || \ h((k \oplus ipad) \ || \ M))$。より長い出力を得るためには、カウンタモードを用いて複数のブロックを生成する。
2.2.2. CMACベースPRNG
その安全性は、Advanced Encryption Standard（AES）に基づく。暗号ブロック連鎖（CBC）モードで動作する。パディングされたメッセージを処理した後の最終暗号文ブロックがMAC/出力として機能する：$r_{cmac}(k, Split(M))$。
2.2.3. KMACベースPRNG
SHA-3（KECCAK）ハッシュ関数に基づくKMACは、可変長出力を提供し、ポスト量子暗号の有力候補と見なされている。
2.3. ランダム性検証手法
NIST SP 800-90Bは、エントロピー源を評価する方法論を提供する。エントロピー推定は予測不可能性（最小エントロピー）を定量化する。IIDテストは、データが独立同分布であるかどうかを検証する。これは多くの統計的テストにおける重要な前提条件である。これらのテストに合格することは、乱数源の品質を検証する。
3. 提案する安全なパスワード生成器
システムアーキテクチャは以下の通りである：1) ユーザーはオプションでハッシュ化対象メッセージ（TBHM）を提供する。2) 暗号学的PRNG（HMAC/CMAC/KMACベース）がTBHM（および鍵）を用いて高エントロピーのビットストリームを生成する。3) このビットストリームが、指定された長さのユーザー定義文字セット（例：英数字＋記号）にマッピングされ、最終的なパスワードが生成される。安全性は、パスワードの探索空間をAES-128およびAES-256の鍵強度と比較することで分析される。
4. 実験と結果
4.1. 実験設定
3種類のPRNG（HMAC-SHA256、CMAC-AES-128、KMAC256）を実装した。テスト用に大量のランダムビット列を生成した。
4.2. ランダム性検証結果
主要な結果： 提案した3つのPRNG構成（HMAC、CMAC、KMAC）はすべて、NIST SP 800-90Bに基づくエントロピー検証およびIIDテストに合格した。これは、生成された数値が暗号学的パスワード生成に十分なランダム性と統計的品質を備えていることを実証的に示している。
4.3. 性能分析
計算効率を評価した。すべての手法は実用的であるが、KMACとHMACはプラットフォームによって異なる性能特性を示す可能性があり、AESベースのCMACはAESアクセラレーションを備えたハードウェア上ではしばしば高速である。
5. 結論と今後の課題
本論文では、暗号学的PRNG（HMAC、CMAC、KMAC）に基づく安全なパスワード生成器のフレームワークを提示した。生成された乱数性はNIST規格を用いて検証され、その適合性が確認された。今後の課題としては、生成器をブラウザ拡張機能やパスワードマネージャーに統合すること、パスワード以外の暗号鍵生成への応用の探索、新興のAIベース推測攻撃に対する耐性のテストなどが挙げられる。
6. 独自分析と専門家コメント
核心的洞察： 本論文は新しい暗号を発明するものではなく、普遍的な人間の問題（脆弱なパスワード作成）に対する実用的で規格準拠のエンジニアリングソリューションである。その核心的価値は、確立された暗号プリミティブ（HMAC、CMAC、KMAC）をNIST推奨のPRNGとして正しく適用し、出力を厳密に検証する点にある。これは「自作」パスワード生成器ではしばしば軽視されるステップである。AIが個人データのパターンをモデル化できる時代（PassGANのようなAI駆動パスワード推測研究に見られるように）において、パスワードのランダム性の源を人間の脳から検証済み暗号アルゴリズムに移行することは、必須のセキュリティ強化である。
論理的流れ： 論理は堅牢であり、古典的な応用暗号学のテンプレートに従っている：1) 脆弱性の特定（人間が生成する脆弱なパスワード）。2) 適切で検証済みの暗号ツールの選択（NIST SP 800-108 PRNG）。3) システムの構築（PRNG出力を文字セットにマッピング）。4) 中核コンポーネントの検証（NIST SP 800-90BによるPRNG出力）。この方法論は、`libsodium`のような現代のライブラリが堅牢でデフォルトで安全なプリミティブを優先するのと同様に、安全なシステム設計のベストプラクティスを反映している。
長所と欠点：
長所： 厳密なNIST検証は本論文の最大の強みであり、実証的な信頼性を提供する。KMACの使用はポスト量子対応に沿っている。オプションのユーザー入力（TBHM）は巧妙な機能であり、必要に応じて決定論的なパスワード再生成を可能にしつつ、PRNGが堅牢であればセキュリティを損なわない。
欠点： 本論文の主な限界は、概念実証としての範囲にある。マッピング時のサイドチャネル（タイミング攻撃）、PRNGのための安全な鍵管理、既存のパスワードポリシーとの統合課題に対処する実世界実装の分析が欠けている。さらに、パスワード強度をAESと比較しているが、文字セットマッピングプロセスにおけるエントロピー損失については深く分析しておらず、これは短いパスワードにとっては重要な詳細である。
実践的示唆： セキュリティ実務者にとっての教訓は明確である：ユーザーや素朴な乱数関数にパスワードを選択させるのをやめること。「パスワードを忘れた場合」のリセットや初期ユーザー設定のために、このようなバックエンドパスワード生成器を実装すること。PRNGの具体的な選択は調整可能である：一般的なサーバーでは速度のためにCMAC-AESを、長期的な量子懸念にはKMACを使用する。決定的に重要なのは、導入時にはPRNGのシード/鍵を他の暗号鍵と同様の厳格さで管理しなければならない点である。この成果は、安全なパスワード生成の推奨パターンとして、OWASPの認証チートシートなどのフレームワークに統合されるべきである。
