2011 年度版リストガイド (IPsec)

平成 24 年 3 月
独立行政法人情報通信研究機構
独立行政法人情報処理推進機構

目次
1

本書の位置づけ
1.1 本書の目的 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
1.2 本書の構成 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
1.3 本書の利用範囲 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

1
11
12

定義と表記
2.1 定義 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
2.2 表記 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

2223IPsec に関する推奨
3.1 各種標準の暗号スイート . . . . . . . . . . . . . . . . . . . . . . . . .
3.1.1 RFC で規定される暗号スイート . . . . . . . . . . . . . . . . .
3.1.1.1 IPsec 用暗号スイート (RFC4308) . . . . . . . . . . .
3.1.1.2 IPsec 用 Suite B 暗号スイート (RFC6379, 4869) . . .
3.1.2 IANA 暗号アルゴリズム ID . . . . . . . . . . . . . . . . . . .
3.1.3 SP 800-57,Part3[SP 800-57,part3] . . . . . . . . . . . . . . . .
3.2 電子政府における推奨 . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2.1 留意点 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2.2 AH 及び ESP の認証アルゴリズム 推奨暗号スイート . . . . .
3.2.3 ESP 暗号化 推奨暗号スイート . . . . . . . . . . . . . . . . . .
3.2.4 IKEv1 推奨暗号スイート . . . . . . . . . . . . . . . . . . . . .
3.2.4.1 暗号化アルゴリズムスイートの推奨 . . . . . . . . .
3.2.5 ハッシュアルゴリズムの推奨 . . . . . . . . . . . . . . . . . .
3.2.6 認証方式の推奨 . . . . . . . . . . . . . . . . . . . . . . . . . .
3.2.6.1 Diﬃe-Hellman 鍵共有の推奨 . . . . . . . . . . . . . .
3.2.7 IKEv2 推奨暗号スイート . . . . . . . . . . . . . . . . . . . . .
3.2.7.1 Transform Type1: 暗号化アルゴリズム (ENCR) . . .
3.2.7.2 Transform Type2: 擬似乱数 (PRF) . . . . . . . . . .
3.2.7.3 Transform Type3: 完全性アルゴリズム . . . . . . . .
3.2.7.4 Transform Type4: Diﬃe-Hellman 鍵共有 . . . . . . .
3.2.7.5 IKEv2 認証ペイロード . . . . . . . . . . . . . . . . .

3333455666788888101010101111i

1

本書の位置づけ

1.1

本書の目的

リストガイドは、電子政府のシステム調達者及び電子政府システムを構築する開発者に向けて、電子政府推奨暗号を利用する際に必要となる情報並びに推奨を示すものである。
本書では、電子政府をはじめとして、よく利用されている IPsec について、その利用方法並びに選択すべき暗号アルゴリズムについて情報提供を行うものである。

1.2

本書の構成

第 2 章において、本書で利用する用語の定義及び表記を示し、第 3 章において IPsecに係る情報提供並びに利用を推奨する暗号アルゴリズムを示す。

1.3

本書の利用範囲

本書の内容は 2012 年 3 月 31 日時点の情報に基づき構成されている。従って、今後、電子政府推奨暗号の改訂や電子政府推奨暗号に係る攻撃方法の研究動向、Internet Engineering Task Force (以下、「IETF」という。) における各種 Request ForComments(以下、「RFC」という。) やその他標準規格の策定状況及び米国 National
Institute of Standards and Technology の Special Publicaion(以下、「SP」という。）
をはじめとする推奨文書等の改定状況等によって、本書に掲載される内容がそぐわないくなるケースが発生する可能性がある。
本書を利用する際には、関連する標準規格並びに各種推奨文書等も同時に参照し、適切に判断を行うことを勧める。

