強力な暗号化

強力な暗号または暗号的に強いとは、正しく使用すれば、政府機関を含むあらゆる盗聴者に対して非常に高い（通常は克服できない）レベルの保護を提供する暗号アルゴリズムを指す一般的な用語です。 ^{[1]強力な暗号と（}破られる）弱い暗号の境界線は、ハードウェアと暗号解読技術の改良により常に変化するため、正確な定義はありません。^{[2]これらの改良により、かつては}NSAのみが利用可能だった機能が、最終的には熟練した個人の手に届くようになりました。^[3]そのため、実際には暗号セキュリティには 2 つのレベルしかありません。「妹がファイルを読むのを阻止する暗号と、主要政府がファイルを読むのを阻止する暗号」（ブルース・シュナイアー）です。^[2]

強力な暗号化アルゴリズムは、高いセキュリティ強度を持ち、実用上は通常、鍵のビット数で定義されます。たとえば、米国政府は、暗号化の輸出管理を扱う際に、1999年時点で、鍵長が56ビットを超える対称暗号化アルゴリズムまたはその公開鍵相当物^{[4][アップデート]}の実装は強力であるとみなし、したがって潜在的に輸出許可の対象となりました。^[5]アルゴリズムが強力であるためには、十分に長い鍵を持ち、既知の数学的弱点がない必要があります。これらの弱点を利用すると、鍵のサイズが実質的に小さくなるためです。21世紀初頭、強力な対称暗号化アルゴリズムの一般的なセキュリティ強度は128ビットです（これよりわずかに低い値でも強力ですが、通常、より小さな鍵サイズを使用しても技術的な利点はほとんどありません）。^{[5] [更新が必要]}

暗号方式の攻撃耐性を証明するのは複雑な問題であり、できれば公開フォーラムでの広範なテストとレビューが必要です。優れたアルゴリズムとプロトコルが必要です (同様に、強固な建物を建設するには優れた材料が必要です)。しかし、優れたシステム設計と実装も必要です。「強力なアルゴリズムとプロトコルを使用して、暗号的に弱いシステムを構築することは可能です」(建設に優れた材料を使用しても、堅固な構造が保証されないのと同じです)。多くの実際のシステムは、強力な暗号が適切に使用されていない場合、たとえばランダムなnonceが再利用されると、脆弱であることが判明します^[6]成功した攻撃にはアルゴリズムがまったく関係ない場合もあります。たとえば、キーがパスワードから生成される場合、弱いパスワードを推測するのは簡単で、暗号プリミティブの強度に依存しません。^[7]たとえば、パスワードとハードウェア トークンを同僚と共有すると、ユーザーは全体像の中で最も弱いリンクになる可能性があります。^[8]

強力な暗号には多額の費用がかかることから、当初は政府や軍事機関に限られていました。^[9] 20世紀半ばまでは暗号化のプロセスに多くの人手が必要で、（復号を妨げる）エラーも非常に多かったため、暗号化できたのは書面による情報のごく一部だけでした。^[10]特に米国政府は、1960年代まで米国における暗号の開発と使用の独占を維持できました。^[11] 1970年代には、強力なコンピュータの利用可能性が高まり、非機密扱いの研究成果（データ暗号化標準、ディフィー・ヘルマンおよびRSAアルゴリズム）が生まれたことで、強力な暗号が民間でも利用できるようになりました。^[12] 1990年代半ばには、強力な暗号に関する知識とツールが世界中で普及しました。^[12] 21世紀までに技術的な制限はなくなりましたが、通信の大部分は依然として暗号化されていませんでした。^[10]同時に、強力な暗号システムを構築し運用するコストは、弱い暗号システムの場合とほぼ同じになりました。^[13]

コンピュータの使用は、有名なブレッチリー・パークのコロッサスで暗号解読のプロセスを変えました。しかし、デジタルコンピュータと電子機器の発達が暗号解読に役立ったのと同様に、はるかに複雑な暗号も可能になりました。通常、高品質の暗号を使用すると非常に効率的ですが、それを解読するには桁違いの労力が必要になります。そのため、暗号解読は非常に非効率的で非実用的になり、事実上不可能になっています。

