暗号技術評価委員会
活動報告
暗号技術評価委員会 委員長(電気通信大学 教授)
太田 和夫

1

2016年度 CRYPTREC 体制
暗号技術検討会
Advisory Board for Cryptographic Technology

事務局：総務省、経済産業省

暗号技術評価委員会

暗号技術活用委員会

Cryptographic Technology Evaluation Committee

Cryptographic Technology Promotion Committee

事務局：NICT, IPA

事務局：IPA, NICT・暗号技術の安全性及び実装に係る監視及び評価・暗号技術の安全な利用方法に関する調査

暗号解析評価WG
Cryptanalysis Evaluation Working Group

軽量暗号WG
Lightweight Cryptography Working Group

軽量暗号WG : 本間主査

2016年度完了

完成したガイドラインについて
シンポジウム後半で講演
2

2017年度 CRYPTREC 体制
暗号技術検討会
Advisory Board for Cryptographic Technology

事務局：総務省、経済産業省

暗号技術評価委員会

暗号技術活用委員会

Cryptographic Technology Evaluation Committee

Cryptographic Technology Promotion Committee

事務局：NICT, IPA

事務局：IPA, NICT・暗号技術の安全性及び実装に係る監視及び評価
・暗号技術の安全な利用方法に関する調査

暗号解析評価WG
Cryptanalysis Evaluation Working Group

暗号解析評価WG : 高木主査
2017年度継続
この後講演32016～2017年度 暗号技術評価委員会 委員
委員長

太田 和夫

国立大学法人電気通信大学 大学院情報理工学研究科 教授

委員

岩田 哲

国立大学法人名古屋大学 大学院工学研究科 准教授

委員

上原 哲太郎立命館大学 情報理工学部 教授

委員

金子 敏信

東京理科大学 理工学部 教授

委員

佐々木 良一東京電機大学 未来科学部 教授

委員

高木 剛

国立大学法人東京大学 大学院情報理工学系研究科 数理情報学専攻 教授

委員

手塚 悟

慶應義塾大学 大学院政策・メディア研究科 特任教授

委員

本間 尚文

国立大学法人東北大学 電気通信研究所 教授

委員

松本 勉

国立大学法人横浜国立大学 大学院環境情報研究院 教授

委員

松本 泰

委員

盛合 志帆

委員

山村 明弘

国立大学法人秋田大学 大学院理工学研究科数理・電気電子情報学専攻 教授

委員

渡邊 創

国立研究開発法人産業技術総合研究所
情報・人間工学領域研究戦略部 研究企画室長

セコム株式会社 IS研究所
コミュニケーションプラットフォームディビジョン ディビジョン マネージャー
国立研究開発法人情報通信研究機構
サイバーセキュリティ研究所 セキュリティ基盤研究室長

4暗号技術評価委員会活動目的
CRYPTREC 暗号リストに掲載されている暗号技術や電子政府システム等で利用される暗号技術の安全性維持及び信頼性確保のために安全性及び実装に係る監視及び評価を行う。

5

暗号技術評価委員会活動概要• 暗号技術の安全性及び実装に係る監視及び評価
暗号等の監視CRYPTREC暗号等の監視– CRYPTREC– 電子政府推奨暗号リスト及び推奨候補暗号リストからの運用監視リストへの降格および運用監視暗号リストからの危殆化が進んだ暗号の削除– CRYPTREC
CRYPTREC注意喚起レポートの発行
注意喚起レポートの発行– 推奨候補暗号リストへの新規暗号
推奨候補暗号リストへの新規暗号((事務局選出事務局選出))の追加の追加– 新技術などに関する調査及び評価• 暗号技術の安全な利用方法に関する調査(技術ガイドラインの整備・学術的な安全性の調査・公表など)– 暗号アルゴリズムの危殆化に向けた対応
6主な活動内容
SHAKE128 のCRYPTREC
暗号リストへの追加

評価結果の確認 条件が満たされているか判断

外部調査開始共通鍵暗号の安全性評価
ChaCha20-Poly1305の安全性・実装性能評価

外部調査まとめ

対応方針検討開始

Poly1305安全性評価開始
ChaCha20
ChaCha20
ChaCha20-Poly1305安全性評価開始
安全性評価開始 安全性評価まとめ ChaCha20-Poly1305実装性能調査開始

速報公開 速報公開 ガイドライン更新作業開始

SHA-1 の安全性低下への対応

第 1回

第 2回

2016年度

第1回
7月

第2回

2017年度

暗号技術評価委員会開催

2月
(予定)

7

SHAKE128 のCRYPTREC暗号リストへの追加• 2016年度– 2015年度までに実施した安全性及び実装性能評価をもとに、CRYPTREC 暗号リストへの追加条件を満たしていると判断検討会審議により、CRYPTREC 推奨候補暗号リストへ追加

8

SHAKE128 のセキュリティ強度
推奨候補暗号リスト掲載のハッシュ関数 SHA-3 アルゴリズム
アルゴリズムSHA3-256
SHA3-384
SHA3-512SHAKE128 (注)SHAKE256 (注)出力長(bits)
256384512dd

セキュリティ強度 (bits)
衝突攻撃
原像攻撃
第 2 原像攻撃
への耐性
への耐性
への耐性
128
256
256
192384384
256
512
512
min(d/2,128)
min(d,128)≧min(d,128)
min(d/2,256)
min(d,256)≧min(d,256)(注) 「 ハッシュ長は 256 ビット以上とすること。」

