CRYPTRECシンポジウム 2023

2030年暗号移行問題について松本

2023年7月26日
泰 （セコム株式会社IS研究所顧問）© 2023 SECOM CO., LTD1

2030年暗号移行問題について• 2003年に公開された「CRYPTREC電子政府推奨暗号リスト」にみられるような客観的に評価された暗号アルゴリズム、この評価を前提に標準化されたオープンな暗号技術は、深く社会基盤に組み込まれ、それに伴いデジタル社会を大きく前進させた。
• こうした社会基盤に組み込まれた暗号アルゴリズムの最初の移行が「2010年暗号移行問題」とされた。
• 本講演では、公開鍵暗号基盤（PKI）を中心に「2010年暗号移行問題」を振り変えり、より深く社会に浸透した暗号技術に対する「2030年暗号移行問題」について考察する。
• また、デジタル社会における暗号技術の社会への浸透に伴うCRYPTRECが果たすべき役割の変化についても考察する。
• キーワード– 80bitセキュリティ
RSA1024bit with SHA-1など– 112bitセキュリティ
RSA 2048bit with SHA-2(SHA-256)など– 2010年問題
112bit セキュリティへの移行が2010年問題– 120bit セキュリティ
RSA 3072bit with SHA-2 (SHA-256)など– 2030年問題
120bitセキュリティへの移行が2030年問題© 2023 SECOM CO., LTD

2

CRYPTRECシンポジウム 2023
• （１）
• （２）
• （３）

20１0年暗号移行問題の振り返り
欧州における2030年暗号移行問題の対応方針と状況
まとめ© 2023 SECOM CO., LTD3

2010年暗号移行問題の振り返り
喉元過ぎれば熱さを忘れる？？

© 2023 SECOM CO., LTD4日本銀行金融研究所ディスカッション・ペーパー
暗号アルゴリズムにおける2010年問題について 宇根 正志、神田 雅透
2005年11月
https://www.imes.boj.or.jp/research/abstracts/japanese/05-J-22.html• 金融分野においては、金融取引に用いられる各種データの機密性や一貫性を確保する手法、あるいは、取引相手を認証する手法の要素技術として暗号アルゴリズムが活用されている。現時点では、共通鍵暗号は2-keyトリプルDESとRC4、公開鍵暗号は鍵長1024ビットのRSA、ハッシュ関数はSHA-1が主流になっているとみられている。
• しかし、これらの暗号アルゴリズムは、今後のコンピュータのコスト・パフォーマンス向上や暗号解読技術の進展等を前提とすると、今後10～15年にわたって十分な安全性を確保することが難しいとの見方が暗号研究者の間で強まっている。また、従来暗号アルゴリズムの安全性について実質的に「お墨付き」を付与してきた米国立標準技術研究所（NIST）は、より安全な次世代の暗号アルゴリズムへの移行を図るため、2-keyトリプルDESや鍵長1024ビットのRSAやSHA-1など現在主流とされている暗号アルゴリズムを2011年以降米国連邦政府機関のシステムで使用しない方針を各種ガイドラインの中で示している。
• こうしたことから、暗号アルゴリズムの移行を今後どのように進めるかが重要な問題となってきており、本稿ではこうした問題を総称して「暗号アルゴリズムにおける2010年問題」と呼ぶ。NISTが期限として定めている2010年までに移行を完了させるためには、本問題への対応について早急に検討を開始することが求められる。
• 本稿では、現在主流とされている暗号アルゴリズムの安全性評価結果について紹介したうえで、暗号アルゴリズムにおける2010年問題とその影響、NISTの対応状況等について説明する。さらに、今後金融分野において本問題に対処していくうえで留意すべき点について考察する。
© 2023 SECOM CO., LTD

5

PKI相互運用技術からみたSHA-1問題

2006年6月

出典：PKI相互運用技術からみたSHA-1問題 2006年6月
https://www.jnsa.org/seminar/2006/20060607/matsumoto_02.pdf© 2023 SECOM CO., LTD6

現実の世界？

（2006年当時の状況）
電子政府推奨暗号リスト
初版 2003年
政府機関の情報セキュリ
ティ対策のための統一基準
初版 2005年
政府機関の情報システム(暗号システムの調達など）
出典：
PKI相互運用技術からみたSHA-1
問題 2006年6月
https://www.jnsa.org/seminar/2006/20060607/matsumoto_02.pdf© 2023 SECOM CO., LTD

7

どうやって移行(マイグレーション)するのか??
誰が全体を取りまとめるか??