この「暗号的に強い」という用語は、暗号化 アルゴリズムを説明するときによく使用され、他のアルゴリズム（暗号的に弱い）と比較して、攻撃に対する耐性が高いことを意味します。ただし、ハッシュや一意の識別子とファイル名の作成アルゴリズムを説明するときにも使用できます。たとえば、Microsoft .NET ランタイム ライブラリ関数 Path.GetRandomFileName の説明を参照してください。^[14]この場合、この用語は「推測が困難」を意味します。

暗号化アルゴリズムは、解読不可能 (その場合、最も強力) であることが意図されていますが、解読可能な場合 (その場合、最も弱い) もあるため、慣用句が示唆するような強度の連続性は原理的に存在しません。つまり、アルゴリズム A はアルゴリズム B よりも強力で、アルゴリズム B はアルゴリズム C よりも強力、というように続きます。暗号解読攻撃には多くの種類があり、特定のアルゴリズムでは、ある攻撃を使用する方が他の攻撃よりも解読に多くの作業が必要になる可能性が高いため、状況はさらに複雑になり、単一の強度メトリックにまとめることは困難です。

解読不可能な暗号化システムはワンタイム パッドのみ知られていますが、ワンタイム パッドを侵害されることなく交換することが困難なため、一般的に使用することはできません。そのため、あらゆる暗号化アルゴリズムは、完璧なアルゴリズムであるワンタイム パッドと比較することができます。

この用語が（ゆるく）使用される通常の意味は、特定の攻撃、ブルート フォースキー サーチについてです。特に、この分野の初心者向けの説明ではそうです。確かに、この攻撃（キーがランダムに選択されたと常に想定）では、使用されるキーの長さに応じて耐性が連続的に変化します。しかし、それでも 2 つの大きな問題があります。多くのアルゴリズムでは、異なる時間に異なる長さのキーを使用できますが、どのアルゴリズムでも、可能な限り完全なキー長を使用できない場合があります。したがって、BlowfishとRC5 は、複数のキー長を具体的に考慮して設計されたブロック暗号アルゴリズムであり、ブルート フォース キー サーチに関して特に強力であるとは言えません。さらに、米国の輸出規制では、輸出可能な暗号化製品のキー長が制限されており、1980 年代と 1990 年代のいくつかのケース（たとえば、Lotus Notesの輸出承認の有名なケース）では、部分的なキーのみが使用され、それらの（輸出）バージョンのブルート フォース攻撃に対する「強度」が低下しました。ほぼ同じことが米国外でも起こりました。たとえば、GSM携帯電話規格の複数の暗号化アルゴリズムの場合です。

この用語は、あるアルゴリズムが暗号化や情報セキュリティのタスクに適しているだけでなく、暗号解読にも耐性があり、セキュリティ上の弱点がないか、または少ないことを伝えるためによく使用されます。タスクは多岐にわたり、次のようなものが含まれます。

• ランダム性を生成する
• データの暗号化
• データの整合性を保証する方法を提供する

暗号的に強力であるということは、説明されている方法がある程度成熟しており、理論上および/または実践上、さまざまな種類の体系的な攻撃に対する使用が承認されていることを意味すると思われます。実際、その方法は、伝達される情報 (および情報の背後にあるもの) を有効な期間保護するのに十分な期間、それらの攻撃に耐えることができます。しかし、この分野の複雑さと繊細さのため、どちらも当てはまらないことはほとんどありません。そのような保証は実際には利用できないため、それが可能であることを暗示する言葉遣いは、一般的に誤解を招くことになります。

進歩（例えば、暗号解読理論や単に手頃なコンピュータ容量の進歩）によって、アルゴリズムに対する何らかの攻撃方法を成功させるために必要な労力が軽減される可能性があるため、不確実性は常に存在します。

さらに、暗号化アルゴリズムを実際に使用するには、暗号システム内にカプセル化する必要があり、そうすることで、アルゴリズムの欠陥によるものではない脆弱性がしばしば生じます。たとえば、基本的にすべてのアルゴリズムはキーのランダムな選択を必要とし、そのようなキーを提供しない暗号システムは、使用される暗号化アルゴリズムの攻撃耐性に関わらず、攻撃の対象となります。

