暗号戦争

非公式に「暗号戦争」と呼ばれる試みは、米国とその同盟国政府によって、国家情報機関、特に国家安全保障局（NSA）による解読を阻止できるほど強力な暗号への国民および諸外国のアクセスを制限するために行われてきた。^[1]

冷戦の初期、米国とその同盟国は、西側諸国の幅広い技術が他国、特に東側諸国の手に渡るのを防ぐため、一連の精巧な輸出管理規制を策定した。「重要」と分類される技術の輸出にはすべて許可が必要だった。西側諸国の輸出管理を調整するために、ココムが組織された。

保護された技術は 2 種類ありました。戦争兵器 (「軍需品」) にのみ関連する技術と、商業用途もある軍民両用技術です。米国では、軍民両用技術の輸出は商務省によって管理され、軍需品は国務省によって管理されていました。第二次世界大戦直後の暗号市場はほぼ完全に軍事向けであったため、暗号化技術 (技術だけでなく装置、そしてコンピューターが重要になってからは暗号ソフトウェア) は米国軍需品リストのカテゴリ XIII 項目に含まれていました。冷戦の西側における暗号輸出の多国間管理は、ココムのメカニズムを通じて行われました。

しかし、1960 年代になると、金融機関は急速に成長していた有線送金の分野で強力な商用暗号化を必要とし始めました。1975 年に米国政府がデータ暗号化標準を導入したことで、高品質の暗号化の商用利用が一般的になり、輸出管理に関する深刻な問題が生じ始めました。通常、これらの問題は、IBMなどのコンピュータ製造業者とその大企業顧客が個別に輸出許可申請手続きを行うことで対処されました。

暗号化の輸出規制は、パーソナルコンピュータの導入とともに社会の関心事となった。フィル・ツィンマーマンのPGP暗号 システムと1991年のインターネットでの配布は、暗号の輸出規制に対する最初の「個人レベル」の大きな挑戦であった。 1990年代の電子商取引の成長は、規制緩和へのさらなる圧力を生み出した。 ^[2]その後まもなく、ネットスケープのSSL技術は、公開鍵暗号を使用してクレジットカード取引を保護する方法として広く採用された。

SSL 暗号化メッセージはRC4暗号を使用し、128 ビットのキーを使用していました。米国政府の輸出規制では、128 ビットのキーを使用する暗号システムの輸出は許可されていませんでした。^[3]この段階では、西側諸国の政府は暗号化に関しては実際には二重人格でした。政策は軍の暗号解読者によって作成され、彼らは「敵」が秘密を取得するのを防ぐことだけを懸念していましたが、その政策は産業を支援する役人によって商務省に伝えられました。

個別のライセンス手続きなしで輸出できる最長のキー サイズは40 ビットであったため、Netscape は 2 つのバージョンのWeb ブラウザーを開発しました。「米国版」は 128 ビットの完全な強度を持っていました。「国際版」は、SSLプロトコルでキーの 88 ビットを公開することで、有効なキー長を 40 ビットに短縮しました。「米国国内版」を入手するのは非常に面倒なため、米国でもほとんどのコンピューター ユーザーが「国際版」を購入することになりました。^{[4]このバージョンの}40 ビットの弱い暗号化は、1 台のパソコンを使用して数日で破ることができます。同じ理由で、Lotus Notesでも​​同様の状況が発生しました。 ^[5]

ピーター・ユンガーやその他の市民的自由主義者やプライバシー擁護者による法的異議申し立て、米国外での暗号化ソフトウェアの広範な入手可能性、そして多くの企業が脆弱な暗号化に関する悪評が自社の売上と電子商取引の成長を制限していると認識したことから、米国の輸出規制は緩和され、1996年にはビル・クリントン大統領が大統領令13026 ^[6]に署名し、商用暗号化を軍需品リストから商務管理品リストに移管しました。さらに、この命令では「ソフトウェアは輸出管理規則の意味で「技術」と見なされたり扱われたりしてはならない」と規定されています。この命令により、米国商務省は暗号化を含むプロプライエタリおよびオープンソースソフトウェアの輸出を大幅に簡素化する規則を施行することができ、2000年に実施されました。 ^[7]

