米国からの暗号技術の輸出

米国から他国への暗号技術の輸出は、これまでさまざまなレベルの制限を受けてきました。 ^[2] 第二次世界大戦は、暗号解読と暗号技術が国家安全保障と戦争遂行能力において不可欠な役割を果たす可能性があることを示しました。技術の変化と言論の自由の保護は、暗号技術の輸出に対する規制と制約において競合する要因となっています。

冷戦の初期、米国とその同盟国は、西側諸国の幅広い技術が他国、特に東側諸国の手に渡るのを防ぐため、一連の精巧な輸出管理規制を策定した。「重要」と分類される技術の輸出にはすべて許可が必要だった。西側諸国の輸出管理を調整するために、ココムが組織された。

保護された技術は 2 種類ありました。戦争兵器 (「軍需品」) にのみ関連する技術と、商業用途もある軍民両用技術です。米国では、軍民両用技術の輸出は商務省によって管理され、軍需品は国務省によって管理されていました。第二次世界大戦直後の暗号市場はほぼ完全に軍事用であったため、暗号技術 (技術および機器、そしてコンピューターが現代生活で大きな役割を果たすようになった後は暗号ソフトウェア) は、 1954 年 11 月 17 日に米国軍需品リストに「カテゴリ XI - 雑品」として、後に「カテゴリ XIII - 補助軍事機器」として追加されました。冷戦の西側における暗号の輸出の多国間管理は、ココムのメカニズムを通じて行われました。

しかし、1960 年代になると、金融機関は急速に成長していた有線送金の分野で強力な商用暗号化を必要とし始めました。1975 年に米国政府がデータ暗号化標準を導入したことで、高品質の暗号化の商用利用が一般的になり、輸出管理に関する深刻な問題が生じ始めました。通常、これらの問題は、IBMなどのコンピュータ製造業者とその大企業顧客が個別に輸出許可申請手続きを行うことで対処されました。

暗号化の輸出規制は、パーソナル コンピュータの導入とともに、社会の関心事となりました。Phil ZimmermannのPGP 暗号化ソフトウェアと、1991 年のインターネットでの配布は、暗号化の輸出規制に対する最初の「個人レベル」の大きな挑戦でした。1990年代の電子商取引の成長により、規制緩和を求める圧力がさらに高まりました。VideoCipher II も、DES を使用して衛星テレビの音声を暗号化しました。

1989 年、暗号の非暗号化用途 (アクセス制御やメッセージ認証など) は、商品管轄権により輸出管理から除外されました。[1] 1992 年、暗号の非暗号化用途 (および衛星テレビのデスクランブラー) に対する例外が USML に正式に追加され、NSA とソフトウェア発行者協会の取り決めにより、 40 ビットの RC2およびRC4暗号化は、特別な「7 日間」および「15 日間」の審査プロセス (これにより、国務省から商務省に管理が移行) を伴う商品管轄権を使用して簡単に輸出できるようになりました。この段階では、西側諸国の政府は、暗号化に関しては実際には二重人格でした。政策は、敵が秘密を取得するのを防ぐことだけを気にする軍の暗号解読者によって作成されましたが、その政策は、業界を支援することを仕事とする役人によって商務省に伝えられました。

その後まもなく、NetscapeのSSL技術は、公開鍵暗号方式を使用してクレジットカード取引を保護する方法として広く採用されました。Netscape は、 Web ブラウザの 2 つのバージョンを開発しました。「米国版」は、フルサイズ (通常 1024 ビット以上) のRSA公開鍵と、フルサイズの対称鍵 (秘密鍵) (SSL 3.0 および TLS 1.0 では 128 ビット RC4 または 3DES) の組み合わせをサポートしていました。「国際版」では、有効な鍵の長さがそれぞれ 512 ビットと 40 ビットに短縮されていました ( SSL 3.0 および TLS 1.0 では 40 ビット RC2 または RC4 を使用したRSA_EXPORT )。 ^[3]「米国国内」バージョンの入手は面倒であることが判明したため、米国でもほとんどのコンピュータ ユーザーが「国際」バージョンを購入することになりました。^[4]現在、このバージョンの弱い40 ビット暗号化は、1 台のコンピュータを使用して数日で破ることができます。同じ理由で、 Lotus Notesでも​​同様の状況が発生しました。

