情報処理安全確保支援士 2025年 春期 午前2 問03

SHA-512/256の仕様【午前2解説】

正解の理由

解法ステップ

1. 名前の読み取り：SHA-512/256 は「ベースは512ビット版（SHA-512）、出力長は256ビット」であると解釈する。
2. 各選択肢を照合：ベースが SHA-512 であるか、出力が256ビットにされているかを確認する。
3. 実装上の注意：仕様では単純 truncation に留まらず IV が定義されている点をチェックする（出題の選択肢がその違いを問うかを確認）。
4. 結論：上記に合致する選択肢 ウ を選ぶ。

選択肢別の誤答解説

• ア: 「SHA-256 に基づくハッシュを 1回適用し、256ビットを出力した後、512ビットに拡張」とあるが、ハッシュ関数は出力を擬似的に拡張して 512 ビットにするような逆方向の拡張は行わない。SHA-512/256 は SHA-256 がベースではなく、また拡張の手順も誤り。
• イ: 「SHA-256 を512回繰り返す」などと反復回数で説明しているが、SHA-512/256 は単に別の SHA-2 系のバリエーションであり、繰り返し回数を大量に増やす仕様ではない。
• ウ: 正しい。SHA-512 の内部処理を使い、最終的に512ビット値の先頭256ビットを出力する（仕様では専用IVも用いる）。
• エ: 「SHA-512 を256回繰り返す」とあるが、これも誤り。SHA-512/256 はアルゴリズムを多数回再帰的に適用するものではない。

よくある誤解

• SHA-512/256 は「単に SHA-512 を計算して切り取るだけ」だと考えられがちですが、仕様では衝突回避のために専用の初期値（IV）を定めています。単純なトランケーションと同一視するのは正確ではありません。
• ハッシュ長が256ビットだからといって「衝突耐性が $2^{256}$」と誤認すること。出力長 $n$ に対する衝突耐性は理論上約 $2^{n/2}$（誕生日攻撃）であり、したがって256ビット出力なら衝突探索は約 $2^{128}$ の困難さになります。一方、原像攻撃（与えられたハッシュ値から元入力を探す難しさ）はおおむね $2^{256}$ です。ただしこれは理論上の目安であり、実運用では実装の脆弱性やサイドチャネル、運用ミスなどで期待される難度が下がる可能性があります。
• トランケーションは長さ拡張攻撃を自動的に防ぐものではありません。SHA-2 系は生の出力をそのまま使う場合、長さ拡張攻撃の対象になり得ます（HMAC を使う等、適切な対策が必要）。

補足コラム

• SHA-512/256 の設計目的の一つは、64ビット環境で高速に動作する SHA-512 の内部処理（64ビット演算）を利用しつつ、出力を256ビットに抑えて短いダイジェストを必要とする用途に対応することです。類似の例として SHA-384（SHA-512 をベースに 384 ビット出力に切り詰め）があります。
• 標準規格（例: FIPS 180-4）では、各変種ごとに初期ハッシュ値（IV）が定められており、単純に SHA-512 の標準 IV を使って出力を切り詰めただけのものとは区別されます。これは異なる出力値同士の安易な関連付けを避けるためです。
• セキュリティ評価の観点では、出力長による理論的耐性（原像抵抗、第二原像抵抗、衝突耐性）を理解した上で、実装面・運用面のリスク（サイドチャネル、誤用、脆弱な乱数など）にも注意してください。

FAQ