暗号技術評価委員会活動報告
暗号技術評価委員会 委員長(電気通信大学 教授)
太田 和夫
12015年度 CRYPTREC 体制
暗号技術検討会

2015年度新設

CRYPTRECの在り方に関する検討グループ（H27.6～H27.8）
重点課題検討
タスクフォース（H27.11～）

暗号技術評価委員会

暗号技術活用委員会（１）暗号技術の安全性及び実装に係る監視及び評価（１）暗号の普及促進・セキュリティ産業の競争力強化に係る検討（２）暗号技術の利用状況に係る調査及び必要な対策の検討等（３）暗号政策の中長期的視点からの取組（２）新世代暗号に係る調査（３）暗号技術の安全な利用方法に関する調査2

情報システムにおける暗号技術のセキュリティ確保の全体俯瞰図
情報システム全体のセキュリティ
システム開発のセキュリティ

運用段階のセキュリティ

システム仕様実装

システム運用規程

実運用

暗号製品仕様暗号製品実装暗号製品運用規程

暗号製品運用暗号プロトコル仕様

暗号プロトコル実装

脆弱性対応規程

脆弱性対応

暗号プリミ
ティブ仕様

暗号プリミ
ティブ実装

危殆化対応規程

危殆化対応

暗号技術評価委員会の主活動範囲3暗号技術評価委員会 委員
委員長

太田 和夫

国立大学法人電気通信大学 大学院情報理工学研究科
総合情報学専攻(セキュリティ情報学コース) 教授

委員

岩田 哲

国立大学法人名古屋大学 大学院工学研究科 准教授

委員

上原 哲太郎立命館大学 情報理工学部情報システム学科 教授

委員

金子 敏信

東京理科大学 理工学部電気電子情報工学科 教授

委員

佐々木 良一東京電機大学 未来科学部情報メディア学科 教授

委員

高木 剛

国立大学法人九州大学 マス・フォア・インダストリ研究所 教授

委員

手塚 悟

東京工科大学 コンピュータサイエンス学科 教授

委員

本間 尚文

国立大学法人東北大学 大学院情報科学研究科 准教授

委員

松本 勉

国立大学法人横浜国立大学 大学院環境情報研究院 教授

委員

松本 泰

委員

盛合 志帆

委員

山村 明弘

国立大学法人秋田大学 大学院工学資源学研究科情報工学専攻 教授

委員

渡辺 創

国立研究開発法人産業技術総合研究所 情報技術研究部門
上級主任研究員

セコム株式会社 IS研究所 コミュニケーションプラットフォームディビジョンディビジョンマネージャー
国立研究開発法人情報通信研究機構 ネットワークセキュリティ研究所
セキュリティ基盤研究室 室長（五十音順、敬称略、所属は2015年度末時点もの）

4

2015年度暗号技術評価委員会活動① 暗号技術の安全性及び実装に係る監視及び評価② 暗号技術に関する注意喚起レポートの公表③ 新世代暗号に係る調査

52015年度暗号技術評価委員会活動① 暗号技術の安全性及び実装に係る監視及び評価- CRYPTREC 暗号リストの安全性及び実装に係る技術に関する監視- 標準化動向に鑑み電子政府システム等での利用が見込まれると判断される暗号技術の追加を検討

6

CRYPTREC 暗号リストの位置づけ• 電子政府推奨暗号リスト
電子政府推奨暗号リス– CRYPTREC により安全性及び実装性能が確認された暗号技術について、市場における利用実績が十分であるか今後の普及が見込まれると判断され、当該技術の利用を推奨するもののリスト• 推奨候補暗号リスト
推奨候補暗号リスト– CRYPTREC により安全性及び実装性能が確認され、今後、電子政府推奨暗号リストに掲載される可能性のある暗号技術のリスト• 運用監視暗号リスト
運用監視暗号リスト– 実際に解読されるリスクが高まるなど、推奨すべき状態ではなくなった暗号技術のうち、互換性維持のために継続利用を容認するもののリスト。互換性維持以外の目的での利用は推奨しない
7