レガシーな信頼点（RSA1024)が組み込まれた携帯（ガラケー）をサポートするために、移行は、なかなか進まなかった。
マルチステークホルダー環境の移行は、デットロックとなる可能性が強い。
結局のところ、移行には、何らかの強制力が必要となる。
→ 「2030年問題」も同様
出典：社会基盤としてのPKI / PKIの10年
2010年6月29日
https://www.jnsa.org/seminar/pkiday/2010/data/5_a_matsumoto.pdf© 2023 SECOM CO., LTD

8政府機関の情報システムにおいて使用されている暗号アルゴリズム
SHA-1及びRSA1024に係る移行指針
2008年4月 （2012年10月に改訂版が発行）

出典：
政府機関の情報システムにおいて使用されている暗号アルゴリ
ズムSHA-1及びRSA1024に係る移行指2008年4月
https://www.nisc.go.jp/pdf/
policy/general/crypto_pl.pdf
改訂版2012年10月
https://www.nisc.go.jp/pdf/policy/general/angou_ikous
hishin.pdf•••

2008年当時「移行指針」が示されたことは、極めて重要だった。
「移行指針」が「2010年暗号移行問題」対応へのトリガーを引いた。
実際の移行のスケジュールが明らかになったのは、4年後の2012年の改訂版
Yasushi Matsumoto© 2023 SECOM CO., LTD9出典: 次世代暗号アルゴリズムへの移行 ～暗号の2010年問題にどう対応すべきか～ 2008年11月
https://www.nic.ad.jp/ja/materials/iw/2008/proceedings/H10/© 2023 SECOM CO., LTD10出典: 次世代暗号アルゴリ
ズムへの移行 ～暗号の2010年問題にどう対応すべきか～ 2008年11月「暗号アルゴリズムの安全性のお話」
神田 雅透/ＮＴＴ情報流通
プラットフォーム研究所
https://www.nic.ad.jp/ja/materials/iw/2008/proceedings/H10/IW2008-H10-01.pdf

2010年問題の2010年（末）は、署名検証の終了のはずだった？？
（Y-day）
署名生成の終了(Xday)は、2008年末© 2023 SECOM CO., LTD

11

移行までの準備期間という問題

出典：次世代暗号アルゴリズムへの移行 ～暗号の2010年問題にどう対応すべきか～
2008年11月
政府機関における安全な暗号利用の促進
内閣官房情報セキュリ
ティセンター
産業技術総合研究所情報セキュリティ研究セ
ンター 繁富 利恵

混在する期間という問題

なかなか止められないという問題

https://www.nic.ad.jp/ja/
materials/iw/2008/procee
dings/H10/IW2008-H1002.pdf

X-day:新たな暗号方式 新たな暗号方式への移行開始 への移行開始 (従来の方式の (従来の方式の 新規使用停止)
Y-day:新たな方式への 新たな方式への移行完了(従来 移行完了(従来 の方式の消滅) の方式の消滅© 2023 SECOM CO., LTD

12

出典：
次世代暗号アルゴリズムへの移行 ～暗号の2010年問題にどう対応すべきか～ 2008年11月
松本 泰/セコム株式会社 IS研究所
https://www.nic.ad.jp/ja/materials/iw/2008/
proceedings/H10/IW2008-H10-03.pdf「半導体」は「産業のコメ」に対して、「暗号技術」は、ありとあらゆるITソリューションに加工され組み込まれる「産業のコムギ」？
なので、問題の本質が分かり難い。
Yasushi Matsumoto© 2023 SECOM CO., LTD13