暗号化の広範な使用は監視のコストを増大させるため、政府の政策は強力な暗号の使用を規制することを目指している。^[15] 2000年代には、強力な暗号化を使用せず、要求されたデータを政府に提供しないグローバルソーシャルメディアプラットフォームを経由する通信の割合が増加し続けたため、暗号化の監視機能への影響は制限された。^[16]マーフィーは、急速に進化する技術に追従できるほど政府の権限が広く、かつ国民と監督機関が法律の将来の使用を理解できるほどに狭い、という立法上のバランスを取る必要があると述べている。^[17]

暗号の利用可能性の拡大に対する米国政府の当初の対応は、暗号研究を原子力研究と同様に扱うこと、つまり「機密扱い」とし、研究結果の普及を政府が法的に管理することだった。しかし、これはすぐに不可能であることが判明し、取り組みは展開（米国内での暗号の展開の禁止は真剣に検討されていなかったため、輸出）の管理に切り替えられた。^[18]

米国の輸出管理は歴史的に2つの方法を採用している。^[19]

• 軍事品目（「軍需品」と指定されているが、実際には米国軍需品リストの品目はこの言葉の一般的な意味とは一致しない）。軍需品の輸出は国務省によって管理されている。軍需品に対する規制は非常に厳しく、個別の輸出許可証には製品と実際の顧客が指定されている。
• 軍民両用品（「商品」）は、過度な事務手続きなしに商業的に入手可能である必要があるため、仕向地によっては、民間顧客への販売について広範な許可が与えられる場合があります。軍民両用品のライセンスは、商務省によって提供されます。軍需品リストから商品ステータスに品目を移行するプロセスは、国務省によって処理されます。

暗号の元々の用途はほぼ軍事目的であったため、軍需品リストに入れられました。民間用途の増加に伴い、軍民両用暗号は暗号の強度によって定義され、強力な暗号化は銃と同様に軍需品のままとなりました（小火器は軍民両用ですが、大砲は純粋に軍事価値があります）。^[20]この分類には明らかな欠点がありました。大手銀行はおそらく軍事施設と同じくらいシステム的に重要であり、^[20]強力な暗号コードの公開に対する制限は憲法修正第1条に反するため、1993年にクリッパーチップ（米国政府が特別な復号鍵をエスクローで保管）で実験した後、1996年にほぼすべての暗号アイテムが商務省に移管されました。^[21]

EUの立場は、米国と比較して、常にプライバシー重視の傾向を強めてきた。特に、EUは1997年に鍵預託の考え方を却下した。欧州連合サイバーセキュリティ機関（ENISA）は、バックドアは正当な監視には効果的ではないが、デジタルセキュリティ全般に大きな危険をもたらすとの見解を示している。^[15]

ファイブアイズ（ブレグジット後）は、セキュリティとプライバシーの問題に関して同様の見解を持つ国家のグループです。このグループは、合法的な傍受に関する世界的な議題を推進するのに十分な影響力を持っている可能性があります。このグループの取り組みは完全に調整されているわけではありません。たとえば、2019年にFacebookにエンドツーエンドの暗号化を実装しないよう要求しましたが、カナダとニュージーランドのどちらからも支持されず、規制には至りませんでした。^[17]

ロシアの大統領と政府は 90 年代に、政府機関による認証されていない暗号システムの使用を正式に禁止する法令をいくつか発布した。1995 年の大統領令では、適切なライセンスを持たない個人による暗号システムの製造および販売を禁止しようとしたが、1993 年のロシア憲法に反する疑いがあり、法律そのものではなかったため、一切施行されなかった。^{[22] [23] [24] [注 1]} 2012 年に発布された法令第 313 号では、以前の法令をさらに修正し、暗号システムを組み込んだ製品の製造および配布を許可し、ライセンスは不要としたが、いくつかの制限が宣言されている。^{[25] [26]} フランスはこの分野でかなり厳しい規制を課していたが、近年緩和している。^[要出典]

