pr

「暗号化すれば大丈夫」ではない 暗号技術を導入するならば、 その強度に注目せよ

　「暗号」というキーワードを聞くと、スパイ映画や戦争映画などでの権謀術数の飛び交う世界を想像するかもしれない。ところが、今日の企業において暗号はさまざまなシーンで、当たり前のように利用されている。

　例えば、インターネット上で重要なデータをやり取りする際に利用されるSSL/TLSは、WebブラウザとWebサーバ間の通信経路を暗号化するプロトコルだ（実際には、URIスキームの1つであるHTTPSとして提供される）。あるいは、機密データを保管しているメディアや、データそのものにパスワードを設定して、不特定の第三者に情報が漏えいしないような対策を行っている企業も多い。

　個人情報の保護や機密情報の漏えい防止のためにルール（ポリシー）を作り、その具体的な手法としてさまざまな暗号化技術を取り入れるのは、もはや、企業としての一般常識となったのだ。

		暗号アルゴリズムと鍵の関係

　暗号とは、元データを“特殊な方法”によって、第三者が内容を理解できない形に変換することだ。この“特殊な方法”を暗号アルゴリズムという。暗号アルゴリズムを利用する方法は、古代ローマ時代の「シーザー暗号」にまでさかのぼることができる。

　シーザー暗号は、平文を辞書順に3文字ずつずらして暗号文を作る単純なものだった。この暗号では、「何文字をどのようにずらすのか」という暗号アルゴリズムを秘密裡に共有しなくてはならず、暗号アルゴリズムが露見してしまえば暗号そのものが利用できなくなってしまった。

　今日、多くの企業で利用されている暗号技術は、暗号アルゴリズムが公開されているものが一般的だ。暗号アルゴリズムのほかに「鍵」を用意し（共通鍵暗号方式）、鍵が流出しまっても、鍵そのものを変えることで暗号技術を使い続けることができるようになっている。公開鍵暗号方式のように、暗号化と復号の鍵を異なるものにして、暗号化のための鍵さえも一般公開しているものもある。

・代表的な共通鍵暗号方式

DES、AES、Camellia、RC5

・代表的な公開鍵暗号方式

RSA、楕円曲線暗号

		標準暗号は2010年までに大幅に変更される

　なぜ、秘密にすべきだった暗号アルゴリズムを公開するのか。その答えは、そのほうが暗号に対する信頼性が向上するからだ。

　先に述べたように、鍵は交換することで暗号を使い続けることができる。しかし、暗号アルゴリズムそのものの強度が足りなければ、簡単に鍵を解読することができてしまう。

　そこで、暗号アルゴリズムを公開し、多くの暗号の専門家がその強度を検証する。さまざまな手法によって検証されることで、その暗号アルゴリズムがどのくらい強いものなのかが証明されていく。

　例えば、MD5やSHA-1と呼ばれるハッシュ関数はデファクトスタンダードな技術として、さまざまな暗号技術に利用されていた。しかし、2004〜2005年にかけて、中国人研究者によって次々と攻撃方法が証明された。

　その結果、米国政府標準の暗号技術を策定する米国商務省国立標準技術研究所（NIST）は、大きな問題が発生する前に次世代の暗号技術へと移行する方針を打ち出している。米国における標準暗号技術は、事実上、世界中の標準暗号技術だ。これが「暗号の2010年問題」である。

　さまざまな暗号アルゴリズムが登場し、それを採用する暗号化製品が市場に投入される。「暗号化さえすれば大丈夫」ということはない。

　暗号アルゴリズムそのものが古く、すでに攻撃方法が確立しているものではないだろうか。暗号そのものは強健であっても、運用方法によって抜け道が用意されてないだろうか。

　暗号化製品を導入する際には、その暗号の強度やシステムの脆弱性にも目を配るべきだろう。

関連記事：
	デファクトスタンダード暗号技術の大移行 http://www.atmarkit.co.jp/fsecurity/rensai/crypt01/crypt01.html

提供：日本PGP株式会社
ピーケーウェア・ジャパン株式会社
企画：アイティメディア 営業本部
制作：＠IT 編集部
掲載内容有効期限：2008年12月26日