要 旨

107
1. はじめに
金融業界では、磁気ストライプを使った本人認証用のカードの偽造対策として、 ICカード化が進められている（金融情報システムセンター［2011］技40、図表1）。国内キャッシュカードの現状をみると、発行済カードに占めるICカードおよびICカードによる取引が可能なATMの割合はそれぞれ23.0%、91.4%であるほか、 2012年8月にはATMだけでなく銀行のホストシステムを含めた上流ネットワークまで含めたICカード対応（いわゆる、全銀協ICキャッシュカード標準仕様の「基本形」対応）が完了しており、システム全体でICカードを有効に活用可能な体制が整備されている。また、国内クレジットカードの現状をみると、ICカードおよびICカード対応端末の割合は、それぞれ65.6%、63.6%であるほか、今後のICカード化の推進について2016年末までに80%、東京オリンピック・パラリンピックが開催される2020年に100%を目指すとの目標が掲げられている（日本クレジット協会[2015])。 ICカードの導入に関する海外の状況をみると、欧州SEPA¹域内では、既にICカード対応が完了している。SEPAは、ICカード対応完了後も残存するリスクとして域内で発行されたICカードが境外で磁気カードとして不正使用されることを問題視しており²、こうした問題に対応するための新たな運用ボリシー「債務責任の
備考：（注1）2013年度末現在（金融庁［2014］）。（注2）2013年末現在（日本クレジット協会［2015］）。 (注3) 2014年6月末現在(日本クレジットカード協会[2014])。(注4) 2013年度、ビークは2005年度の8.2億円（全国銀行協会[2014]）。(注5) 2013年、ビークは2002年の165億円（日本クレジット協会[2014])。移行³」を、2015年末までに適用する旨を公表している（European Payment Council: EPC [2011]）。国際決済プランドの1つであるVISAも同様に、米国におけるICカード対応を促すために、同様の運用ボリシーを2015年10月1日から開始する旨を公表している4（VISA [2011]）。このように、安全性が高いICカードへの移行を積極的に進めようとする動きは国内外で広まっている。 ICカードのように、暗号アルゴリズムを実装したハードウエアあるいはソフトウエアは「暗号モジュール」と呼ばれ、通常、内部に秘密鍵等が格納されている。こうした暗号モジュールは、内部の秘密鍵が外部からは読み出せないことによって安全性が担保され、データ保護や本人確認等に活用される。他方、暗号モジュールを物理的に破壊することで内部に直接アクセスし秘密鍵を盗取する攻撃（「物理解析（または、侵襲攻撃)」と呼ばれる）が存在することは、フランス等でICカードの実用化が始まった1980年代には既に知られていた5。1990年代に入ると、暗号モジュールを破壊することなく内部の秘密鍵を盗取できるアイデアが示され([非非侵襲攻撃」と呼ばれる）実験環境を用いて実証された（Kocher [1995]）。非侵襲攻撃は痕跡が残らず、しかも比較的安価な装置を用いて実行できるケースもあることから新たな脅威として認識されるようになった。2000年代に入ると、こうした攻撃によって、実用化されている市販の暗号モジュールからでも内部の秘密鍵を推定できたとされる研究結果が相次いで報告され（Eisenbarth et al. [2008]、Oswald and Paar [2011]）、同攻撃が現実的な脅威であると広く認識されるとともに、暗号モジュールの安全性確保の必要性が改めて認識されるようになった。現在では、暗号モジュールの安全性を試験・評価したうえで認証する制度(CMVP、 JCMVP、ISO/IEC 15408として国際標準化されている「Common Criteria」等）が整備されており、こうした制度のもとで認定を受けた製品（以下、「認証品」）を調達可能になっている6。しかし、たとえ認証品であったとしても、攻撃手法が日々高度化し、認証取得時には想定されていない攻撃がでてくるなかで相対的に安全性が低下していくことは避けられない。我が国の一部のキャッシュカードのように、有効期限を設定せずに長期間利用する場合は、そのような変化と付き合っていく必要がある。そのため、金融機関等の調達者にとって、暗号モジュールの安全性につい
