AESでキーの導出にハッシュ関数(Sha3-256)を使うのはOKか。

Question

可変長の文字列(パスワード)を、AES-256-CTRで用いる256bitsの固定長キーに変換するためにハッシュ関数Sha3-256を使うのはセキュリティ的に大丈夫なのでしょうか？
また、それにまつわるベストプラクティスがあれば教えていただけると嬉しいです。

---

疑似コード

string パスワード = "password"
print(GetByteCount(パスワード)) // 8
[]byte キー = sha3.Sum256(パスワード)
print(GetByteCount(キー)) // 32
[]byte 暗号 = aes.CTR.Encrypt(キー, 平文)

Answer 1

パスワードを単にハッシュにしたものを暗号鍵として用いると、パスワードの辞書攻撃に対して脆弱になります。パスワードを十分に強固なものにすれば実用上は大丈夫かもしれませんが、少なくとも単純なハッシュによる鍵生成はベストプラクティスではありません。

パスワードによる暗号化のベストプラクティスは、PKCS＃5：パスワードベースの暗号化仕様バージョン2.1（RFC 8018 ）だと思います。RFC 8018を読むのは大変だと思いますが、RFC 8018では、鍵導出関数としてPBKDF2 という方法が推奨されています。PKBDF2は多くのプログラミング言語で利用可能ですので検討するとよいと思います。

なお、タイトルの「キーのパディング」は誤りですね。パディングは、ブロック暗号において最後のブロックで余りが出た箇所を穴埋めすることです。

Comments

[rtgsdfsdg]

回答有り難うございます。とても参考になりました。
幅広い回答を得たいのでベストアンサー決定はもう少し、時間をおいてからにしたいと思います。「キーのパディング」については誤りだったということで質問文の方を訂正・編集させていただきます。
また、機会があればよろしくおねがいします^^