公的個人認証サービス（JPKI）におけるX-day,Yday• 2003年 住基カードカード （RSA1024 with SHA1証明書）発行開始– カードの有効期間 10年、 （旧）JPKIの証明書の有効期間（3年）• 2008年 暗号アルゴリズムSHA-1及びRSA1024に係る移行指針
by NISC• 2009年 「公的個人認証サービスにおける暗号方式等の移行に関する検討会報告書」の公表– 出典：https://www.soumu.go.jp/main_sosiki/kenkyu/kouteki_kojin/index.html– 2011年度末を目途に新たな暗号アルゴリズムに対応する住基カードの交付を開始– SHA-2及びRSA2048による電子署名についての認証業務を開始する。( 2014年度早期まで)– → これらは、実行されず？？?（ RSA2048withSHA2証明書の発行開始は2016年1月）• 2013年 マイナンバー法 成立 （ 2012年 マイナンバー法 廃案）• 2015年12月末– 住基カード発行終了（有効期限は2025/12）。（旧）JPKI証明書発行終了（有効期限は2018/12)• 2016年1月– マイナンバーカード、JPKI（RSA2048対応カード、 RSA2048withSHA2証明書）の発行開始– マイナンバーカードの発行開始を X-day とした場合、 2008年4月の移行指針から約８年弱かかったことになる• 2018年末– （旧）JPKIの証明書の有効期間（3年） 2010年問題のY-day ？？
– 2018年12月までは、RSA1024の署名生成が行われていた（X-day？）と考えられる。
© 2023 SECOM CO., LTD

14

GPKI 政府認証基盤相互運用性仕様書 - GPKI、LGKI、JPKI移行のメカニズム
https://www.gpki.go.jp/session/index.html• 初版は、2001年4月に発行されているが、基本的なアーキテクチャは変更がない。
フェーズ2は、２０１０問題の移行期間中• 2010年問題の対応を経て現在に至る– 暗号技術をベースとした社会基盤となるシステムの寿命は長い• 基本的にリンク証明書(OldWithNew、NewWithOld）の機能によりGPKI、LGKI、JPKI、商業登記CA、電子署名法の民間CAなど、複数の認証局における新旧暗号アルゴリズムの証明書の混在（および移行）を可能にしている。
出典:
政府認証基盤– 「暗号2010年問題」 「暗号2030年問題」に対(GPKI) 政府認
応する移行メカニズムは、2001年の設計当初か証基盤相互運用ら備わっている（米国FPKIと同様）性仕様書 (移行期間編)
https://www.gp – しかし、移行には十分な時間を掛ける必要があ
ki.go.jp/session/る。 ->.
それぞれのシステム更新、調達など
CompatibilitySpは、非同期に行われる（それぞれのライフサイク
ecifications_pha
se2.pdf
ルがある）© 2023 SECOM CO., LTD15

「 2010年暗号移行問題の振り返り」のまとめ• 米国政府の当初の2010年の意味• X-Dayは、2008年中→ これが、「2010年問題」のはずだった？？
• Y-dayは、2010年末
2008年4月 → ここで初めて2010年問題対応へのトリガー引かれた• NISCの移行指針
2014年早期– X-dayの想定は、2012年10月移行のスケジュールが具体的に示された• NISCの移行指針改訂版
2014年9月下旬以降の早期– X-dayの想定は、2015 年度まで 、（条件付きで）2019 年度を超えない 範囲– Y-dayの想定は、• JPKI証明書における実際の移行
2016年1月→移行指針から約8年– X-day
2018年末 → 2010年（末）問題と言いつつ、2018年（末）– Y-day– 最後の住基カードの有効期限は2025年末 -> 実質的にはマイナンバーカードへ置き換え

2008年の移行指針は、「2010年問題」において非常に重要な役割を果たした。
しかし、この移行指針がトリガーを引いた移行の結末？に関して、関係者間において認識されているとは言えないかもしれない。
© 2023 SECOM CO., LTD16欧州における2030年暗号移行問題の対応方針と状況© 2023 SECOM CO., LTD