• PGPは一般に強力な暗号化の例と考えられており、ほとんどの一般的なオペレーティング システムとさまざまなハードウェア プラットフォームで実行できるバージョンがあります。PGP 操作のオープン ソース標準はOpenPGPであり、GnuPG はFSFによるその標準の実装です。ただし、従来の PGP の IDEA 署名キーは 64 ビット長しかないため、衝突攻撃の影響を受けません。そのため、OpenPGP ではSHA-2ハッシュ関数と AES 暗号化を使用します。
• AESアルゴリズムは、オープンで多数のテストを含む長い選択プロセスを経て選択されたため、強力であると見なされています。
• 楕円曲線暗号は、グラフィカルな幾何学関数に基づいた別のシステムです。
• インターネット取引のセキュリティ保護に使用されるTLSプロトコルの最新バージョン(バージョン 1.3 )は、一般的に強力であると考えられています。以前のバージョンには、 POODLEなどの実証された攻撃を含むいくつかの脆弱性が存在します。さらに悪いことに、一部の暗号スイートは、1996 年以前の米国規制の下で輸出を可能にするために、40 ビットの有効キーを使用するように意図的に弱められています。

暗号的に強力ではないと見なされる例には次のものがあります。

• DESは56 ビットのキーを使用して徹底的な検索による攻撃を可能にします。
• トリプルDES（3DES / EDE3-DES）は「SWEET32バースデー攻撃」の対象となる可能性がある^[27]
• 設計上の欠陥により、さまざまな攻撃を受ける有線等価プライバシー。
• SSL v2 および v3。TLS 1.0 および TLS 1.1 も、設計上依然として存在する不可逆的な欠陥と、暗号用の楕円ハンドシェイク (EC) が提供されず、最新の暗号化技術や CCM/GCM 暗号モードがないため、現在は非推奨となっています [RFC7525 を参照]。TLS1.x は、Web フロントエンドでの商用ビジネス/銀行実装向けに PCIDSS 3.2 によって廃止も発表されています。TLS1.2 と TLS 1.3 のみが許可され、推奨されており、最新の暗号、ハンドシェイク、暗号モードのみを使用する必要があります。
• MD5およびSHA-1ハッシュ関数は、衝突攻撃の影響を受けなくなりました。
• RC4ストリーム暗号。
• ほとんどのDVD-Videoディスクを暗号化するために使用される40 ビットコンテンツ スクランブル システム。
• ほぼすべての古典的な暗号。
• エニグマ暗号機などのほとんどの回転式暗号。
• DHE/EDHE は、サーバー上で既知のデフォルトの素数値を使用/再利用する場合、推測可能/弱い

• Vagle, Jeffrey L. (2015)。「秘密の暗号化：権力、信頼、集団監視の憲法上のコスト」インディアナ法律ジャーナル。90 ( 1 )。
• ラインホールド、アーノルド G. (1999 年 9 月 17 日)。「強力な暗号化：世界的変化の潮流」。Cato 研究所ブリーフィング ペーパー No. 51。Cato研究所。
• Diffie, Whitfield、 Landau , Susan (2007)。「20世紀と21世紀における暗号技術の輸出」。情報セキュリティの歴史。Elsevier。pp. 725–736。doi :10.1016 / b978-044451608-4/50027-4。ISBN 978-0-444-51608-4。
• マーフィー、シアン C (2020)。「暗号戦争の神話：暗号化された通信への国家アクセスの現実」。コモンローワールドレビュー。49 (3–4)。SAGE出版物：245–261。doi ：10.1177/1473779520980556。hdl ：1983 /  3c40a9b4-4a96-4073 -b204-2030170b2e63。ISSN 1473-7795。
• Riebe, Thea; Kühn, Philipp; Imperatori , Philipp; Reuter, Christian (2022-02-26). 「米国の安全保障政策：暗号の二重使用規制と監視への影響」（PDF）。European Journal for Security Research。7 (1). Springer Science and Business Media LLC: 39–65. doi :10.1007/s41125-022-00080-0. ISSN  2365-0931.
• フェイゲンバウム、ジョアン (2019-04-24). 「暗号化と監視」。Communications of the ACM . 62 (5). Association for Computing Machinery (ACM): 27–29. doi : 10.1145/3319079 . ISSN  0001-0782.
• Schneier, Bruce (1998). 「暗号化におけるセキュリティの落とし穴」(PDF) . 2024 年3 月 27 日閲覧。

• 40ビット暗号化
• 暗号セキュリティの概要
• 暗号の輸出
• 暗号化ライブラリの比較
• FBIとAppleの暗号化論争
• ハッシュ関数のセキュリティ概要
• セキュリティレベル