12定義と表記

2.1

定義
表 1: 用語の定義
用語

定義

AH

Authentication Header プロトコル。IPsec のプロトコルの一つ。
Encapsulating Security Payload プロトコル。IPsec のプロトコルの一つ。
Internet Key Exchange プロトコル。IPsec のプロトコルの一つ。IKEv1、IKEv2 の 2 つのバージョンが存在する。
ある暗号アルゴリズムおよび鍵を用いて、平文を暗号文に変える処理。
当該プロトコルにおいて選択可能な暗号アルゴリズムの組合せ。プロトコルの仕様により異なる。
不当に情報が改変または消去されていないことを示す特性。データが生成、移送、蓄積されて以後、許可されていない方法で当該データが変更されていないことを示す。
本文書では、ある暗号アルゴリズムにより「完全性が与えられる」という表現は、当該アルゴリズムが、不当な改変または消去を発見するために用いられることを意味する。

ESPIKE

暗号化
暗号スイート完全性

2.2

表記
表 2: 略語の定義
略語

定義

IETF
NIST
RFC
SPInternet Engingeering Task ForceNational Institute of Standards and Technology
Request For Comments
Special Publications

2

IPsec に関する推奨

3

RFC では相互運用性の確保を目的に IPsec で使用する各暗号アルゴリズムの組み合わせを暗号スイートとしてまとめ、2 つの RFC で合計 6 種類の暗号スイートを公開している。
これとは別に ESP および AH の暗号アルゴリズム実装要求 (RFC4835)、IKEv1 のアルゴリズム実装要求 (RFC4109)、IKEv2 のアルゴリズム実装要求 (RFC4307) を公開している。
IPsec の主たる用途である VPN では、機器設置者が統一的にセキュリティポリシを設定するため、既存の暗号スイートに基づく選択は必ずしも必要ではなく、組織で統一的に使用する暗号アルゴリズムの組み合わせを定めてもよい。
IPsec の接続ノード間で暗号化および認証の鍵を手動で変更するのは非現実的であるので、IKE による自動的な鍵管理が行われることを前提とする。

3.1

各種標準の暗号スイート

3.1.1

RFC で規定される暗号スイート相互運用性の確保を目的に IPsec で推奨する暗号アルゴリズムの組み合わせを暗号スイートとして定義した 2 つの RFC がある。

• IPsec 用暗号スイート（RFC4308）：2 つの暗号スイートを定義• IPsec 用 Suite B 暗号スイート（RFC6379, 4869）：4 つの暗号スイートを定義
3.1.1.1 IPsec 用暗号スイート (RFC4308)
2005 年に作成された RFC4308 では相互運用性の確保を目的に、2 つの IPsec 推奨暗号スイートを定めている。VPN-A は運用中機器の相互運用性を重視した構成で、VPN-B は安全性を重視したより新しい機器向けの構成である。推奨暗号リストに含まれる暗号アルゴリズムのみで構成されるのは VPN-A であり、VPN-B には推奨暗号リスト外の AES-XCBC-MAC が含まれる。
表 3: RFC4308 で規定される暗号スイート
暗号スイートIP パケット

IKEv1/IKEv2

VPN-A

VPN-B

プロトコル ESP
ESP暗号化
3DES-CBC
AES-CBC (128 ビット鍵)
完全性
HMAC-SHA1-96 AES-XCBC-MAC-96
暗号化
3DES-CBC
AES-CBC (128 ビット鍵)
乱数
HMAC-SHA-1
AES-XCBC-PRF-128
完全性
HMAC-SHA-1-96 AES-XCBC-MAC-96
鍵共有1024 ビット DH
2048 ビット DH
鍵更新（IKEv1）
・CREATE CHILD SA(IKEv2) をサポートする

3

3.1.1.2 IPsec 用 Suite B 暗号スイート (RFC6379, 4869)
Suite B は NSA が定めた暗号化アルゴリズム群であり、共通鍵暗号は AES、ハッシュは SHA-2、公開鍵暗号は楕円曲線暗号（ECDSA による署名および ECDH による鍵共有）から構成され、RSA は含まれない。
2007 年に作成された RFC4869 ではこの Suite B 暗号アルゴリズム群から選択した暗号アルゴリズムの中で GCM と GMAC のそれぞれで 2 種類の鍵長で、合計 4 種類の暗号スイートを定めている。GMAC を使用する暗号スイートは完全性のみを提供し IP パケットの暗号化を行わないため、利用すべきでない。
表 4: Suite B 暗号スイート (RFC 4869)
暗号スイートIP パケット