9

64ビットブロック暗号の動向• MISTY1 に対する解析の進展– CRYPTO2016• 解読にほぼすべて264組の(平文, 暗号文)を集める必要があるが、鍵の全数探索よりも少ない計算量(270)で鍵が導出可能• 64ビットブロック暗号の安全性– ACM CCS 2016
• TLSやOpenVPN等の実プロトコルで、64ビットブロック暗号により同じ鍵で232ブロック以上暗号化した場合、cookieやpassword等の秘密情報が導出可能 (https://sweet32.info, CVE-2016-2183, -6329)– Open VPN, Mozilla, OpenSSL, Microsoft等も対応– NIST (2017.7)• TripleDES による暗号化上限回数を 232 から 220 に引き下げたガイド
ライン(SP800-68_rev2)のドラフト公開、パブリックコメント募集(2017.10.1まで)
10

共通鍵暗号の安全性評価• 2016年度– 外部専門家による調査を実施• 攻撃法の発展（暗号解読に必要な計算量・データ量・メモリ量等の低下）の調査• 解読手法の進展や計算機能力の向上を勘案した共通鍵暗号の今後の危殆化に関する考察• 2017年度– 64ビットブロック暗号利用時の安全な利用方法(同一鍵での暗号化上限回数)についての指針を検討中

11

ChaCha20-Poly1305 の安全性・実装性能評価• 2016年度– ChaCha20 に関する安全性評価実施
現時点で重大な脅威は見つかっていない• 2017年度– Poly1305 の安全性評価– ChaCha20-Poly1305 の安全性評価– ChaCha20-Poly1305 の実装性能に関する調査

12

SHA-1 の安全性低下への対応

SHA-256等、より安全なハッシュ関数への速やかな移行を
13

政府機関の情報システムにおいて使用されている暗号アルゴリズムSHA-1及びRSA1024に係る移行指針
内閣官房情報セキュリティセンター(NISC) より2008年4月22日公開

2008年 情報セキュリティ政策会議

14

SHA-1の安全性低下に伴う影響• CRYPTREC 暗号リストに掲載されている暗号技術に対する影響を調査中– 東京工業大学 田中圭介氏に協力依頼
現時点で、見解が得られている暗号技術
技術分類
公開鍵暗号

守秘名称
RSA-OAEP

署名DSA
ECDSA
RSA-PSS15

公開鍵暗号_守秘• RSA-OAEP– 用いられているハッシュ関数に衝突攻撃への耐性が保証されていなかったとしても、IND-CCA2 安全性が保たれる [KNTX10]• 第 2 原像攻撃 や 原像攻撃への耐性が保証されない
場合についても、IND-CCA2 安全性が保たれる[KNTX10] Security of Encryption Scheme in Weakened Random Oracle Models,
Akinori Kawachi, Akira Numayama, Keisuke Tanaka, Keita Xagawa, Public Key Cryptography 2010: 403-419

16公開鍵暗号_署名• DSA, ECDSA, (RSA-FDH)– 用いられているハッシュ関数に衝突攻撃への耐性が保証されていないと、選択的文書攻撃に対して存在的偽造不可能性が保たれない• RSA-PSS– 十分に長い salt をとることにより、安全性は保たれる[KNTX08][LN09][KNTX08] Security of Digital Signature Schemes in Weakened Random Oracle Models.
Akira Numayama, Toshiyuki Isshiki, Keisuke Tanaka:, Public Key Cryptography 2008: 268-287[LN09] How Risky Is the Random-Oracle Model? Gaëtan Leurent, Phong Q. Nguyen, CRYPTO 2009: 445-464 17

SHA-1 に対する CRYPTREC の見解と対応方針• SHA-1は、「CRYPTREC暗号リスト」の「運用監視暗号リスト」に掲載している(2013年3月策定)• 互換性維持以外の目的での利用を推奨しない• SHA-1 の安全性低下が進んでいることから、
SHA-256 等のより安全なハッシュ関数への移行を推奨する• 「CRYPTREC暗号技術ガイドライン(SHA-1)」の更新作業中
18

CRYPTREC 暗号技術ガイドライン(SHA-1)• 2014年3月発行• 更新版を今年度末に公開予定– 有識者のご協力のもと更新版を作成

現在ここ• セコム IS 研究所 松本泰氏
佐藤雅史氏
島岡政基氏

– 外部関連組織のレビューも予定– 暗号技術評価委員会による審議

192017年度暗号技術評価委員会活動予定• 共通鍵暗号の安全性評価– 64ビットブロック暗号の安全な利用方法に関する注釈の追加• ChaCha20-Poly1305 の安全性・実装性能評価– 安全性・実装性能ともに CRYPTREC 暗号リストへの追加に十分な条件を満たしているかの判断– CRYPTREC 暗号リストへの新規カテゴリ新設の検討• SHA-1 の安全性低下への対応– CRYPTREC 暗号技術ガイドライン(SHA-1)更新版公開
20主な活動内容
SHAKE128 のCRYPTREC
暗号リストへの追加

評価結果の確認 条件が満たされているか判断

リストへ追加済
外部調査開始共通鍵暗号の安全性評価
ChaCha20-Poly1305の安全性・実装性能評価

外部調査まとめ

対応方針検討開始

リストへの注釈追加

Poly1305安全性評価開始
ChaCha20
ChaCha20
ChaCha20-Poly1305安全性評価開始
安全性評価開始 安全性評価まとめ ChaCha20-Poly1305実装性能調査開始

リスト追加資格の判定

速報公開 速報公開 ガイドライン更新作業開始

ガイドラインの更新

SHA-1 の安全性低下への対応

第 1回

第 2回

2016年度

第1回
7月

第2回

2017年度

暗号技術評価委員会開催

2月
(予定)

21

付録

22

64ビットブロック暗号 MISTY1の安全性に関する速報
2015年8月12日速報※詳細は下記サイト参照

http://www.cryptrec.go.jp/topics/cryptrec_20150812_misty1_cryptanalysis.html 23

暗号アルゴリズムの脆弱性に関する情報発信フロー24