（2009年度）

CRYPTREC 活動の概要と今後について
2010年3月2日
暗号技術検討会座長
暗号方式委員会委員長
今井秀樹(中央大学)
1

CRYPTREC 活動の概要

2

暗号評価 ーCRYPTRECー• Cryptography Research and Evaluation Committees （暗号技術検討会 暗号技術評価委員会等）の略 しかし その号技術検討会，暗号技術評価委員会等）の略．しかし，その後，プロジェクト名としても使われる• 電子政府に利用可能な暗号技術を提示– 電子政府システムに適用可能な暗号技術を公募– 応募暗号技術および事務局提案暗号技術を技術的・専門的見地から評価– 安全性，実装性等の特徴を分析・整理したリスト（電子政府推奨暗号リスト）を作成• 現在は電子政府推奨暗号の安全性等の監視
現在は電子政府推奨暗号の安全性等の監視，暗号モジュ暗号モジュー
ルの評価基準等を検討
暗号技術標準化 貢献• 暗号技術標準化へ貢献• 暗号技術に対する信頼感醸成• 活動の公平性
活動の公平性・透明性を確保
透明性を確保3

電子政府推奨暗号• 電子政府システムを対象– 国民との行政サービスに関連するシステムを対象（政府内で合意）– 地方公共団体についても考慮– 民間への浸透も視野に入れる
民間 の浸透も視野に入れる• 適用期間10年程度（2013年に改訂予定）• ＣＲＹＰＴＲＥＣで安全性監視・維持• 国際標準との整合性– ISO/IEC,NESSIE,NIST(AES）などとの協力
ISO/IEC NESSIE NIST(AES）などとの協力• 使いやすい暗号– システム調達のためのガイドブック– 広報・啓発• 実装も考慮⇒JCMVP
4

2002年度のCRYPTREC体制（座長：今井秀樹）
座
今 秀樹

暗号技術検討会(事務局：総務省，経済産業省)（委員長：今井秀樹）
長① 暗号に関する政策検討② 暗号に関する政府への助言③ 暗号技術の要件抽出④ 暗号技術の普及促進

暗号技術評価委員会(事務局：情報処理振興事業協会 通信・放送機構)(事務局：情報処理振興事業協会，通信放送機構)① 暗号技術の評価② 検討会に対する技術的助言③ 暗号技術評価手法の検討（委員長：金子敏信）
共通鍵暗号評価小委員会（委員長：佐々木良一）

暗号技術要件調査WG（2001年度）
暗号調達ガイドブック
作成WG （2002年度）（委員長：松本勉）
公開鍵暗号評価小委員会
5

リスト策定までの活動• 2000年6-7月 暗号技術公募• 2000年8-01年3月
2000年8 01年3月 暗号技術評価（2段階）• 2000年10月 暗号技術シンポジウム• 2001年4月 暗号技術評価報告会(2000年度)• 2001年8-9月 暗号技術公募• 2001年8-02年3月 暗号技術評価（2段階）• 2002年1月
暗号技術評価ワークショップ• 2002年4月
暗号技術評価報告会(2001年度)• 2002年4-11月 詳細評価
• 2002年10月‐03年1月 リスト作成• 2003年2月 電子政府推奨暗号リスト公表• 2003年5月
暗号技術評価報告会(2002年度)

6電子政府推奨暗号リスト

7電子政府推奨暗号リスト注(注1) SSL3.0/TLS1.0 で使用実績があることから当面の使用を認める。
(注2) KEM（Key Encapsulation Mechanism）-DEM(Data EncapsulationMechanism)構成における利用を前提とする。
(注3) 新たな電子政府用システムを構築する場合、より長いブロック長の暗号が使用できるのであれば、128 ビットブロック暗号を選択することが望ましい。
(注4)) 3-key(注3 ey Triple
p e DESS は、以下の条件を考慮し、当面の使用を認める。
1) FIPS46-3 として規定されていること
2) デファクトスタンダードとしての位置を保っていること((注5)) 128-bit RC4 は、SSL3.0/TLS1.0 以上に限定して利用することを想定している。なお、リストに掲載されている別の暗号が利用できるのであれば、そちらを使用することが望ましい。
(注6) 新たな電子政府用システムを構築する場合、より長いハッシュ値のものが使用できるのであれば、256ビット以上のハッシュ関数を選択することが望ましい。ただし、公開鍵暗号での仕様上、利用すべきハッシュ関数が指定されている場合には、この限りではない。
(注7)
注 擬似乱数生成系は、その利用特性上、インタオペラビリティを確保する
擬似乱数生成系は そ 利用特性上 イ タオペ ビを確保する
必要性がないため、暗号学的に安全な擬似乱数生成アルゴリズムであれば、どれを利用しても基本的に問題が生じない。したがって、ここに掲載する擬似乱数生成アルゴリズムは「例示」である
乱数生成アルゴリズムは「例示」である。
8

