RSAセキュリティ

2011年3月17日、RSAは自社の2要素認証製品に対する攻撃を公表した。この攻撃は、Sykipot攻撃、2011年7月のSK Communicationsハッキング、NightDragonシリーズの攻撃と類似していた。^{[ 38 ]} RSAはこれを高度な持続的脅威と呼んだ。^{[ 39 ]}現在、SecurIDは従来の物理トークンよりもソフトウェアトークンとしてより一般的に使用されている。

RSAとNSAの関係は長年にわたって変化してきた。ロイターのジョセフ・メン^{[ 40 ]}とサイバーセキュリティアナリストのジェフリー・カー^{[ 41 ]}は、両者がかつて敵対関係にあったことを指摘している。初期の頃、RSAとその指導者たちは公共利用のための強力な暗号技術の有力な提唱者であったが、NSAとブッシュ政権およびクリントン政権は、その普及を阻止しようとした。

私はほぼ10年間、フォート・ミードの連中と真っ向から対立してきた。この会社（RSA）の成功は、彼らにとって最悪の事態だ。彼らにとって、我々こそが真の敵であり、真の標的なのだ。我々が持っているシステムは、彼らが最も恐れているものだ。もしアメリカがRSAを標準として採用すれば、真に国際的で、相互運用可能で、破られることのない、使いやすい暗号化技術が実現するだろう。そして、これらすべてが相乗的にNSAの利益を脅かすため、彼らはパニックに陥っているのだ。

1990年代半ば、RSAとビドゾスは、米国政府が通信を解読できるバックドア付きの暗号化チップであるクリッパーチップに対する「激しい」世論キャンペーンを主導した。クリントン政権は通信会社に自社の機器にこのチップを使用するよう圧力をかけ、このチップを使用する製品の輸出規制を緩和した。（このような規制により、RSA Securityはソフトウェアを海外に販売することができなかった。）RSAは、市民自由擁護者などとともにクリッパーチップに反対し、とりわけ、沈没する帆船と「クリッパーを沈めろ！」という言葉が書かれたポスターを配布した^{[ 43 ]。RSA} Securityはまた、広く使用されているDES暗号化がNSAのような資金力のある組織によって解読可能であることを示すためにDESチャレンジを作成した。

RSAのエンジニアリング部門を2005年まで率いていたビクター・チャンによれば、ビドゾスが1999年にCEOを辞任した後、関係は敵対的なものから協力的なものへと変化した。「私が入社した当時、研究所には10人しかおらず、NSAと戦っていました。その後、全く異なる会社になりました。」^{[ 43 ]}例えば、RSAは2004年にNSAから1000万ドルを受け取り、NSAが設計したDual EC DRBG乱数発生器をBSAFEライブラリで使用する契約を結んだと報じられているが、Dual_EC_DRBGは品質が悪く、バックドアが仕掛けられている可能性もあるという多くの兆候があったにもかかわらずである。^{[ 44 ] [ 45 ]} RSA Securityは後にDual_EC_DRBGの窃盗バックドアについて声明を発表した。

2004年、業界全体でより新しく強力な暗号化方式を開発する取り組みの一環として、BSAFEツールキットのデフォルトとしてDual EC DRBGを採用することを決定しました。当時、NSAは暗号化を弱体化させるのではなく強化するというコミュニティ全体の取り組みにおいて、信頼できる役割を担っていました。このアルゴリズムはBSAFEツールキットで利用可能な複数の選択肢のうちの1つに過ぎず、ユーザーは常にニーズに最適なものを自由に選択できました。NIST標準として認められ、FIPS準拠にも役立つことから、BSAFEツールキットのオプションとして引き続きこのアルゴリズムを使用しました。2007年にこのアルゴリズムに関する懸念が浮上した際も、私たちは引き続きNISTをその議論の仲裁者として頼りにしました。2013年9月にNISTがこのアルゴリズムの今後の使用を推奨しないという新たなガイダンスを発表した際、私たちはそのガイダンスに従い、その推奨事項を顧客に伝え、メディアで変更についてオープンに議論しました。