17

SOG-ISの暗号評価スキーム・合意された暗号メカニズム• 欧州のSOG-IS(Senior Officials Group – InformationSystems Security) のSOG-IS協定に基づく文書• アルゴリズムと鍵長などと、その利用期限が明記– CRYPTREC 「暗号強度要件(アルゴリズム及び鍵長選択)に 関する設定基準（2022年3月」とも近い文書• 2016年５月 Ver1.0 発行（最新版は 2023年1月Ver.1.3）– この文書の関連性を維持するために、最先端の進歩を考慮して2年ごとに改訂• アウトプット先（この文書を参照している）– CC（コモンクライテリア）暗号技術利用製品の認証– 欧州のeIDAS規則に準拠したETSIのトラストサービス
関連の標準文書出典： SOGIS Crypto WG - supporting documents
https://www.sogis.eu/uk/supporting_doc_en.html© 2023 SECOM CO., LTD

18

SOG-ISの暗号評価スキーム・合意された暗号メカニズム• 二つの種類の「合意された暗号メカニズム」– （この文書発行時点で）推奨されるメカニズム「2030年問題対応」• オフライン攻撃に対して少なくとも 125 ビットのセキュリティを提供する必要– → RSA2048などは、既に「推奨」ではない！（2016年 V1.0発行時点で）– （大規模に展開されている）レガシーメカニズム「2030年問題非対応」• レガシーメカニズムは（期限まで）許容されるがセキュリティマージンが低い– → 日本国内は、ほぼ、この大規模に展開されているレガシーメカニズムの状況• ２年毎に更新->
レガシーメカニズムの記述が変更– 2016(Ver1.0)• レガシーメカニズムのデフォルトの受け入れ期限は、2020年(12月31日)– 2018(ver1.1)• レガシーメカニズムのデフォルトの受け入れ期限は、2022年(12月31日)– 2020(ver.1.2) および 2023(Ver1.3)• 「レガシー暗号メカニズム」の記述・定義が変更。暗号アルゴリズム毎の期限• RSA2048のレガシーメカニズムは、2025年に合意が取り下げられる
出典： SOGIS Crypto WG - supporting documents https://www.sogis.eu/uk/supporting_doc_en.html© 2023 SECOM CO., LTD

19

耐量子計算機暗号の対応・移行に関する記述• 2016年版（Ver.1.0）– 量子計算機は暗号技術にとって直ちに脅威となるものではないが、将来的にはこのような事態が起こるかもしれない。現在の文書では、合意された量子耐性メカニズムは提供されていない。数年以内に量子耐性メカニズムの標準化が行われる可能性があるため、そのようなメカニズムは将来のバージョンで導入されるかもしれない。
• 2018年版（Ver.1.1）
2016年版と同様• 2020年版（Ver.1.2）– 先端の暗号メカニズムの安全性を脅かすほど大規模な量子計算機はまだ開発されていないが、非常に活発な取り組みであり、今後数十年のうちに実現されるかもしれないと期待する専門家もいる。本文書では、合意された非対称量子耐性メカニズムを提供しない。そのようなメカニズムについては、現在進行中の安全性評価プロセスを経て、将来のバージョンで導入される予定である。
– While no quantum computers large enough to threaten the security of state-of-the-art
cryptographic mechanisms has been developed yet, it is a very active endeavour, andsome experts expect it may be achieved in the coming decades. This current document
does not provide agreed asymmetric quantum resistant mechanisms. Such mechanisms
will be introduced in future versions, following the ongoing process of assessing thesecurity of such mechanisms.
• 2023年年版（Ver.1.3）
2020年版（Ver.1.2）と同様
出典︓https://www.sogis.eu/documents/cc/crypto/SOGIS-Agreed-Cryptographic-Mechanisms-1.3.pdf© 2023 SECOM CO., LTD

20

ETSI TS 119 312
Electronic Signatures and Infrastructures (ESI); Cryptographic Suites