2003～2008年度CRYPTREC体制
年度
体制（座長：今井秀樹）

暗号技術検討会
暗技(事務局：総務省，経済産業省)（委員長：今井秀樹）（委員長今井秀樹）（委員長：松本勉）（委員長松本勉）

暗号技術監視委員会

暗号モジュール委員会(事務局：NICT， IPA)

(事務局：IPA, NICT)(１) 電子政府推奨暗号の監視(２) 暗号アルゴリズム等を主な対象とすする調査・検討
査 検(３) 電子政府推奨暗号リストの改訂に関する調査・検討(１) 暗号モジュール評価基準及び試験基準の作成(２) 暗号実装関連技術を主な対象とする調査・検討

IDベース暗号WG
リストガイドWG
IPA:独立行政法人情報処理推進機構

電力解析実験WG
NICT:独立行政法人情報通信研究機構

9電子政府におけるリストの位置• 2003年2月 行政情報システム関係課長連絡会議
において可能な限り電子政府推奨暗号リストの暗号を利用することに合意（ 各府省の情報システム調達を利用することに合意（「各府省の情報システム調達における暗号の利用方針」）．
• 2003年4月 CRYPTREC新体制発足（暗号技術監視委員会，暗号モジュール委員会の設置）• 2005年12月 情報セキュリティ統一基準（政府機関の情報セキュリティ対策のための統一基準）において可能な限り電子推奨暗号リストの暗号を使用することが基本遵守事項（保護すべき情報 情報システことが基本遵守事項（保護すべき情報・情報システムにおいて必須として実施すべき対策事項）に．
10

その後の活動• 監視活動– RSA1024の安全性の検討– ハッシュ関数の脆弱性の調査・警告
シ 関数の脆弱性の調査 警告• MD5に関する警告• SHA-1に関する脆弱性情報の周知– 暗号の世代交代の指針の提示• 暗号実装の評価– JCMVP構築• リスト改訂
11

SHA 1とRSA1024の危殆化対策
SHA-1• CRYPTRECは，SHA-1について，リストでは条件付きで使用を認めているが，2004年以降のハッシュ関数に対する攻撃法の進展により，2005年からSHA-1の危殆化の警告を発している．
発している• CRYPTRECは，2006年にRSA1024が2010年から2020年の間に解読される可能性を示し，2007年のCRYPTRECガイドブックでは2048ビット以上の鍵を用いることを推奨している．
いる12ハッシュ関数の危殆化• ハッシュ関数への攻撃の進歩ԟ 2004年8月，X. Wangらにより MD4, MD5, HAVAL-128,
RIPEMD，ＳＨＡ-0に対し，衝突を実際的な時間で求め得る とが示された（中国内 はることが示された（中国内では1997年に発表）
年に発表）
ԟ 2005年2月，ＳＨＡ-1の衝突も数年程度の計算で求め得るとの報告があ たるとの報告があった。
ԟ まだ衝突は見つかっていない。
ԟ その後も攻撃法は進歩し，MD5を用いるシステムは現実その後も攻撃法は進歩し MD5を用いるシステムは現実的脅威にさらされている．
ԟ SHA-1についても、注意深く監視する必要がある。
SHA 1についても 注意深く監視する必要がある
ԟ これに対し，NISTは早期にSHA-2（SHA-224, 256, 384,512)への移行を勧めている
13

RSA1024の危殆化

14（CRYPTREC Report ２００６より）

CRYPTRECの波及効果- JCMVPの設立 2002年度暗号技術検討会報告•暗号技術の実装の安全性を確保が必要•暗号モジュールの安全性評価基準の作成が急務

FIPS
140-2

2003年度～
年度
暗号モジュール委員会
暗号ジ委員会•暗号モジュールに対するセキュリティ要件の検討•FIPS 140-2をベースとして検討
ISO/IEC
19790

JIS X 19790
暗号モジュール試験及び認証制度（JCMVP)

15

日本版 CMVP（ＪＣＭＶＰ）• CMVP: Cryptographic Module Validation
Program （暗号モジュール試験及び認証制度）• 暗号アルゴリズムはCRYPTRECリスト等による• FIPS140-2， ISO/IEC 19790 に基づく適合試験• 2007年4月に開始– 認証機関はIPA– 試験機関はIPA，（株）電子商取引安全研究所評価センター，（財）日本品質保証機構関西試験センター– 認定機関は（独）製品評価技術基盤機構（NITE）• FIPS140-3制定中– CRYPTREC等の研究成果も反映