CRYPTREC 暗号リストの構成
定期的

随時

国際標準公募（ISO・ITU-T等）

安全性・実装性評価等
安全性に問題無く製品化・利用実績がある

安全性に問題無いが製品化・利用実績がない

CRYPTREC 暗号リスト
CRYPTREC暗号リスト（仮称）
推奨候補暗号リスト• 安全性評価済み技術

随時
危殆化
３年経っても製品化されないもの

製品化・利用実績がある

電子政府
推奨暗号リスト• 安全性評価済み技術• 市場での利用実績が確認された技術（製品化された技術）

運用監視暗号リスト• 互換性維持のためだけに一時的な利用を許可する技術

随時 ※WTO政府調達協定との整合性に配慮
危殆化

各省庁の利用リストガイド

リストから削除（SP文書に相当）
8CRYPTREC 暗号リストへの追加の検討 ： SHA 関連
定期的

随時

国際標準公募（ISO・ITU-T等）

SHA-3

2015年8月にFIPS202
として正式出版

安全性・実装性評価等

安全性に問題無く製品化・利用実績がある

安全性に問題無いが製品化・利用実績がない

CRYPTREC 暗号リスト
CRYPTREC暗号リスト（仮称）
推奨候補暗号リスト• 安全性評価済み技術

随時
危殆化
３年経っても製品化されないもの

運用監視暗号リスト• 互換性維持のためだけに一時的な利用を許可する技術

製品化・利用実績がある

電子政府推奨暗号リスト• 安全性評価済み技術• 市場での利用実績が確認された技術（製品化された技術）

CRYPTREC 暗号リスト
への追加条件を各省庁の利用満たしているか判断

随時 ※WTO政府調達協定との整合性に配慮
危殆化

リストガイドリストから削除（SP文書に相当）
9ハッシュ関数 SHA-3 (および SHA-2)の評価結果
安全性評価 : 安全性に対して十分なマージンがあり、現実的な脅威の観点から大きな問題点は見つかっていない
実装性能評価: ソフトウェア実装、ハードウェア実装ともに実用上、十分な実装性能を有する※詳細は付録参照 (p25-30)

下記の5アルゴリズムについて

CRYPTREC暗号リストへの追加条件を満たしている「推奨候補暗号リスト」と判断した

SHA-512/256
SHA3-256
SHA3-384
SHA3-512SHAKE256(※)(※) ハッシュ長は 256 ビット以上とする。
10

暗号技術検討会による審議
定期的
随時
第2回暗号技術検討会決議(2016年3月29日)
国際標準「推奨候補暗号リスト」に掲載し、公募（ISO・ITU-T等）
然るべきタイミングで実績調査を実施し、調査結果に応じて「電子政府推奨暗号リスト」への掲載を検討する。

安全性・実装性評価等
安全性に問題無く製品化・利用実績がある

安全性に問題無いが製品化・利用実績がない

CRYPTREC 暗号リスト
CRYPTREC暗号リスト（仮称）
推奨候補暗号リスト• 安全性評価済み技術

随時
危殆化
３年経っても製品化されないもの

製品化・利用実績がある

電子政府
推奨暗号リスト• 安全性評価済み技術• 市場での利用実績が確認された技術（製品化された技術）

運用監視暗号リスト• 互換性維持のためだけに一時的な利用を許可する技術

随時 ※WTO政府調達協定との整合性に配慮
危殆化

各省庁の利用リストガイド

リストから削除（SP文書に相当）
11CRYPTREC 暗号リスト
推奨候補暗号リスト
推奨候補暗号リスト
技術分類
署名
公開鍵暗号 守秘鍵共有
64ビット
ブロック暗号

共通鍵暗号

128ビット
ブロック暗号

ストリーム暗号
ハッシュ関数
秘匿モード
認証付き
秘匿モード
メッセージ認証コード
エンティティ認証
暗号利用
モード

名称
該当なし
該当なし
PSEC-KEM
CIPHERUNICORN-E
Hierocrypt-L1
MISTY1CIPHERUNICORN-A
CLEFIA
Hierocrypt-3
SC2000
Enocoro-128v2
MUGI
MULTI-S01
該当なし
該当なし
該当なし

2016年3月29日付変更
ハッシュ関数

SHA-512/256
SHA3-256
SHA3-384
SHA3-512SHAKE256(注１２)(注１２)ハッシュ長は２５６ビット以上とすること。

PC-MAC-AES
ISO/IEC 9798-4

12

2015年度暗号技術評価委員会活動② 暗号技術に関する注意喚起レポートの公表- MISTY1 に関する解析の速報および続報- SHA-1 の安全性に関する速報

13

64ビットブロック暗号 MISTY1 の安全性について
2015年7月16日※詳細は下記サイト参照

http://www.cryptrec.go.jp/topics/cryptrec_20150716_misty1_cryptanalysis.html

14

64ビットブロック暗号 MISTY1 の安全性について
2015年7月16日
2015年8月12日※詳細は下記サイト参照
http://www.cryptrec.go.jp/topics/cryptrec_20150812_misty1_cryptanalysis.html