IKEv1

IKEv2

Suite-B-GCM-128

Suite-B-GCM-256

プロトコル ESP
暗号化
AES-GCM (128 ビット鍵、16 バイト ICV)完全性
GCM に含まれる暗号化
AES-CBC （128 ビット鍵） AES-CBC （256 ビット鍵）
乱数
HMAC-SHA-256
HMAC-SHA-384
ハッシュSHA-256
SHA-384
鍵交換
256 ビット ECDH
384 ビット ECDH
鍵更新をサポートすること
暗号化
AES-CBC （128 ビット鍵） AES-CBC （256 ビット鍵）
乱数
HMAC-SHA-256
HMAC-SHA-384
完全性
HMAC-SHA-256-128
HMAC-SHA-384-192
鍵交換
256 ビット ECDH
384 ビット ECDH
認証
256 ビット ECDSA
384 ビット ECDSACREATE CHILD SA をサポートすること
表 5: Suite B 暗号スイート (RFC 6379)

暗号スイートIP パケット

IKEv2

Suite-B-GCM-128
プロトコル
暗号化
完全性
暗号化
乱数
完全性
鍵交換
認証

Suite-B-GCM-256

ESP
AES-GCM (128 ビット鍵、16 バイト ICV)GCM に含まれる
AES-CBC（128 ビット鍵） AES-CBC （256 ビット鍵）
HMAC-SHA-256
HMAC-SHA-384
HMAC-SHA-256-128
HMAC-SHA-384-192
256 ビット ECDH
384 ビット ECDH
256 ビット ECDSA
384 ビット ECDSA

4

3.1.2

IANA 暗号アルゴリズム ID

IPsec の暗号アルゴリズム選択では、IANA のプロトコルレジストリに登録された番号で暗号アルゴリズムを識別する1 （http://www.iana.org/protocols/ ）。特に自動鍵更新（IKEv1/IKEv2）を使用する場合、SA のアルゴリズム折衝で暗号アルゴリズムを識別する ID が必要不可欠である。
表 6: IANA 暗号アルゴリズム ID への参照
URL

仕様
暗号スイートISAKMP
IKEv1
IKEv2

3.1.3

http://www.iana.org/assignments/crypto-suites/crypto-suites.xml
http://www.iana.org/assignments/isakmp-registry
http://www.iana.org/assignments/ipsec-registry
http://www.iana.org/assignments/ikev2-parameters/ikev2parameters.xml

SP 800-57,Part3[SP 800-57,part3][SP 800-57,part3] では、新規導入機器では IPsec-v3 への対応を求めている。また、
ESP の使用を推奨し、AH の使用は非推奨としている。一方で運用中の機器を考慮して IPsec-v2 で使用すべき暗号アルゴリズムも合わせて記述している。

バージョン

表 7: IPsec のバージョン、機能及び関連仕様
仕様
秘匿認証(自動) 鍵管理

IPsec-v2

RFC2401

RFC2406

RFC2402,2406

IPsec-v3

RFC4301

RFC4303

RFC4302,4303

IKEv1
RFC2407,2408,2409
IKEV2
RFC4306,4718[SP 800-57,part3] では、暗号スイート VPN-A と VPN-B を参照しているが、VPNA は利用期限付き（当時で 2010 年まで）で推奨している。セキュリティの高い VPN-B
は AES-XCBC を含むため推奨していない。
VPN で IPsec を使用する場合、統一的なセキュリティポリシの運用が正しくなされるならば相互接続性は担保できるので、個々の暗号アルゴリズムを列挙し実装の必要度をコメントしている。暗号化は 128 ビットの AES-CBC。認証あるいは完全性には HMAC-SHA-1 および HMAC-SHA-1-96 を必須（Mandatory）とし、他をオプショナル（Optional）としている。ESP は暗号化と完全性検証を組み合わせて使用するよう求めている。