2009 年現在、米国からの非軍事用暗号の輸出は、商務省産業安全保障局によって管理されている。^{[8]大量販売製品であっても、特に「}ならず者国家」やテロ組織への輸出に関しては、依然としていくつかの制限が存在する。軍事用暗号化装置、TEMPEST承認の電子機器、カスタム暗号化ソフトウェア、さらには暗号化コンサルティング サービスでさえ、依然として輸出許可が必要である^[8] (pp. 6–7)。さらに、「64 ビットを超える暗号化を備えた大量販売用暗号化商品、ソフトウェア、およびコンポーネント」の輸出には、BIS への暗号化登録が必要である (75 FR 36494)。さらに、他の品目は、ほとんどの国への輸出前に BIS による 1 回限りの審査または BIS への通知が必要である^[8] 。たとえば、オープンソースの暗号化ソフトウェアをインターネット上で公開する前に BIS に通知する必要があるが、審査は不要である。^[9] 輸出規制は1996年以前の基準から緩和されましたが、依然として複雑です。^[8]他の国々、特にワッセナー協定に参加している国々[ 10 ^]も同様の制限を設けています。^[11]

1996年まで、英国政府は弱い暗号や短い鍵を使用しない限り輸出業者に輸出許可を差し控え、実用的な公開暗号を一般的に推奨していませんでした。^[12] NHSの暗号に関する議論で、このことが公になりました。^[12]

クリッパーチップは、1990年代にNSAが開発した携帯電話用のチップセットで、米国政府向けにバックドア付きの暗号化を実装していた。 ^[2]米国政府は携帯電話メーカーにこのチップセットを採用させようとしたが成功せず、最終的に1996年までにプログラムは廃止された。

A5/1は、 GSM携帯電話規格で無線通信のプライバシーを提供するために使用されるストリーム暗号です。

セキュリティ研究者ロス・アンダーソンは1994年に「1980年代半ば、NATOの 信号諜報機関の間で、GSMの暗号化が強力であるべきか否かをめぐって激しい論争があった。ドイツはワルシャワ条約機構と長い国境を接しているため、強力であるべきだと主張したが、他の国々はそうは考えず、現在使用されているアルゴリズムはフランス設計である」と報告した。^[13]

ヤン・アリルド・オーデスタッド教授によると、1982年に始まった標準化プロセスでは、A5/1の鍵長は当初128ビットと提案されていた。当時、128ビットは少なくとも15年間は安全であると予測されていた。現在では、128ビットは2014年の時点でも実際にはまだ安全であると推定されている。オーデスタッド、ピーター・ファン・デル・アーレンド、トーマス・ハウグは、英国が弱い暗号化を主張したと述べ、ハウグは英国の代表から、これは英国の諜報機関がより簡単に盗聴できるようにするためだと言われたと述べている。英国は48ビットの鍵長を提案したが、西ドイツは東ドイツのスパイ行為から保護するためにより強力な暗号化を望んだため、妥協案として56ビットの鍵長になった。^[14]一般に、長さ56の鍵は長さ128の鍵よりも何倍も破りやすい。 ${\displaystyle 2^{128-56}=2^{72}=4.7\times 10^{21}}$