15

64ビットブロック暗号 MISTY1 の安全性について
速報での見解今回の攻撃は、解読に必要なデータ量が膨大であることから、現実的な脅威ではないと考えられる

2015年7月16日
2015年8月12日

H27 年度に行った評価

本攻撃に関する技術的詳細評価を行う為に外部評価を実施

16

外部評価：Integral 攻撃の最新動向と MISTY1 等への適用• 評価者

藤堂 洋介 氏 (NTTセキュアプラットフォーム研究所)• 評価者の見解– 現段階では、MISTY1 の現実的な利用における安全性を脅かすものではないと考えられる– 現段階では、AES の安全性には影響はないと考えられる– 攻撃手法の改良可能性がある※詳細は下記サイト参照
http://www.cryptrec.go.jp/estimation.html

17

今後の方針：MISTY1 について
MISTY1 の安全性について「解読に必要なデータ量が膨大 （264） であることから、現実的な脅威ではない」という見解を継続する
H28 年度予定

当面は、本見解を維持しつつ、本年度(H28)も検討を継続し、技術的根拠が揃った時点で新たな見解を示す
18

SHA-1 の現状
定期的随時

国際標準公募（ISO・ITU-T等）「運用監視リスト」に掲載

安全性・実装性評価等
推奨すべき状態ではなく、互換性維持のためにのみ継続利用を容認している
CRYPTREC 暗号リスト
CRYPTREC暗号リスト（仮称）
暗号技術 電子政府推奨候補暗号リスト

安全性に問題無く製品化・利用実績がある

安全性に問題無いが製品化・利用実績がない• 安全性評価済み技術

随時
危殆化
３年経っても製品化されないもの

運用監視暗号リスト• 互換性維持のためだけに一時的な利用を許可する技術

製品化・利用実績がある

推奨暗号リスト• 安全性評価済み技術• 市場での利用実績が確認された技術（製品化された技術）

CRYPTREC 暗号技術ガイドライン (SHA-1)※WTO政府調達協定との整随時
SHA-1の利用用途に応じた注意事項、推奨され合性に配慮
各省庁の利用危殆化ない利用範囲、許容される利用範囲などを掲載

リストガイド※詳細は下記サイト参照
リストから削除（SP文書に相当）
http://www.cryptrec.go.jp/report/c13_tech_guideline_SHA-1_web.pdf

19

SHA-1 に対する解析の進展
2015年12月15日※詳細は下記サイト参照
http://www.cryptrec.go.jp/topics/cryptrec_20151218_sha1_cryptanalysis.html

20SHA-1 の安全性について
速報の概要

2015年12月15日
・ SHA-1 の衝突発見に直接つながるものではない

・ 一連の研究動向から、近い将来にSHA-1 の衝突がSHA-1の衝突発見に直接つながるものではない発見されるという注意喚起
一連の研究動向から、近い将来にSHA-1の衝突が発見されるという注意喚起も情報発信
H28 年度予定

SHA-1 に関する「暗号技術ガイドライン」
を最新動向に基づきアップデートを行う
21

2016年度暗号技術評価委員会活動予定• 継続的な暗号技術の安全性及び 実装に係る技術の監視・評価の実施• 共通鍵暗号の安全性予測について検討を開始• SHA-1 に関する 「暗号技術ガイドライン」
を最新動向に基づきアップデートを行う

22

2015年度実績と今後の予定① 暗号技術の安全性及び実装に係る監視及び評価
SHA2, SHA-3
安全性評価
実装性能評価

継続的な暗号技術の安全性及び 実装に係る技術の監視・評価

SHA2, SHA-3
リスト追加の可否を決議

共通鍵暗号の安全性予測について検討開始② 暗号技術に関する注意喚起レポートの公表
SHA-1 に関する「暗号技術ガイドライン」アップデート
CRYPTREC MISTY１ MISTY１
続報
速報
Report(8/12)(7/16)
2014発行

