SSHのTerrapin攻撃を通信状態から形式的に解析
Formally Modeling the Terrapin Attack on SSH
この論文をやさしく読む
ひとことで言うと
SSHの通信状態を操作するTerrapin型攻撃を形式化し、主要な暗号方式ごとの完全性を比較した。
何に役立つ？
SSHの暗号方式を状態操作への耐性という観点で評価するための理論的な枠組みになる。
この研究の面白いところ
暗号文のみ、既知平文、選択平文の攻撃を分け、AES-GCMとほかの方式の違いを示している。
どこまで分かった？
安全性や非安全性は論文で定義した通信路完全性のモデルと攻撃条件についてであり、SSH全体の安全性を断定するものではない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
SSH通信路の完全性を狙うTerrapin攻撃（USENIX Security 2024）は、通信路の状態を攻撃する新しい方法を用いた。意外にもSSHのすべての認証付き暗号（AEAD）方式が同じように影響を受けたわけではなく、影響が見られないことが安全を意味するかは未解決だった。既存の安全な通信路の形式モデルは状態付き暗号に基づくが、通信路の状態が何で、各AEAD方式への入力にどう用いられるかを定義していない。本論文は、攻撃者が状態の一部を選べる場合の通信路の完全性の形式モデルを提案する。Terrapin攻撃で選ばれる状態はSSHのシーケンス番号である。抽象的な状態付き暗号インターフェースを用い、SSHで主要な八つのAEAD方式について擬似コードで記述する。SNDオラクルを変えることで、暗号文のみ（CO、Terrapin攻撃）、既知平文（KPA）、選択平文（CPA）の各攻撃をモデル化し、方式の安全性について具体的な境界を確立できる。SSHの三つのEncrypt-then-MAC（EtM）方式すべてとChaCha20-Poly1305はCOモデルで安全でないと分かった。AES-GCMは三つのモデルすべてで安全な唯一の暗号方式である。Terrapinを超えて、CBC暗号を用いたEncrypt-and-MAC（EaM）はKPAモデルでも安全であることを示す。一方、EaM-CBCの通信路完全性に対する新しいBEAST型の選択平文攻撃を記述し、この方式についてKPAモデルとCPAモデルを区別する。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-22（UTC）
- 最新改訂
- 2026-09-22 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-22 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
The Terrapin attack against SSH channel integrity (USENIX Security 2024) used a novel attack vector: attacks on the channel state. Surprisingly, not all AEAD modes of SSH were equally affected by this attack, and it remained an open question if "unaffected" meant "secure". Existing formal models for secure channels are based on stateful encryption. However, these models do not define what the channel state is and how it is used as input to the different AEAD modes. In this paper, we propose a formal model for channel integrity under partially chosen state. Applied to the Terrapin attack, the chosen state is the SSH sequence number. It uses an abstract stateful encryption interface, for which we provide pseudocode descriptions for the eight most prominent AEAD modes used in SSH. By varying the SND oracle, we can model ciphertext-only (CO; the Terrapin attack), known-plaintext (KPA), and chosen-plaintext (CPA) attacks. This allows us to establish concrete bounds on the security of the AEAD modes. We find that all three Encrypt-then-MAC (EtM) modes and ChaCha20-Poly1305 in SSH are insecure in the CO model. AES-GCM is the only cipher secure in all three model variants. Going beyond Terrapin, we show that Encrypt-and-MAC (EaM) with a CBC cipher is secure, even in the KPA model. In particular, we describe a novel BEAST-like chosen-plaintext attack on the channel integrity of EaM-CBC, which separates the KPA and CPA models for this scheme.
著者のコメント
34 pages, 11 figures
arXiv ID: 2609.26358 ／ 要約の誤りについて