広く使用されているDES暗号化アルゴリズムは、もともとIBMによってキーサイズが128ビットになるように計画されていましたが、^[15] NSAはキーサイズを48ビットにするよう働きかけました。最終的な妥協案は、キーサイズを64ビットにし、そのうち8ビットをパリティビットにして、有効なキーセキュリティパラメータを56ビットにすることでした。^[16] DESは1977年には早くも安全ではないと考えられていましたが、^[17] 2013年のスノーデンの漏洩で漏洩した文書によると、実際にはNSAによって簡単に解読可能でしたが、それでもNISTによって推奨されていました。^[18] DESチャレンジは、データ暗号化標準によって提供されるセキュリティの欠如を強調するためにRSAセキュリティによって作成された一連のブルートフォース攻撃コンテストでした。 DESでエンコードされたメッセージのクラッキングに成功した一環として、EFFはDeep Crackというニックネームの特殊なDESクラッキングコンピュータを構築しました。

DESの解読に成功したことで、一般市民がより高度な暗号化技術を導入するための政治的、技術的支援が集まったものと思われる。^[19] 1997年、NISTはDESの代替を選択するためのコンペを開始し、その結果、2000年にAdvanced Encryption Standard （AES）が発表された。^[20] AESは2019年現在でも安全であると考えられており、NSAはAESが最高機密レベルの機密情報を保護するのに十分な強度があると考えている。^[21]

暗号化が広く採用されることを恐れたNSAは、合意、法律の力、またはコンピュータネットワークの悪用（ハッキング）によって、密かに暗号化標準に影響を与えて弱体化させ、マスターキーを入手しようとした。^{[2] [22]}

ニューヨークタイムズによると、「しかし、NSAの文書によると、2006年までに、NSAは3つの外国航空会社、1つの旅行予約システム、1つの外国政府の原子力部門、および別のインターネットサービスの通信に侵入し、それらを保護する仮想プライベートネットワークをクラッキングした。2010年までに、英国の暗号解読プログラムであるエッジヒルプログラムは、30のターゲットのVPNトラフィックを解読し、さらに300の目標を設定しました。」^[22]

ブルランの一環として、NSAは「標的が使用する商用暗号化システム、ITシステム、ネットワーク、エンドポイント通信デバイスに脆弱性を挿入する」ことにも積極的に取り組んできた。^[23] ニューヨークタイムズは、乱数ジェネレータDual EC DRBGにNSAのバックドアが含まれており、NSAはその乱数ジェネレータに依存する暗号化を解読できると報じた。^[24] Dual_EC_DRBGは標準が公開されてすぐに安全でない低速の乱数生成器であることが判明し、2007年に潜在的なNSAバックドアが発見され、これらの欠陥のない代替乱数生成器が認定され広く入手可能であったにもかかわらず、RSA Securityは2013年9月まで同社のBSAFEツールキットとData Protection ManagerでDual_EC_DRBGを使い続けました。RSA SecurityはBSAFEに故意にバックドアを挿入したことを否定していますが、2006年と2007年に欠陥が明らかになった後もDual_EC_DRBGを使い続けた理由についてはまだ説明していません。^[25]しかし、2013年12月20日、RSAが乱数生成器をデフォルトとして設定するためにNSAから1000万ドルの支払いを受け取ったと報道されました。^{[26] [27]}漏洩したNSAの文書には、彼らの努力は「巧妙さへの挑戦」であり、「最終的にNSAが標準の唯一の編集者になった」と記されている。

2010年までに、NSAは暗号化されたインターネットトラフィックに対する「画期的な機能」を開発しました。しかし、GCHQの文書は「これらの機能はSigintコミュニティの最も脆弱な機能の1つであり、単純な「事実」をうっかり開示すると、敵対者に警告され、機能が即座に失われる可能性があります」と警告しました。^[22]別の内部文書には、「知る必要はありません」と記載されていました。^[22]ブルース・シュナイアーやクリストファー・ソゴイアンを含む数名の専門家は、 1987年の暗号化アルゴリズムであるRC4に対する攻撃が成功することは、RC4のいくつかの既知の脆弱性を考えると、もっともらしい手段であると推測しています。^{[28]他の人は、NSAが1024ビットの}RSAおよびDiffie-Hellman公開鍵を解読する能力を獲得したと推測しています。^[29]研究者チームは、ディフィー・ヘルマン実装では、いくつかの非一時的1024ビット素数が広く再利用されており、NSAがそれらの素数に対して事前計算を行い、それらを使用してリアルタイムで暗号を解読したことが、NSAの「画期的な能力」を指している可能性が高いと指摘しています。^[30]

