BLAKE2.

BLAKE2 は、Jean-Philippe Aumasson、Samuel Neves、Zooko Wilcox-O'Hearn、Christian Winnerlein によって 2012 年に設計された暗号学的ハッシュファミリであり、SHA-3 のファイナリストであった BLAKE を洗練させて合理化したものである。これは **RFC 7693(2015 年)**で標準化された。主要な変種は 2 つ存在する。BLAKE2b(最大 64 バイトのダイジェスト、64 ビット CPU 向けに調整)と、BLAKE2s(32 ビットおよび組み込みプラットフォーム向けで最大 32 バイトのダイジェスト)であり、それぞれに並列形式(BLAKE2bp/BLAKE2sp)がある。

仕組み

BLAKE2 は、ChaCha ストリーム暗号の置換(回転を伴う G 関数によるミキシング)から派生した圧縮関数の上で、HAIFA の反復モードを使用する。重要な点として、鍵付きハッシュ、ソルト付け、パーソナライゼーション、ツリーハッシュをプリミティブに直接組み込んでいるため、鍵付きの BLAKE2 は別途 HMAC ラッパーを用いることなく MAC として機能し、SHA-2 の長さ拡張の弱点を回避している。前身と比べてラウンド数を削減し(2b では 12、2s では 10)、速度のためにパディングを簡素化している。

flowchart LR
  M[Message blocks] --> C[Compression f: HAIFA + ChaCha permutation]
  K[Optional key] --> C
  S[Salt / personalization] --> C
  T[Block counter t] --> C
  C --> C2[Chained state h]
  C2 -->|final block flag| O[Digest up to 64 bytes]

採用状況と後継

BLAKE2 は破られておらず、実用的な衝突攻撃や原像攻撃は存在せず、ソフトウェア上では MD5、SHA-1、SHA-2、SHA-3 よりも高速である。パスワードハッシュコンペティションの優勝者である Argon2(その内部圧縮プリミティブとして)、WireGuard のハンドシェイクハッシュ(BLAKE2s)、libsodium の crypto_generichash、および Zcash の基盤となっている。同じチームは 2020 年に BLAKE3 をリリースした。これはさらなる並列性を提供するマークルツリー設計であるが、BLAKE2 は RFC で標準化され広く導入されている選択肢として依然として残っている。