1

プライベート番号による運用も可能であるが、相互運用性に欠ける。

5

3.2

電子政府における推奨

以下、電子政府において IPsec を利用することを推奨する暗号スイートを以下に示す。

3.2.1

留意点

本文書で推奨する暗号スイートは、電子政府推奨暗号リストに記載されている暗号アルゴリズムの利用を前提として構成している。このため、現在の電子政府推奨暗号として規定されない技術カテゴリが組み合わされた暗号スイートについては、以下の方針に基づき推奨暗号スイートとしている。
方針 1 現在の電子政府推奨暗号リストに掲載された暗号アルゴリズムを用いているが、プロトコルの仕様上、鍵長の選択等で十分な安全性があると認められる場合。
方針 2 2013 年に決定予定の次期電子政府推奨暗号の評価プロセスにおいて評価が行われており、特段の問題がない場合には電子政府推奨暗号リストに掲載される可能性が高いアルゴリズムを用いている場合。
方針 3 現在の電子政府推奨暗号リストに掲載されておらず、かつ、2013 年決定予定の次期電子政府推奨暗号の評価プロセスで評価が行われていない暗号アルゴリズムを用いる場合で、安全性に問題がない場合。
なお、HMAC-SHA1-96 は 96bit 相当の安全性を有していることを確認しており、方針 1 に基づくと推奨暗号スイートとはしないことが妥当である。しかしながら、現状の IPsec における実装状況を踏まえ、HMAC-SHA1-96 を推奨暗号スイートとしないことは不適切であると判断し、推奨暗号スイートとしている。このため、利用の際には留意されたい。

3.2.2

AH 及び ESP の認証アルゴリズム 推奨暗号スイート

ESP はペイロードの暗号化と完全性機能を提供する。ESP の完全性機能と AH の認証機能では保護範囲が異なるが、使用するアルゴリズムは同じである。
推奨暗号リストへの提案中のアルゴリズムを推奨アルゴリズムに含める。

6

表 8: AH 及び ESP の認証アルゴリズムの推奨暗号スイー
ト

3.2.3

推奨暗号スイート

RFC

備考

HMAC-SHA-1-96
HMAC-SHA2-256-128
HMAC-SHA2-384-192
HMAC-SHA2-512-256
HMAC-RIPEMD-160-96
AES-CCM 12
AES-CCM 16
AES-GCM 12
AES-GCM 16
RSASSA-PKCS1-v1 5
RSASSA-PSS
AES-CMAC-96
Camellia-CCM 12
Camellia-CCM 16

2404
4868
4868
4868
2857
4309
4309
4106
4106
4359
4369
4615
5529
5529

IKEv1 では未定義
IKEv1 では未定義
IKEv1 では未定義

ESP 暗号化 推奨暗号スイート

推奨暗号リストへの提案中のアルゴリズムを推奨アルゴリズムに含める。
表 9: ESP 暗号化の推奨暗号スイート
登録番号3
12
13
15
16
19
20
22
23
24
2627

推奨暗号スイート

RFC

ENCR 3DES-CBC
ENCR AES-CBC
ENCR AES-CTR
ENCR AES-CCM 12
ENCR AES-CCM 16
AES-GCM with a 12 octet ICV
AES-GCM with a 16 octet ICVIEEE P1619 XTS-AES
ENCR Camellia-CBC
ENCR Camellia-CTR
ENCR CAMELLIA CCM with a 12-octet ICV
ENCR CAMELLIA CCM with a 16-octet ICV

2451
3602
3686
4309
4309
4106
4106

7

備考

Reserved
5529
5529
5529
5529

3.2.4

IKEv1 推奨暗号スイート

IKE のフェーズ 1 では ISAKMP SA、フェーズ 2 では IPsec のセキュリティプロ
トコルの SA を決定する。
3.2.4.1 暗号化アルゴリズムスイートの推奨
表 10: IKEv1 暗号化アルゴリズムスイートの推奨
登録番号