2014 年 3 月、ロイター通信は、RSA もNSA が提唱する拡張ランダム標準を採用したと報じた。その後の暗号解析により、拡張ランダムはセキュリティを一切向上させないことが判明し、著名な標準化団体であるインターネット技術タスクフォース (IETF)によって却下された。しかし、拡張ランダムは、Dual_EC_DRBG バックドアの鍵を持つ攻撃者 (おそらく NSA のみ) にとって、Dual_EC_DRBG の NSA バックドアを数万倍高速化させた。これは、拡張ランダムの拡張nonceによって Dual_EC_DRBG の内部状態の一部を推測しやすくなったためである。拡張ランダムなしで解読が困難だったのは RSA Security のJavaバージョンのみで、これは、例えば RSA Security のC 言語版では Dual_EC_DRBG 出力のキャッシュによって内部状態が既に十分に高速に決定されていたためである。そして実際、RSA Security は Dual_EC_DRBG の Java 実装でのみ拡張ランダムを実装した。^{[ 47 ] [ 48 ]}

2004年から2013年にかけて、RSAはBSAFEツールキットとデータ保護マネージャーというセキュリティソフトウェアを出荷したが、これにはデフォルトで暗号的に安全な擬似乱数生成器であるDual EC DRBGが含まれていた。このソフトウェアには後に、国家安全保障局（NSA）の秘密の盗聴バックドアが含まれている疑いが持たれた。このバックドアによって、これらのツールで暗号化されたデータは、バックドアの秘密鍵を保有していたNSAにとって、はるかに簡単に解読できた可能性がある。科学的に言えば、このバックドアは盗聴を利用しており、本質的には、1997年にアダム・ヤングとモティ・ヤングによって発表されたディフィー・ヘルマン盗聴攻撃の一例である。^{[ 49 ]}

RSA Security の従業員は、少なくとも Dual_EC_DRBG にバックドアが含まれている可能性があることを認識していたはずです。従業員のうち 3 名は、2000 年代初頭に Dual_EC_DRBG が検討のために提出された ANSI X9F1 ツール標準およびガイドライン グループのメンバーでした。^{[ 50 ]} Dual_EC_DRBG を含むNIST SP 800-90A規格の共著者である John Kelsey 氏によると、乱数発生器にバックドアが含まれている可能性があるという可能性は、「ANSI X9 会議で最初に提起された」とのことです。^{[ 51 ]} 2005 年 1 月、暗号化会社Certicomの従業員 2 名(彼らも X9F1 グループのメンバーでした) は、NSA のものと同一の Dual_EC_DRBG のバックドアを記述した特許出願書を作成しました。^{[ 52 ]}この特許出願書には、バックドアを無効化する 3 つの方法も記載されていました。これらのうち2つ、Dual_EC_DRBGで使用される任意の2つの楕円曲線点PとQが独立して選択されることを保証すること、および出力長を短くすること、がオプションとして標準に追加されたが、NSAのバックドア付きバージョンのPとQおよび長い出力長は標準のデフォルトオプションのままだった。ケルシーは、実際に独自のバックドアなしのPとQを生成した実装者は知らないと述べており^{[ 51 ]}、出力長を短くした実装の報告はない。

それにもかかわらず、NISTは2006年のNIST SP 800-90A規格にDual_EC_DRBGを組み込み、デフォルト設定でバックドアを有効にした。これは主にNSA職員の要請によるもので、^{[ 45 ]} RSA Securityが乱数発生器を早期に使用したことをその組み込みの根拠として挙げていた。^{[ 43 ]}また、この規格は、バックドアとは無関係な問題であるCSPRNGが予測可能であるという問題も解決しなかった。この問題はGjøsteenが2006年初頭に指摘しており、GjøsteenはDual_EC_DRBGを暗号学的に健全ではないと評した。^{[ 53 ]}