出典︓
https://www.etsi.org/deliver/etsi_ts/11
9300_119399/119312/01.04.02_60/ts_119312v010402p.pdf• 欧州のeIDAS規則に準拠したETSIのトラストサービス関連の標準化
文書のひとつ →推奨というよりは強制力が働く。
• 暗号メカニズムは、SOG-IS の文書 （２年毎に更新）を参照– ETSI TS 119 312 も合わせてに２年毎に更新• Cryptographic Suites– 署名アルゴリズム＋ハッシュ＋パディングの組み合わせのセット• トラストサービスの標準化、相互運用性確保の観点が目的– 相互運用性確保、移行のコスト、実装・展開の容易さ観点からは、Cryptographic Suitesを選定（限定）– → 検証環境のコストにも、非常に大きな影響を与える• 2014年（ETSI TS 119 312 V1.1.1 (2014-11) ）において120bitセキュリティへの移行を促している– 2014年時点で、2020年を超える証明書（有効期間が６年以上の証明書）は、RSA 3072bit などを推奨

Cryptographic Suites標準化の意義 → 日本において欠ける標準化という観点の重要性
欧州においては、こうした標準文書に従って、多くの「ビルディングブロック」「オープンソース」が開発され、さまざまな基盤で共通に利用されている。結果、移行も容易になる。
© 2023 SECOM CO., LTD21

エストニアのeIDの認証局（CA証明書）とeIDの事例-> 欧州のeIDAS規則のQTSP(クオリファイド・トラストサービスプロバイダー）•EID-SK 2015

EID-SK 2011•

EST EID 2018

•

•

出典︓

https://www.skidsolutions.eu/en/repository/••

エストニアのeIDは、• 2002年発行開始(RSA1024 SHA-1)• カード有効期間5年• 証明書有効期間5年
EID-SK 2011 発行開始
2011年
• EUのトラストリストでは既に無効• CA証明書 RSA2048 SHA-1• EE証明書 RSA2048 SHA-1
EID-SK 2015 発行開始
2015年
• EUのトラストリストにおいて有効• CA証明書 RSA4096 SHA-384• EE証明書 RSA2048他？？？
EST EID 2018 発行開始
2018年
• EUのトラストリストにおいて有効• CA証明書 ECDSA SHA-512• EE証明書 ECDSA SHA-512

エストニアのeIDは、既に「2030年問題」をクリア
SOG-IS、ETSI(eIDAS)など方針に沿った移行に見受けられる© 2023 SECOM CO., LTD

22まとめと-- 2030年問題？とCRYPTRECの果たすべき役割 --© 2023 SECOM CO., LTD

23

2030年問題？とCRYPTRECの果たすべき役割• 2003年に公開された「CRYPTREC電子政府推奨暗号リスト」 および、CRYPTRECの活動は、今日のデジタル社会において、非常に大きな役割を果たし貢献したことは間違いない。
• しかし、現在の枠組み（推奨暗号リスト、統一基準ほか）は、2010年問題の対応が長引いたことからも、不足していたと考えられる。→ しかし総括されておらず、この認識に欠ける。
• また、暗号技術が社会基盤としてさらに浸透している中での 2030年問題の対応は、困難なものになることが推測される。
• 2023年7月時点においてETSI TS 119 312 にみられるような相互運用性確保と移行を考慮した「 2030年問題に対応した暗号スイート（Cryptographic Suites）」 が示されていない
とこは、今後のデジタル社会の基盤構築に対して大きな障害になる可能性がある（と思う）。
– サイバー空間とフィジカル空間を高度な融合が目指されているSociety5.0において、暗号技術を使用したシステムは、高度な融合、様々な連携が望まれる。ここでは、検証環境の整備などが重要で、これには、暗号スイートの標準化が欠かせない。
• 「CRYPTREC電子政府推奨暗号リスト」の公開から約20年、今後のCRYPTRECの果たすべき役割も含め、こうした暗号移行問題（耐量子計算機暗号への移行も含めて）への対応の枠組みなどが（欧州の事例なども参考に）検討されるべきではないか。
© 2023 SECOM CO., LTD
24