16

CMVP & JCMVP
ISO/IEC 24759

ISO/IEC 19790

NIST CSDIPA IT-SEC

Artifact for attestationof the CMVP &JCMVP Laboratories

DTR for FIPS 140-3

FIPS 140-3
IPA：IPA:INFORMATION-TECHNOLOGY
IPA：IPA:INFORMATIONTECHNOLOGY PROMOTION AGENCYAGENCY, JAPAN
IT-SEC：IT SEcurity Center
AIST: National Institute of Advanced Industrial Science and Technology
RCIS：Research Center for Information Security

AIST RCISDevelopmentCollaboration
17

CRYPTRECの波及効果- 暗号の世代交代 暗号技術の監視活動•ハッシュ関数SHA‐1の安全性の低下•RSA暗号の鍵長に関する安全性予測

内閣官房情報セキュリティセンター等への情報提供•「政府機関の情報システムにおいて使用されている
暗号アルゴリズムSHA-1及びRSA1024に係る移行指針」•「電子署名及び認証業務に関する法律」の告示の見直し
電子署名及び認証業務に関する法律」の告示の見直し
18電子政府推奨暗号リストの改訂

19リストの改訂の必要性• 暗号技術の機能（特に安全性）の経年劣化は避け難い• 当初から5年後（2008年）見直し，10年後
当初から5年後（2008年）見直し 10年後(2013年）改訂を想定• 前回には公募できなかったカテゴリの暗号技術で現時点で公募すべきものの存在• CRYPTRECに対する社会的要請の拡大（利用実績 実装性などより実際的な面か（利用実績，実装性などより実際的な面からの評価の必要性）
20リストの改訂の目的と方法• 電子政府において暗号技術を利用する際に安全で適切な暗号技術を選択するための指針を与える
暗号を利用した技術をシ テ のセキ リティ要
• 暗号を利用した技術をシステムのセキュリティ要件に合わせて正しく組み込むための指針を与える• 国際標準等との関係をより明確にする• 今後の改訂の姿を示す• 新たな暗号技術を公募し，安全性，実装性，利用
新たな暗号技術を公募し 安全性 実装性 利用実績等を評価する• 現リストに掲載されている暗号技術の見直しを行い，現リスト全体の構成を改める• 暗号技術のライフサイクルに対応したものとする 21

公募対象の暗号技術カテゴリの要件• 現リストに含まれていないが、電子政府シス現リストに含まれていないが 電子政府シス
テムの構築において安全性及び実装性の高い技術仕様の推奨が必要とされている暗号技術カテゴリであること• 安全性及び実装性で、現リストに記載されている暗号アルゴリズムよりも優位な点を持ち国際学会で注目されている新技術が提案されている暗号技術カテゴリであること• 普及・標準化が見込まれる暗号技術カテゴリ
であること
22

暗号技術カテゴリ
公開鍵暗号
共通鍵暗号

今回の公募
今回の公募
今回
公募
今回の公募
今回の公募

今回の公募

23

公募スケジュール2009年度

2010年度

2011年度

応募書類受付期間

第1次評価（安全性評価及び実装可能性の確認）
装 能性 確第2次評価(安全性評価の継続及び性能評価又はサイドチャネル攻撃に対する対策実現の確認）

▲

▲
第1回
シンポジウムCRYPTRECシンポジウム2010

・

提出書類審査査読付き国際会議
又は国際 論文誌での採録期限

2012年度

次期リスト作成期間

▲
第2回

第3回

シンポジウムシンポジウム▲｢電子政府推奨暗号リスト改訂のための暗号技術公募要項（2009 年度）」より

24

暗号技術のライフサイクルへの対応

25

CRYPTREC公募・運用スキーム
公募 運用 キ

｢電子政府推奨暗号リスト改訂のための暗号技術公募要項（2009 年度）」より

26

2009年度の活動と今後

27

2009年度以降のCRYPTREC体制(委員長: 今井秀樹)

暗号技術検討会

内閣情報セキュリティセンター
（NISC）

情報セキュリティ政策会議（ISPC）(事務局: MIC， METI)(委員長: 今井秀樹)(委員長：松本勉)(委員長：佐々木良一)

暗号方式委員会

暗号実装委員会

暗号運用委員会(事務局: NICT, IPA)

(事務局: IPA, NICT)(事務局:NICT, IPA)

1. 応募暗号の安全性評価基準 1. 実装性評価に関する検討に関する検討2. サイドチャネル攻撃耐性
2 動向調査2.
動向調査・監視活動
監視活動の評価
3. 電子政府推奨暗号リストの 3. サイドチャネル攻撃検証改訂に関する調査・検討に関する情報収集

