暗号利用モード（CBC/CTR/GCM）とビット単位の動作原理

ブロック暗号は「固定長の置換」でしかない

AES のようなブロック暗号は、本質的には鍵で選ばれた1つの全単射（置換）です。AES なら入力も出力もちょうど128ビット（16バイト）で固定で、鍵を1本決めると「128ビットの平文ブロック → 128ビットの暗号文ブロック」という対応が1つ決まります。鍵が同じなら、同じ平文ブロックは必ず同じ暗号文ブロックになります。

ここに任意長データを暗号化するうえでの根本問題があります。現実のデータは128ビットちょうどではありません。**「固定長の置換器をどう繰り返し適用し、ブロックをどう繋ぐか」を決める手順が暗号利用モード（mode of operation）**です。AES そのものの強度ではなく、このモードの選び方・使い方こそが事故の温床になります。

ECB：独立変換ゆえにパターンが透ける

最も素朴なモードが **ECB（Electronic Codebook）**です。平文を16バイトごとに区切り、各ブロックを独立に、同じ鍵で暗号化するだけ。連鎖も乱数もありません。

C[i] = E(K, P[i])     # 各ブロックは互いに独立。前後関係なし

この独立性が致命的です。前述のとおり「同じ平文ブロック → 同じ暗号文ブロック」なので、平文に繰り返しパターンがあると、そのパターンが暗号文にそのまま残ります。ビットマップ画像を ECB で暗号化すると元絵の輪郭が透けて見える、という有名な例はこれが原因です。中身は読めなくても、どこが同じデータかという構造情報が漏れます。

CBC：前ブロックを連鎖させ IV で初期化する

**CBC（Cipher Block Chaining）は ECB の弱点を「連鎖」で潰します。各平文ブロックを暗号化する前に、直前の暗号文ブロックと XOR してから暗号化します。先頭ブロックには直前が無いので、代わりにIV（初期化ベクトル）**を XOR します。

C[0] = E(K, P[0] XOR IV)        # 先頭は IV で初期化
C[i] = E(K, P[i] XOR C[i-1])    # 以降は直前の暗号文を連鎖

XOR によって、同じ平文ブロックでも直前の暗号文が違えば暗号化への入力が変わるため、ECB のようなパターン漏れが消えます。IV を毎回ランダムに変えれば、同じ平文を同じ鍵で暗号化しても毎回違う暗号文になります。これが CBC の肝です。

CBC には2つの実務的な弱点があります。第一に逐次依存で、C[i] は C[i-1] に依存するため暗号化を並列化できません（復号は各ブロックに C[i-1] が揃うので並列可能）。第二に、CBC 自体は改ざんを検知しません。パディング検証のエラー有無を観測するパディングオラクル攻撃が成立し得るため、CBC を使うなら別途 MAC を付ける（Encrypt-then-MAC）か、後述の AEAD を選びます。

CTR：ブロック暗号を「ストリーム暗号」に変える

**CTR（Counter）**は発想を変えます。平文を直接暗号化するのではなく、カウンタ値を暗号化して鍵ストリーム（キーストリーム）を作り、それを平文と XOR します。

S[i] = E(K, nonce || counter+i)   # カウンタを暗号化して鍵ストリーム生成
C[i] = P[i] XOR S[i]              # 平文と XOR するだけ

注目すべきは、ブロック暗号 E を暗号化方向にしか使わない点です。復号も P[i] = C[i] XOR S[i] と全く同じ S[i] を作って XOR するだけなので、逆置換 D が不要になります。さらに各ブロックの S[i] は他ブロックに依存しないため、暗号化も復号も完全に並列化でき、任意位置からのランダムアクセス復号もできます。CBC の逐次依存という弱点をここで解消しています。

CTR も秘匿のみで、単体では改ざんを検知しません。XOR ベースゆえ、攻撃者が暗号文の特定ビットを反転すると復号後の平文の同じ位置のビットが反転します（ビット反転攻撃）。CTR を安全に使うには認証が要る――その答えが GCM です。

GCM：CTR の秘匿に GHASH の認証タグを足す

**GCM（Galois/Counter Mode）**は AEAD（Authenticated Encryption with Associated Data）の代表です。一度の処理で機密性（暗号化）と完全性・真正性（認証タグ）を同時に実現します。中身は2段構成です。

1. 暗号化：本体は CTR そのもの。ノンスから初期カウンタ J0 を作り、J0+1, J0+2, … を暗号化した鍵ストリームと平文を XOR して暗号文を得る。
2. 認証：暗号文と AAD（暗号化しないが改ざん検知したいヘッダ等）を GHASH で畳み込み、最後に E(K, J0) と XOR して認証タグ（通常128ビット）を生成する。

GHASH は、ガロア体 GF(2^128) 上の乗算を使ったユニバーサルハッシュです。鍵から導出した H = E(K, 0^128) を係数に、各データブロック X[i] を多項式の係数とみなして次の漸化式で畳み込みます（すべて GF(2^128) 上の演算）。

H = E(K, 0…0)                       # ハッシュ用サブキー（鍵から導出）
Y[0] = 0
Y[i] = (Y[i-1] XOR X[i]) ⊗ H        # ⊗ は GF(2^128) の乗算
tag  = Y[last] XOR E(K, J0)         # 最後に J0 の暗号化値で“鍵付き”にする

ポイントは、GHASH 単体は鍵 H を知れば誰でも計算できるただのハッシュだという点です。最後に E(K, J0)（攻撃者には予測不能）と XOR することで初めて鍵付きの認証タグになり、偽造を防ぎます。復号側は同じ手順でタグを再計算し、一致しなければ平文を一切返さず復号を失敗させます。これにより CTR のビット反転攻撃やパディングオラクルが封じられます。

実装で踏み外さないための原則

モードの理論を理解しても、運用での落とし穴は別にあります。最後に実務原則を整理します。

• モードを自作・選定で凝らない：標準ライブラリの AES-GCM（または ChaCha20-Poly1305）を既定にする。CBC を新規採用する理由は通常ありません。秘匿と改ざん検知を分けて考える基礎は 暗号の基礎 を参照。
• ノンス／IV は CSPRNG で生成し再利用しない：GCM のノンスは96ビット推奨。乱数で衝突が怖い高頻度用途では、鍵ごとのカウンタ方式で一意性を担保します。
• タグは必ず検証する：GCM の復号は「復号してからタグ照合」ではなく、タグ検証に失敗したら平文を一切利用しない実装を使うこと。タグ長を短縮しない（128ビットを使う）。
• 暗号化はハッシュ・署名と役割が違う：暗号化は秘匿、改ざん検知は AEAD のタグや署名の仕事です。両者の違いは ハッシュ化と暗号化の違い、鍵の真正性を保証する基盤は PKI と証明書 を参照してください。