578
3.2.5

暗号化アルゴリズムスイート

RFC

3DES-CBC
AES-CBCCAMELLIA-CBC

2409
36024312

ハッシュアルゴリズムの推奨表 11: IKEv1 ハッシュアルゴリズムの推奨
登録番号

2456
3.2.6

ハッシュアルゴリズム

RFCSHA
SHA2-256
SHA2-384
SHA2-512[FIPS 180-1]
4868
4868
4868

認証方式の推奨
表 12: IKEv1 認証アルゴリズムの推奨
登録番号1234591011

認証アルゴリズム

RFC

pre-shared key
DSS signatures
RSA signatures
Encryption with RSA
Revised encryption with RSA
ECDSA with SHA-256 on the P-256 curve
ECDSA with SHA-384 on the P-384 curve
ECDSA with SHA-512 on the P-521 curve

2409
2409
2409
2409
2409
4754
4754
4754

3.2.6.1 Diﬃe-Hellman 鍵共有の推奨
MODP グループは 1024 ビット以上の利用を推奨とする。

8表 13: IKEv1 Diﬃe-Hellman 鍵共有の推奨
登録番号234567891011121314151617181920212223242526Diﬃe-Hellman 鍵共有

RFCalternate 1024-bit MODP group
EC2N group on GP[2ˆ155]
EC2N group on GP[2ˆ185]
1536-bit MODP group
EC2N group over GF[2ˆ163]
EC2N group over GF[2ˆ163]
EC2N group over GF[2ˆ283]
EC2N group over GF[2ˆ283]
EC2N group over GF[2ˆ409]
EC2N group over GF[2ˆ409]
EC2N group over GF[2ˆ571]
EC2N group over GF[2ˆ571]
2048-bit MODP group3072-bit MODP group4096-bit MODP group6144-bit MODP group8192-bit MODP group256-bit random ECP group384-bit random ECP group521-bit random ECP group1024-bit MODP Group with 160-bit Prime Order Subgroup2048-bit MODP Group with 224-bit Prime Order Subgroup2048-bit MODP Group with 256-bit Prime Order Subgroup192-bit Random ECP Group224-bit Random ECP Group

2409
2409
2409
3526
reserved
reserved
reserved
reserved
reserved
reserved
reserved
reserved
3526
3526
3526
3526
3526
5903
5903
5903
5114
5114
5114
5114
5114

9

3.2.7

IKEv2 推奨暗号スイート

用途別 4 種類のトランスフォームタイプの暗号スイートと、認証ペイロードで使用する認証方式を以下に示す。
表 14: IKEv2 における Transform Type Value

Type
1234

記述用途

RFC

暗号化アルゴリズム (ENCR)
擬似乱数 (PRF)
完全性アルゴリズム
Diﬃe-Hellman 鍵共有

IKE, ESP
IKE
IKE, AH,(ESP)
IKE, (AH, ESP)

5996
5996
5996
5996

() はオプションでの利用を示す。

3.2.7.1 Transform Type1: 暗号化アルゴリズム (ENCR)ESP の暗号アルゴリズムと同じである (表 9 参照)。
3.2.7.2 Transform Type2: 擬似乱数 (PRF)
表 15: PRF アルゴリズム (Transform Type2) の推奨暗号
スイート
登録番号25678

推奨暗号スイートRFC

PRF HMAC SHA1PRF HMAC SHA2 256
PRF HMAC SHA2 384
PRF HMAC SHA2 512
PRF AES CMAC

2104
4868
486848684615

3.2.7.3 Transform Type3: 完全性アルゴリズム
表 16: IKEv2 認証アルゴリズムの推奨暗号スイート
登録番号278121314

推奨暗号スイート

RFC

AUTH HMAC SHA1 96
AUTH HMAC SHA1 160
AUTH AES CMAC 96
AUTH HMAC SHA2 256 128
AUTH HMAC SHA2 384 192
AUTH HMAC SHA2 512 256