ブルラン計画は、NSAがNOBUS政策の下、法を遵守する米国市民とNSAの標的の両方に影響を及ぼす脆弱性を故意に挿入したり秘密にしたりしていると考えられている点で物議を醸している。 ^[31]理論上、NSAには2つの仕事がある。米国に影響を及ぼす脆弱性を防ぐことと、米国を標的に使用できる脆弱性を見つけることである。しかし、ブルース・シュナイアーが主張するように、NSAは脆弱性を発見（または作成）して秘密にしておくことを優先しているようだ。ブルース・シュナイアーは、暗号の強化を担当するグループが、標的の暗号を破ろうとするグループに従属しないように、NSAを解体するよう求めている。^[32]

スノーデンの漏洩により、諜報機関がグーグルとアップルに特定のスマートフォンの暗号化をバイパスするよう法的に命令することで、AndroidやiOSスマートフォンに保存されているデータの暗号化をバイパスできることが広く知られるようになった。2014年頃、これに対する反応として、グーグルとアップルは暗号化を再設計し、技術的にバイパスできないようにし、ユーザーのパスワードを知っている場合にのみロックを解除できるようにした。^{[33] [34]}

オバマ政権のエリック・ホルダー司法長官^[35]を含む様々な法執行当局者は、令状があっても容疑者のデータにアクセスできないのは受け入れられないと強く非難した。最も象徴的な反応の1つは、シカゴ警察署の刑事部長が「Appleは小児性愛者のお気に入りの電話になるだろう」と述べたことである。^[36]ワシントンポストは「スマートフォンユーザーは、有効な捜索令状があれば法律を無視することはできないことを受け入れなければならない」と主張する社説を掲載し、バックドアは望ましくないことに同意した後、令状があればデータのロックを解除できる「ゴールデンキー」バックドアの実装を提案した。^{[37] [38]}

FBIのジェームズ・コミー長官は、スマートフォンの暗号解読の必要性を裏付ける多くの事例を挙げた。興味深いことに、おそらく慎重に選ばれた事例のいずれにおいても、スマートフォンは犯人の特定や逮捕に何ら関係がなく、FBIはスマートフォンの暗号解読の必要性を裏付ける強力な事例を見つけることができなかったようだ。^[39]

ブルース・シュナイアーはスマートフォンの暗号化の権利をめぐる議論を「暗号戦争II」と名付けており^[40]、一方コリー・ドクトロウはこれを「暗号戦争の再来」と呼んでいる^[41]。

米国のカリフォルニア州^[42]とニューヨーク州^[43]の議員らは、解読不可能な暗号化を施したスマートフォンの販売を禁止する法案を提案している。2016年2月現在、法案は可決されていない。

2016年2月、FBIは、カリフォルニア州サンバーナディーノで2015年に起きたテロ攻撃の犯人の1人から回収したiPhone 5cのロックを解除できるよう、Apple社に新しいソフトウェアを作成して電子署名するよう命じる裁判所命令を獲得した。Apple社はこの命令に異議を唱えた。最終的にFBIは第三者を雇ってiPhoneのロックを解除した。FBIとAppleの暗号化紛争を参照。

2016年4月、ダイアン・ファインスタイン上院議員とリチャード・バー上院議員は、一部の人々から「過度に曖昧」と評された法案を提出した。 ^{[44]この法案は、あらゆる形態の}強力な暗号化を犯罪化する可能性がある。^{[45] [46]}