ピーター・ユンガー氏やその他の市民の自由を擁護する人々やプライバシー擁護者による法的異議申し立て、米国外での暗号化ソフトウェアの広範な入手可能性、そして脆弱な暗号化に関する悪評が自社の売上と電子商取引の成長を制限しているとの多くの企業の認識により、米国の輸出規制は緩和され、1996年にビル・クリントン大統領が大統領令13026号に署名し、商用暗号化を軍需品リストから商務管理品リストに移管しました。さらに、この命令では、「ソフトウェアは、輸出管理規則の意味で「技術」と見なされたり、扱われたりしてはならない」と規定されています。商品管轄プロセスは商品分類プロセスに置き換えられ、輸出者が 1998 年末までに「キー回復」バックドアを追加することを約束すれば 56 ビット暗号化の輸出を許可するという条項が追加されました。1999 年には、EAR が変更され、56 ビット暗号化 (RC2、RC4、RC5、DES、または CAST に基づく) と 1024 ビット RSA をバックドアなしで輸出できるようになりました。また、これをサポートする新しい SSL 暗号スイート ( 56 ビット RC4 または DES を使用したRSA_EXPORT1024 ) が導入されました。2000 年には、商務省が、商品分類プロセスを経た後にキーの長さの制限を解除できるようにし (ソフトウェアを「小売」として分類するため)、公開されている暗号化ソース コードの例外を追加するなど、暗号化を含む商用ソフトウェアとオープン ソース ソフトウェアの輸出を大幅に簡素化する規則を施行しました。^[5]

2009 年現在^{[アップデート]}、米国からの非軍事用暗号の輸出は、商務省産業安全保障局によって管理されている。^{[6]大量販売製品であっても、特に「}ならず者国家」やテロ組織への輸出に関しては、依然としていくつかの制限が存在する。軍事用暗号化装置、TEMPEST承認の電子機器、カスタム暗号化ソフトウェア、さらには暗号化コンサルティング サービスでさえ、依然として輸出許可が必要である^[6] (pp. 6–7)。さらに、「64 ビットを超える暗号化を伴う大量販売用暗号化商品、ソフトウェア、コンポーネント」の輸出には、BIS への暗号化登録が必要である (75 FR 36494)。楕円曲線アルゴリズムと非対称アルゴリズムの場合、キーの長さの要件はそれぞれ 128 ビットと 768 ビットである。^[7]さらに、他の品目は、ほとんどの国への輸出前に BIS による 1 回限りの審査または BIS への通知が必要となる。^[6]例えば、オープンソースの暗号化ソフトウェアをインターネット上で公開する前にBISに通知する必要がありますが、審査は必要ありません。^[8]輸出規制は1996年以前の基準から緩和されましたが、依然として複雑です。^{[6]他の国、特に}ワッセナーアレンジメントに参加している国^[9]も同様の制限があります。^[10] 2021年3月29日、ワッセナーアレンジメント2019の実施に関する全体決定^[11]が連邦官報に掲載されました。この規則には、EARのライセンス例外ENCセクション740.17の変更が含まれていました^{[12] [13]}

米国の非軍事輸出は、米国連邦規則集(CFR) 第 15 編第 VII 章、C 節 の短縮名である輸出管理規則(EAR) によって規制されています。

軍事用途（指揮、統制、諜報用途を含む）向けに特別に設計、開発、構成、適合、または変更された暗号化アイテムは、米国国務省の米国軍需品リストによって管理されています。

暗号化輸出用語はEARパート772.1で定義されています。^[14]特に：

• 暗号化コンポーネントは、暗号化チップ、集積回路などを含む暗号化商品またはソフトウェア (ソース コードではありません) です。
• 暗号化アイテムには、非軍事用の暗号化商品、ソフトウェア、テクノロジーが含まれます。
• オープン暗号化インターフェースは、製造元またはその代理店の介入、支援、または援助なしに、顧客またはその他の当事者が暗号化機能を挿入できるように設計されたメカニズムです。
• 補助的な暗号化項目は、主にコンピューティングや通信ではなく、デジタル著作権管理、ゲーム、家庭用電化製品、印刷、写真やビデオの録画（ビデオ会議は除く）、ビジネス プロセスの自動化、産業または製造システム（ロボット工学、火災警報、HVACを含む）、自動車、航空、その他の輸送システムなどに使用されるものです。