参考スライド© 2023 SECOM CO., LTD25日本銀行金融研究所ディスカッション・ペーパー
SSL証明書における暗号アルゴリズム移行の現状と今後の対応

松本 泰、宇根 正志

2010年4月

https://www.imes.boj.or.jp/research/abstracts/japanese/10-J-11.html• インターネット上で重要な情報をやり取りする際には、アクセス先のサーバーが正当なサーバーであることを確認する必要がある。仮にサーバーの確認が困難な場合、偽のサイトに誤ってパスワード等の重要な情報を入力してしまうおそれがある。インターネット・バンキング等
では、こうした問題への対策として、SSL（Secure Socket Layer）と呼ばれる暗号通信プロトコルによってサーバー認証を行うケースが多い。
• こうしたなか、近年、SSLで利用されている暗号アルゴリズムの安全性低下が顕著になってきている。特に、サーバー認証等に用いられる「SSL証明書」や「ルート証明書」と呼ばれるデータを、より安全性の高い暗号アルゴリズムを利用したものに更新する必要がある。しかしながら、金融機関のサーバーの設定が適切に更新されたとしても、末端の利用者のPCや携帯電話等の設定が更新されなければサーバー認証が実行困難となり、偽サイトにおける情報漏洩等のリスクが残存してしまう。このような状況を回避するためには、サーバー運営者である金融機関をはじめ、末端の利用者、ブラウザー・ベンダー、認証局ベンダー等の関係者が歩調を合わせて対応を検討することが必要である。
• 本稿では、SSL証明書等における暗号アルゴリズムの安全性低下とその移行問題について説明するとともに、SSL証明書やルート証明書の更新を進めていくうえで今後どのような取組みが必要かを検討する。
© 2023 SECOM CO., LTD26

2011年
暗号技術を利用した情報通信技術が基盤化するほどに，この暗号アルゴリズムの移行は困難なものになる

出典︓
https://search.ieice.
org/bin/pdf_link.php?category=B&lang=J&year=2011&fname=j94-b_1_1&abst=© 2023 SECOM CO., LTD27

ETSI TS 119 312 Cryptographic Suitesの位置付け

EUの技術標準-- デジタル単一市場戦略の中核となるトラスト –松本 泰 セコム(株)IS研究所
2019年 2月 7日
https://itresearchart.biz/19ws207/docs/s03.pdf

ETSI TS 119 312© 2023 SECOM CO., LTD28ETSI TS 119 312 Cryptographic Suitesの記述
ETSI TS 102 176-1 V2.1.1 (2011-07)

出典： https://www.etsi.org/deliver/etsi_ts/102100_102199/10217601/02.01.01_60/ts_10217601v020101p.pdf

ETSI TS 119 312 V1.1.1 (2014-11)

2014年から認証局のCA証明書の移行が始まった
出典︓ https://www.etsi.org/deliver/etsi_ts/119300_119399/119312/01.01.01_60/ts_119312v010101p.pdf

ETSI TS 119 312 V1.2.1 (2017-05)

RSAに関しては、ETSI TS
119 312 V1.4.2 (2022-02)の記述も同様

出典︓ https://www.etsi.org/deliver/etsi_ts/119300_119399/119312/01.02.01_60/ts_119312v010201p.pdf© 2023 SECOM CO., LTD

29

最新版

ETSI TS 119 312 V1.4.2 (2022-02)

https://www.etsi.org/deliver/etsi_ts/119300_119399/119312/01.04.02_60/ts_119312v010402p.pdf

Cryptographic Suitesの記述

LR

レガシー
推奨

30

© 2023 SECOM CO., LTD

30

最新版

ETSI TS 119 312 V1.4.2 (2022-02)

https://www.etsi.org/deliver/etsi_ts/119300_119399/119312/01.04.02_60/ts_119312v010402p.pdf

Cryptographic Suitesの記述

31© 2023 SECOM CO., LTD

31