1. 暗号技術の製品化・利用実績等の評価
2. 運用監視暗号の危殆化対策の検討
3. 次世代暗号技術等の調査・検討
28

2009年度のCRYPTREC活動の概要
新しい電子政府推奨暗号リスト策定作業の開始
公募の開始

実装評価の範囲と方法に関する検討

新しいリストの運用に関する検討

リストガイド作成と継続的な監視活動
リ トガイド作成
リストガイド作成学会等での安全性の知見の調査国際標準との連携
ハッシュ関数評価における連携

ISOモジュール評価に対するコメント

暗号方式委員会

暗号実装委員会

暗号運用委員会

292009年度暗号方式委員会活動の概要-暗号公募の開始••••

2009年10月1日に、五つの技術カテゴリで公募を開始
年 月
技術カ ゴ募を開始
ԟ 128ビットブロック暗号
ԟ ストリーム暗号ԟ メッセージ認証コード
ԟ 暗号利用モード
暗号利用ԟ エンティティ認証
2010年2月4日に応募締め切り
ԟ 6件の応募（詳細はこの後のプレゼンテーション参照）
件 応募（詳細は後 プ ゼシ 参照）
このCRYPTRECシンポジウムで、提案技術のプレゼンテーションと質疑応答を実施し 2010年度の評価実施に向けたションと質疑応答を実施し、2010年度の評価実施に向けた意見収集を実施する。
次年度の暗号方式委員会で、安全性評価を実施する。
30

2009年度暗号方式委員会活動の概要-リストガイド作成と継続的な監視活動監視活動•••

国内外の学会における、暗号の安全性に関する研究成果の取りまとめ
今年度は暗号の基礎となる数学的問題の評価、関連鍵攻撃に関する報告など
監視結果は、CRYPTRECレポートで公開予定
リストガイドリストガイドWG（高木剛主査）••

IDベース暗号に関する継続検討
ԟ PKIが提供する信頼との比較による、IDベース暗号の利点と課題の抽が提供する信頼と 比較 よる
ベ暗号 利点と課題 抽出ԟ 電子政府において利用した場合の推奨と課題の取りまとめ- 電子メールシステム- Webによる情報提供システム
現リストで「例示」となっている疑似乱数生成に関する実装仕様の提示
現リストで例示」となっている疑似乱数生成に関する実装仕様の提示
ԟ JCMVP Approvalとなっているアルゴリズムを対象
31

2009年度暗号方式委員会活動の概要-ハッシュ関数評価における連携シ 関数評価における連携••••

現在、米国のNISTが、次期ハッシュ関数SHA-3の選考を現在
米国が 次期シ 関数選考を実施中
CRYPTRECでは 同時期に重複した評価を実施するのでCRYPTRECでは、同時期に重複した評価を実施するのではなく、SHA-3の選考過程と結果を参照し、日本の電子政
府 利用
府で利用されるハッシュ関数の評価を実施するッ
関数 評価を実施す
CRYPTRECで必要とされる評価と、NISTで実施する評価を近づけるために、NISTの評価活動への貢献を行う
ԟ 電子政府での適用に必要とされる以下の項目
電子政府適用に必要とされる以項目- 安全性評価の基準- 実装評価の基準
今後も継続的にCRYPTRECとNISTの連携、国際間連携を実施予定
32

2009年度暗号実装委員会活動の概要• 実装性能評価に関する検討
ԟ 実装性能評価ツールの検討（2009年度）- ソフトウェア及びハードウェア
ソフトウ ア及びハ ドウ ア
- 実装用インタフェース仕様

ԟ 実装性能評価の評価項目、評価手法、評価結果の判断基準（2010年度の課題）• サイドチャネル攻撃耐性の評価に関する検討ԟ 確認方法の検討
ԟ サイドチャネル攻撃検証に関する情報収集• 国際貢献ԟ ISO/IEC 19790の早期改訂案の検討
33

2009年度暗号運用委員会の活動概要• 暗号技術の運用を主な対象とする調査・検討
暗号技術の運用を主な対象とする調査 検討• 暗号技術に対する製品化・利用実績等の評価
ԟ 以下の観点から、論点の整理中以下の観点から 論点の整理中- 利用実績
- 国際標準技術• 利用実績の論点の例
ԟ 利用実績の定義ԟ 利用実績の判断方法• 国際標準技術に関する論点の例
ԟ 国際標準化機関とはどの範囲か
ԟ 標準化の対象は- アルゴリズムのみ- プロトコルまで含めるか34

今後に向けて• 組織／体制の強化• NISCとの関係の強化• 研究機関との連携の強化• NIST等との国際連携の強化• 国際標準への貢献• リストの柔軟な見直し• 対象分野の整理／拡大
35