長さ拡張攻撃（Length Extension Attack）と HMAC が安全な理由

「ハッシュ値＝内部状態」という落とし穴

SHA-256 のような Merkle–Damgård（MD）構造のハッシュは、固定長の圧縮関数 f を反復し、最後の chaining 値（内部状態）をそのまま出力します。この「内部状態の全部が出力に露出する」性質を突くのが**長さ拡張攻撃（length extension attack）**です。攻撃者は H(secret‖message) の値と message の長ささえ分かれば、secret を一切知らずに H(secret‖message‖padding‖追記) の正しいハッシュを計算できてしまいます。

これがなぜ実害になるか。鍵付きメッセージ認証コード（MAC）を MAC = SHA-256(secret_key‖message) と素朴に作る実装が、現実に偽造されるからです。MD 構造の前提（圧縮関数の反復・末尾の長さ埋め込み）は ハッシュ関数の内部構造 を、MAC が改ざん検知に使われる文脈は 暗号の基礎 を前提とします。

攻撃の手順を分解する

MD ハッシュの処理を思い出すと、攻撃が成立する理由が見えます。

H0 = IV（規格固定の初期値）
for i in 1..n:  Hi = f(Hi-1, Mi)   ← 前段の出力を次段の入力に
出力 = Hn（最後の chaining 値そのもの）

H(secret‖message) を計算した側は、内部で secret‖message をパディングしてブロックに分け、Hn まで回しています。攻撃者が得た MAC 値は、まさにこの Hn＝最終内部状態です。攻撃の流れはこうです。

既知: M = message, T = SHA-256(secret‖M), len(secret) は推測 or 既知
1. glue padding を構築:
   secret‖M を埋めた際に付く「1ビットの1 + 0詰め + 元の長さ」を再現する。
   secret の長さが分かれば、このパディング P は完全に決定できる。
2. 攻撃者の追記 X を用意する。
3. SHA-256 実装の内部状態 H0..H7 を T で上書き初期化する（T = 内部状態だから可能）。
4. ブロック長カウンタを len(secret‖M‖P) に合わせ、X だけを追加で食わせる。
5. 得られた出力 T' は、なんと
      T' = SHA-256(secret‖M‖P‖X)
   の正しいハッシュになっている。

ポイントは手順3です。MD では Hn が出力なので、出力 T を内部状態に書き戻すだけで「secret‖M‖P まで処理し終えた直後の状態」を鍵なしで完全再現できます。あとは続きを食わせるだけ。攻撃者は secret の中身を一度も知る必要がありません。

影響を受けるハッシュ、受けないハッシュ

長さ拡張は MD 構造に固有で、出力が内部状態の全体を晒すものだけが脆弱です。

SHA-224 や SHA-512/256 が安全なのは、内部状態より短い出力しか返さないからです。攻撃者は Hn の全ビットを得られないため、続きの計算に必要な初期状態を復元できません。BLAKE2 は最終ブロックに「これが最後」というフラグ（finalization flag）を立てて圧縮するため、攻撃者が同じ最終化を再現できず、続きを正当に伸ばせません。SHA-3 が無傷な理由は、出力に晒されない容量部 c が常に内部に残る構造にあり、詳しくは ハッシュ関数の内部構造 で扱っています。

HMAC はなぜ安全か：ネストが内部状態を覆う

HMAC（RFC 2104）は MD ハッシュの長さ拡張を、ハッシュを二重にネストすることで封じます。定義はこうです。

HMAC(K, m) = H( (K' ⊕ opad) ‖ H( (K' ⊕ ipad) ‖ m ) )

K'   : 鍵 K をブロック長に整える（長ければ H(K)、短ければ 0 埋め）
ipad : 0x36 をブロック長ぶん繰り返した内側パディング
opad : 0x5c をブロック長ぶん繰り返した外側パディング

安全性の核心は外側ハッシュです。攻撃者が手にする HMAC 値は、外側 H((K'⊕opad)‖inner) の出力。これを内部状態として書き戻しても、その先で得られるのは「(K'⊕opad)‖inner に追記したもの」のハッシュであって、HMAC の正しい再計算ではありません。内側ハッシュの出力（真に伸ばしたい状態）は外側ハッシュへの入力として既に飲み込まれ、外から触れない位置に隠れています。長さ拡張で伸ばせるのは最外殻だけで、そこには鍵 K'⊕opad が前置されているため、鍵なしには正しい状態を作れません。

実務での選び方

鍵付き認証が必要なら、結論はシンプルです。

• 生の H(secret‖message) を MAC に使わない。 SHA-256/SHA-1/SHA-512 を直結する自作 MAC は長さ拡張で壊れます。
• HMAC-SHA-256 を既定にする。 標準化され実装も豊富。検証時はタイミング攻撃を避けるため定数時間比較で照合します（== の早期 return は1バイトずつ漏らす）。
• 新規設計なら KMAC や BLAKE2 の鍵付きモードも候補。 SHA-3 ベースの KMAC や、鍵を引数に取れる BLAKE2 は長さ拡張耐性が構造由来で、HMAC のネストすら不要です。
• 暗号化と認証を同時に欲しいなら AEAD へ。 MAC を別建てするより、認証付き暗号で完全性と機密性を一体提供するのが現代の定石です（AEAD の設計原理）。

なお「ハッシュは改ざん検知に万能」という誤解は危険で、鍵のない素のハッシュは誰でも再計算できるため認証にはなりません。ハッシュと暗号化・認証の役割分担は ハッシュ化と暗号化の違い を参照してください。

ハッシュを「一方向の魔法」で済ませず、最後に何を出力しているかまで分解できると、secret‖msg がなぜ危険で HMAC のネストがなぜ効くのかが構造で理解できます。MD と非MD の違いを押さえれば、ハッシュ選定そのものが防御の一手になります。