2019年12月、米国上院司法委員会は暗号化と合法的アクセスに関する公聴会を開催し、暗号化されたスマートフォンのストレージに焦点を当てた。^[47]サイラス・ヴァンス・ジュニア地方検事、マット・テイト教授、アップルのエリック・ノイエンシュワンダー、フェイスブックのジェイ・サリバンが証言した。リンジー・グラハム委員長は冒頭の発言で「私たちは皆、プライバシーを保護するデバイスを望んでいる」と述べた。また、法執行機関はデバイス上の暗号化されたデータを読み取ることができるべきであり、必要であれば法案を可決すると脅した。「あなた方はこれを実行する方法を見つけるか、私たちがあなた方のためにこれを実行します。」^[48]

2017年10月、ロッド・ローゼンスタイン司法副長官は、進行中の「ゴーイング・ダーク」問題[ ⁵⁰ ]の解決策として、「責任ある暗号化」^{[49]という婉曲表現で鍵エスクローを求めた。これは、強力な}エンドツーエンド暗号化が広く普及しているメッセンジャー製品にますます追加されるにつれて、盗聴の裁判所命令や警察の措置が無効になっていることを指している。ローゼンスタインは、鍵エスクローは、顧客がパスワードを忘れた場合に暗号化されたデータを回復する方法を提供し、データが永久に失われないようにすることを提案した。法執行の観点からは、これにより裁判官は会社にデータを復号するように指示する捜索令状を発行することができる。エスクローまたは他の暗号化の弱体化がなければ、サービスプロバイダーがこの要求に応じることは不可能である。以前の提案とは対照的に、政府機関ではなく会社による鍵の分散保管は、追加の安全策であると主張されている。

2015年、NSA長官のマイケル・S・ロジャース提督は、暗号化にバックドアではなく「フロントドア」を導入することで、鍵保管をさらに分散化することを提案した。^[51]この方法では、鍵は2つに分割され、1つは政府当局が、もう1つは暗号化製品を担当する企業が保管する。したがって、政府は依然として企業のハーフキーを取得するために捜査令状を必要とするが、企業は政府のハーフキーなしではユーザーのデータにアクセスするために鍵保管を悪用することはできない。専門家は納得しなかった。^{[52] [51]}

2018年、NSAはIoTデバイス向けに「軽量暗号化」、特にサイモン暗号とスペック暗号の使用を推進した。^[53]しかし、これらの暗号をISOで標準化する試みは、暗号専門家委員会による厳しい批判により失敗に終わり、NSAが暗号を解読する方法について非公開の知識を持っているのではないかという懸念が生じた。^[54]

2015年のシャルリー・エブド銃撃事件というテロ攻撃を受けて、元英国首相の デイビッド・キャメロンは、バックドアのない暗号技術を違法化するよう求め、「我々が読むことのできない」通信手段があってはならないと述べた。^{[55] [56]}バラク・オバマ米大統領も、この点でキャメロン首相に同調した。^[57]この行動の呼びかけは、バックドアのない暗号技術が合法かつ利用可能であるという現状に何らかの立法や変化をもたらさなかったようだ。

2020年のインタラクティブ技術の濫用および横行する怠慢の排除（EARN IT ）法は、19人のメンバーからなる国家委員会を定めており、同委員会は、技術プロバイダーが自社のプラットフォーム上の児童性的虐待コンテンツに対する免責（従来は通信品位法第230条により「自動的に」提供されていた）を「獲得」するために従わなければならない一連の「ベストプラクティス」ガイドラインを策定する。支持者はこれをインターネットプラットフォーム上の児童性的虐待コンテンツに対処する方法として提示しているが、暗号化の支持者からは批判されている。なぜなら、委員会が考案した「ベストプラクティス」には、エンドツーエンドの暗号化の使用を控えることが含まれる可能性が高いためである。そのような暗号化では違法コンテンツのスクリーニングが不可能になるからである。^{[58] [59]}

• 暗号の輸入に関する制限
• 法執行機関向け通信支援法
• 人権と暗号化
• 40ビット暗号化