5996
4595
4494
4868
4868
4868

10

3.2.7.4 Transform Type4: Diﬃe-Hellman 鍵共有
表 17: IKEv2 Diﬃe-Hellman 鍵共有 (Transoform Type4) の推奨
登録番号251415161718
19202122232425
26Diﬃe-Hellman 鍵共有

RFCGroup 2 - 1024-bit MODP Group
1536-bit MODP Group
2048-bit MODP Group3072-bit MODP Group
4096-bit MODP Group
6144-bit MODP Group
8192-bit MODP Group256-bit random ECP group384-bit random ECP group521-bit random ECP group1024-bit MODP Group with 160-bit Prime Order Subgroup2048-bit MODP Group with 224-bit Prime Order Subgroup2048-bit MODP Group with 256-bit Prime Order Subgroup192-bit Random ECP Group224-bit Random ECP Group

5996
5996
5996
3526
3526
3526
3526
5903
5903
5903
5114
5114
5114
5114
5114

3.2.7.5 IKEv2 認証ペイロード
IKEv2 には様々なペイロードタイプがあり (表 18)、SA/KE/AUTH などの認証に係るペイロードタイプが含まれる。
表 18: IKEv2 認証ペイロードのタイプ

Value
333435363738394041424344

Next Payload Type

Notation

RFC

Security Association
Key Exchange
Identiﬁcation - Initiator
Identiﬁcation - Responder
Certiﬁcate
Certiﬁcate Request
Authentication
Nonce
NotifyDeleteVender ID
Traﬃc Selector - Initiator

SAKE
IDi
IDr
CERT
CERTREQAUTH
Ni, Nr
N
DV
TSi

5996
5996
5996
5996
5996
5996
5996
5996
5996
5996
5996
5996

11

表 18: IKEv2 認証ペイロードのタイプ

Value
4546474849

Next Payload Type

NotationRFC

Traﬃc Selector - Responder
Encrypted and AuthenticatedConﬁguration
Extensible Authentication
Generic Secure Password Method

TSrSKCP
EAP
GSPM

5996
5996
5996
5996
5996

IKEv2 認証ペイロードに係る暗号アルゴリズムの推奨を表 19 に示す。
表 19: IKEv2 認証ペイロードに係る推奨
推奨暗号スイート

RFC

RSASSA-PKCS1-v1 5
PSK

5996
5996

DSA
ECDSA with SHA-256 on P-256
ECDSA with SHA-384 on P-384
ECDSA with SHA-512 on P-512

5996
4754
4754
4754

12

備考
機器設定した鍵（パスワード）と MAC
アルゴリズムを組み合わせた方法

参考文献[SP 800-57,part1] National Institute of Standards and Technology, “Recommendation for Key Management - Part1: General(Revised),” March, 2007.
[SP 800-57,part3] National Institute of Standards and Technology, “Recommendation for Key Management - Part3: Application-Speciﬁc Key Management Guidance,” December 2009.

13

不許複製 禁無断転載
発行日2012 年 9 月 30 日第 1 版 第 1 刷

発行者
・〒184-8795
東京都小金井市貫井北四丁目 2 番 1 号
独立行政法人 情報通信研究機構（ネットワークセキュリティ研究所 セキュリティアーキテクチャ研究室、セキュリティ基盤研究室）
NATIONAL INSTITUTE OFINFORMATION AND COMMUNICATIONS TECHNOLOGY
4-2-1 NUKUI-KITAMACHI,KOGANEITOKYO,184-8795 JAPAN・〒113-6591
東京都文京区本駒込二丁目 28 番 8 号
独立行政法人 情報処理推進機構（技術本部 セキュリティセンター 暗号グループ）
INFORMATION-TECHNOLOGY PROMOTION AGENCY, JAPAN
2-28-8 HONKOMAGOME,BUNKYO-KU
TOKYO,113-6591 JAPAN