ANSI 標準化グループのメンバーであり、マイクロソフトの従業員であるダン・シュモウとニールス・ファーガソンは、 2007 年にバックドアについて公開プレゼンテーションを行った。^{[ 54 ]} シュモウとファーガソンのプレゼンテーションについて、著名なセキュリティ研究者であり暗号学者でもあるブルース・シュナイアーは、NSA のバックドアの可能性を「かなり明白」と呼び、一般的な品質の悪さとバックドアの可能性によって誰も使用しないであろう Dual_EC_DRBG を含めるよう NSA がわざわざ働きかけた理由を疑問視した。^{[ 45 ]}スノーデンによるリークまで、RSA Security が 2004 年に一部の製品でこれをデフォルトにしていたことは一般には知られていなかったようだ。^{[ 45 ]}

2013年9月、ニューヨーク・タイムズはスノーデンのリークに基づき、NSAがブルラン計画の一環として「標的が使用する商用暗号化システム、ITシステム、ネットワーク、エンドポイント通信デバイスに脆弱性を挿入する」作業を行っていたことを明らかにした。タイムズ紙が報じたところによると、これらの脆弱性の1つがDual_EC_DRBGバックドアであった。^{[ 55 ]} Dual_EC_DRBGへの注目が再び高まる中、RSA SecurityのBSAFEがデフォルトでDual_EC_DRBGを使用していたことが指摘されたが、これはこれまで広く知られていなかった。

ニューヨーク・タイムズが記事を掲載した後、RSA SecurityはユーザーにDual_EC_DRBGの使用をやめるよう勧めたが、バックドアを意図的に挿入したことは否定した。 ^{[ 44 ] [ 56 ]} RSA Securityの担当者は、欠陥が明らかになった後、なぜ疑わしい乱数生成器を削除しなかったのか、^{[ 44 ] [ 56 ]}また、NISTが標準に追加した、提案され後に検証されたバックドアを無効化する単純な緩和策を実装しなかった理由について、ほとんど説明を拒否している。^{[ 44 ]}

2013年12月20日、ロイターのジョセフ・メン記者は、NSAが2004年にRSA Securityに1000万ドルを秘密裏に支払い、BSAFEのデフォルトのCSPRNGをDual_EC_DRBGに設定させたことを報じた。同記事は、元RSA Security社員の「取引は純粋な技術者ではなく経営陣によって処理されたため、警鐘は鳴らなかった」という発言を引用している。^{[ 43 ]} CNETのインタビューを受けたシュナイアー氏は、1000万ドルの取引を賄賂だと非難した。^{[ 57 ]} RSAの幹部は、「RSA製品を弱体化させる意図で契約を結んだり、プロジェクトに関与したりしたことはない」と回答した。^{[ 58 ]}メン記者は自身の記事を擁護し、^{[ 59 ]}メディア分析では、RSAの回答は否定ではない否定であり、メン記者の記事にはなかった主張として、同社幹部が取引に同意した時点でバックドアの存在を知っていたことを否定しただけだと指摘した。^{[ 60 ]}

報道を受けて、数名の業界専門家がRSAの2014年RSAカンファレンスでの講演をキャンセルした。^{[ 61 ]}その中には、 F-Secureのフィンランド人研究者であるミッコ・ヒッポネン氏も含まれており、RSAがNSAからの1000万ドルの支払いを否定したことを疑わしいと指摘した。^{[ 62 ]}ヒッポネン氏は、報道を受けて急遽開催されたカンファレンス「TrustyCon」で、「マルウェア作成者としての政府」と題した講演を行う意向を発表した。TrustyConはRSAカンファレンスと同じ日に、会場から1ブロック離れた場所で開催される予定である。^{[ 63 ]}

2014年のRSAカンファレンスで、元^{RSAセキュリティ執行会長のアート・コヴィエロ氏は、} RSAセキュリティがDual_EC_DRBGを使い続けるという選択を擁護し、「2007年に提起された懸念に正当性がある可能性が出てきたのは、2013年にNISTが問題を認めた後だった」と述べた。^{[ 65 ]}