7. 技術詳細と数学的定式化
安全性はPRNGの定式化に依存する。HMACの場合：
$r_{hmac}(k, M) = h((k \oplus opad) \ || \ h((k \oplus ipad) \ || \ M))$
ここで、$h$ はSHA-256のようなハッシュ関数、$ipad/opad$ は定数、$k$ は鍵である。パスワード生成では、カウンタ $i$ を $M_i$ に組み込み、複数のブロックを生成する：$M_i = i || \text{Label} || 0x00 || \text{Context} || L$。出力ビットはその後、整数インデックスに変換され、サイズ $N$ の文字セット $C$ から文字を選択する：$\text{index} = \text{random_bits} \mod N$。
8. 分析フレームワークと事例
シナリオ： あるウェブサービスが、新規ユーザーアカウント用に強力な12文字のパスワードを生成する必要がある。
フレームワークの適用：
1. パラメータ定義： 文字セット $C$ = 94の印字可能ASCII文字。長さ $L=12$。PRNG選択：HMAC-SHA256。
2. ランダム性生成： シード $k$ のためのエントロピーを収集する。TBHM = "serviceX_user123" を使用する。カウンタモードでHMACベースPRNGを実行し、$\lceil log_2(94^{12}) \rceil \approx 79$ ビットのエントロピーを生成する。
3. パスワードへのマッピング： 79ビットのストリームを使用して12個のインデックスを生成し、各インデックスが $C$ から1文字を選択する。
4. 検証チェック： 生成されたパスワードのエントロピーは約78.5ビットであり、約80ビットの対称鍵に匹敵し、人間が選択するあらゆるパスワードよりもはるかに強力である。
ノーコードワークフロー： このプロセスはサーバーサイドのAPI呼び出しにカプセル化でき、エンドユーザーから暗号技術を完全に抽象化できる。
9. 将来の応用と方向性
1. パスワードマネージャー中核エンジン： この生成器を、オープンソースおよび商用のパスワードマネージャー（例：Bitwarden、1Password）のデフォルトパスワード作成エンジンとして統合する。
2. ポスト量子移行： KMACベース生成は、NISTポスト量子暗号プロジェクトで推奨されるように、量子耐性のあるパスワードおよびトークン生成のための完成されたソリューションである。
3. IoT・組み込みセキュリティ： 軽量なCMAC-AESバージョンは、制約のある環境で一意のデバイスパスワードやAPIキーを生成できる。
4. ブロックチェーン・Web3： 検証可能な乱数源を使用して、暗号通貨ウォレット用の安全でランダムなニーモニックフレーズシードを生成する。
5. 標準化： この方法論をIETFやFIDOなどの標準化団体に提案し、次世代認証プロトコルに組み込む。
10. 参考文献
- M. Bishop, "Computer Security: Art and Science", Addison-Wesley, 2018.
- NIST, "Special Publication 800-63B: Digital Identity Guidelines", 2017.
- M. L. Mazurek et al., "Measuring Password Guessability for an Entire University", IEEE S&P, 2013.
- B. Ur et al., "How Does Your Password Measure Up? The Effect of Strength Meters on Password Creation", USENIX Security, 2012.
- NIST, "Special Publication 800-108: Recommendation for Key Derivation Using Pseudorandom Functions", Rev. 1, 2022.
- NIST, "Special Publication 800-90B: Recommendation for the Entropy Sources Used for Random Bit Generation", 2018.
- J. Kelsey, B. Schneier, D. Wagner, "Secure Applications of Low-Entropy Keys", ISW, 1997.
- FIPS PUB 202, "SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions", 2015.
- B. Hitaj et al., "PassGAN: A Deep Learning Approach for Password Guessing", NeurIPS Workshop, 2017.
- D. J. Bernstein et al., "The Security Impact of a New Cryptographic Random Number Generator", 2020.