2014年度

SHA-1
速報(12/15)

第1回

第2回

第1回

第2回

11/18

3/8

7月

2月

2015年度
暗号技術評価委員会開催

2016年度23

2015年度暗号技術評価委員会活動① 暗号技術の安全性及び実装に係る監視及び評価② 暗号技術に関する注意喚起レポートの公表③ 新世代暗号に係る調査- 暗号技術調査ワーキンググループ(暗号解析評価)- 暗号技術調査ワーキンググループ(軽量暗号)
暗号解析評価WG : 高木主査
軽量暗号WG : 本間主査
24

付録
（SHA-3およびSHA-2 の安全性・実装性能評価結果）

25

FIPS 180-4 で規定されている SHA-2
アルゴリズムメッセージ長

ブロック長

ワード長

出力長

(bits)(bits)(bits)(bits)SHA -224< 2 6451232224

SHA -256< 2 6451232256

SHA -384< 2 128102464384

SHA -512< 2 128102464

512

SHA -512/224< 2 128102464

224

SHA -512/256< 2 128102464256

電子政府推奨暗号リストに含まれているアルゴリズム

26

ハッシュ関数 SHA-3 (および SHA-2)のセキュリティ強度 (p10 参考資料)
衝突攻撃への耐性

原像攻撃への耐性

第２原像攻撃への耐性

SHA-224

224

112

224min(224, 256−M)*

SHA-512/224

224

112

224

224

SHA-512/256

256128256

256

SHA3-224

224

112

224

224

SHA3-256

256

128

256

256

SHA3-384

384

192

384384

SHA3-512

512

256512512

SHAKE128dmin(d/2,128)≧min(d,128)

min(d,128)

SHAKE256dmin(d/2,256)≧min(d,256)

min(d,256)* メッセージ長が2Mブロックの時の第2原像攻撃に対する耐性。Merkle-Damgard構成であることからJouxのmulticollision攻撃が適用でき、232ブロック以上の長いメッセージの場合、全数探索より少ない計算量で第2原像が見つかる。

27

ハッシュ関数 SHA-3 (および SHA-2)の選出アルゴリズム (p10 参考資料)
衝突攻撃への耐性

原像攻撃への耐性

第２原像攻撃への耐性

SHA-224

224

112

224

min(224, 256−M)*

SHA-512/224

224

112

224

224

SHA-512/256

256

128

256

256

SHA3-224

224

112

224

224

SHA3-256

256

128

256

256

SHA3-384

384

192

384

384

SHA3-512

512

256

512

512

SHAKE128dmin(d/2,128)≧min(d,128)

min(d,128)

SHAKE256dmin(d/2,256)≧min(d,256)

min(d,256)

256ビット以上のハッシュ関数を選択することが望ましい* メッセージ長が2Mブロックの時の第2原像攻撃に対する耐性。Merkle-Damgard構成であることからJouxのmulticollision攻撃が適用でき、232ブロック以上の長いメッセージの場合、全数探索より少ない計算量で第2原像が見つかる。

28

ハッシュ関数 SHA-3 の実装性能 (p10 参考資料)• Xilinx 社の Virtex-5 を用いた高速ハードウェア実装では、回路規模が 1000～2000slice で 6～16Gbps• SHA-256 と比べ、回路規模は増加（約2～3 倍）するが、スループット性能は4 倍程度、レイテンシは約 1/2 の時間を実現• ASIC 実装による性能評価では、FPGA よりも高いスループット性能を有する• 軽量実装については、数100slice で実装可能• ハードウェア実装及びソフトウェア実装におけるサイドチャネル耐性は、ブロック暗号 AES と比べて容易ではないと考える29

ハッシュ関数 SHA-2 の実装性能 (p10 参考資料)
SHA-224• SHA-256 とほぼ同等の性能であるが、最終データの転送に要する時間を短縮できるため、レイテンシの短縮が僅かながら達成できる• ハッシュ値のメモリ容量を削減できるため、数多くのハッシュ値を保存するようなアプリケーションにおいて、コスト削減が期待できる
SHA-512/256, SHA-512/224• SHA-224 や SHA-256 と比べた場合、64bit CPU におけるソフトウェア実装性能において一定の優位性を有する• 64bit 演算を高速で行う CPU の登場に因るところが大きく、今後の実装研究に大きな意味を持つ
30