輸出先は、EAR Supplement No. 1 to Part 740によって4つの国グループ（A、B、D、E）に分類され、さらに細分化されています。^[15]国は複数のグループに属することができます。暗号化の目的では、グループB、D:1、E:1が重要です。

• Bは、暗号化輸出規制が緩和されている国の大規模なリストです。
• D:1は、より厳しい輸出管理の対象となる国々の短いリストです。このリストに含まれる注目すべき国には、中国とロシアが含まれます。
• E:1 は「テロ支援」国の非常に短いリストです (2009 年現在、5 か国 (キューバ、イラン、北朝鮮、スーダン、シリア) が含まれます。以前は 6 か国が含まれており、「テロリスト 6」または T-6 とも呼ばれていました)

EAR第7​​38部補足第1号（商務省国別チャート）には、国別制限の表が掲載されている。^{[16]表の該当行の}規制理由欄にXが記載されている国がある場合、例外が適用できない限り、規制対象品目の輸出にはライセンスが必要となる。暗号化の目的上、以下の3つの規制理由が重要である。

• NS1国家安全保障コラム1
• AT1テロ対策コラム1
• EI暗号化項目は現在NS1と同じです

輸出目的では、各品目は、商務省規制品目リスト（CCL、EARパート774の補足第1号）の助けを借りて、輸出規制分類番号（ECCN）で分類されます。特に：^[6]

• 5A002情報セキュリティのためのシステム、機器、電子アセンブリ、および集積回路。管理理由: NS1、AT1。
• 5A992 5A002 で規制されていない「マスマーケット」暗号化商品およびその他の機器。規制理由: AT1。
• 5B002 5A002、5B002、5D002、または 5E002 として分類される品目の開発または製造のための機器。 管理理由: NS1、AT1。
• 5D002暗号化ソフトウェア。制御理由: NS1、AT1。
  • 5A002、5B002、5D002に分類されるアイテムの開発、製造、または使用に使用される
  • 5E002によって制御されるサポート技術
  • 5A002または5B002によって制御される機器の機能のモデリング
  • 5D002で管理されるソフトウェアの認証に使用される
• 5D992暗号化ソフトウェアは 5D002 によって制御されません。制御理由: AT1。
• 5E002 5A002 または 5B002 で管理される機器、あるいは 5D002 で管理されるソフトウェアの開発、製造、使用のための技術。管理理由: NS1、AT1 。
• 5x992 アイテムの5E992テクノロジー。制御の理由: AT1。

品目は、自己分類することも、BIS から分類 (「レビュー」) を依頼することもできます。一般的な品目が 5A992 または 5D992 分類を取得するには、BIS レビューが必要です。

• バーンスタイン対アメリカ合衆国
• 貿易審査拒否
• 輸出管理
• ユンガー対デイリー
• 暗号の輸入に関する制限
• フリーク
• 暗号戦争

• 暗号法調査
• 産業安全保障局 — 米国の輸出規制の概要は、ライセンスの基本ページでご覧いただけます。
• ホイットフィールド・ディフィーとスーザン・ランドー、「20世紀と21世紀における暗号技術の輸出」。カール・デ・レーウ、ヤン・ベルグストラ編『情報セキュリティの歴史。総合ハンドブック』、エルゼビア、2007年、725ページ
• 暗号化輸出規制。議会向け CRS レポート RL30273。議会調査局、議会図書館。2001 年 2 月 28 日、Wayback Machineにアーカイブ
• 暗号化論争：諜報の側面。議会向け CRS レポート 98-905 F。議会調査局、議会図書館。1998
• 暗号化技術: 議会の問題 CRS 議会向け問題概要 IB96039。議会調査局、議会図書館。2000 年
• 暗号化と自由 2000。暗号化ポリシーに関する国際調査。電子プライバシー情報センター。ワシントン DC。2000 年
• National Research Council、「情報社会の安全確保における暗号化の役割」、National Academy Press、ワシントン DC、1996 年 (全文リンクはページにあります)。
• 暗号化技術の使用と輸出に関する米国政府の規制の変遷 (U) 2016-05-09 にWayback Machineでアーカイブ、マイケル・シュワルツベック、暗号化技術、 1997 年頃、以前は最高機密、2014 年 9 月 10 日に NSA により編集を加えて公開承認、C06122418