109
て知ることは、ビジネスリスク管理のうえで重要である。そのためには、認証品であっても調達した暗号モジュールがどのような試験・評価を受けたのかを把握しておくことが有用であろう。もっとも、現行のCMVPやJCMVPでも、非侵襲攻撃の1つである「サイドチャネル攻撃?」を「その他の攻撃」と位置付けているに過ぎず、同攻撃への対策やその有効性を評価する方法等を示していない。また、Common Criteriaについては、評価機関に求められる評価技術の一例や攻撃の離易度を数値化するための基準は示されているものの8 、具体的な評価方法については公開されていないという状況にあり、調達者が暗号モジュールの評価方法等に関する情報を入手するのはハードルが高い状況にあった。こうしたなか、サイドチャネル攻撃については最近になって、安全性を評価する手法等が学会で提案されるようになってきている。そこで、本稿では、暗号モジュールへの攻撃（「実装攻撃」と呼ばれる）のうちサイドチャネル攻撃に焦点を当てて、同攻撃における攻撃手法や対策を紹介するとともに、既存の安全性評価手法に関する研究動向を紹介する。そのうえで、ICキャッシュカードやICクレジットカード等に関する国際的な楽界標準「EMV仕様9」に準拠したICカード（以下、 [EMVカード]）を取り上げて、サイドチャネル攻撃の影響と同カードに固有の留意点について考察する。以下、2節において、暗号モジュール・ハードウエアへの実装攻撃を俯瞰したうえで、サイドチャネル攻撃に関する攻撃手法や対策等を紹介し、３節において、同攻撃に対する安全性評価手法の研究動向を解説する。最後に、4節において、EMVカードに対するサイドチャネル攻撃の影響と留意点について考察する。
2.サイドチャネル攻撃とその対策
本節では、まず、ICカードのようなハードウエアで実現された暗号モジュールへの実装攻撃10を俯瞰する。そのうえで、実装攻撃の１つであるサイドチャネル攻撃に焦点を当てて、同攻撃の攻撃手法と対策についてそれぞれ概説する。
110 金融研究/2015.10

備考：図中に示した年は、該当する攻撃が初めて提案された年である。
(1)　実装攻撃の分類
ハードウエアで実現された暗号モジュールへの実装攻撃は、まず、攻撃対象のICチップを物理的に破壊したうえでプローブ（探針）を特定の回路にあてて観測する等内部に直接アクセスする「侵襲攻撃（物理解析）」と、そうしたアクセスを行わない「非侵襲攻撃」に分類されるリ。非侵襲攻撃は、さらに、攻撃対象の通常動作を観測・解析を行う「サイドチャネル攻撃」と、何らかの物理的操作を加えることで意図的にエラーを生じさせ、そこで得られる情報を併せて利用する「故障利用攻撃（フォルト攻撃とも呼ばれる）」に分類される12（図表2)。以下、各攻撃の特徴を述べる。
イ.物理解析
物理解析は、攻撃対象のICチップのパッケージ樹脂や絶縁膜、メタル配線等(図表3）を剥離して、内部構造や回路動作を解析する攻撃であり、1980年代には同攻撃が存在することが知られていた（Anderson [2008] Chap. 4)。例えば、パッケージ樹脂等を剥離することでメタル配線を露出させプロープを当てることで、同配線を流れるデータ（秘密鍵等）を直接読み取る攻撃（「プロープ攻撃」と呼ばれる）が存在する（図表4）。また、ICチップ上の特定回路を破壊したり改変したりすれば、セキュリティ機能をバイパスすることができる。ただし、極めて微細なICチップ
図表3　ICチップの縦断面図
図表4　ICチップのパッケージを溶かす様子資料： Skorobogatov [2005]に対してこうした攻撃を行うためには、高価な装置・設備と熟練度の高い技術者が必要になる。
口. 故障利用攻撃
故障利用攻撃は、攻撃対象に通常ありえない刺激を加えることで内部処理のエラーを誘発させ、同エラーと正常な処理結果の両方を手掛かりに秘密鍵を推定する攻撃であり、1996年に初めて提案された（Bellcore [1996]、Boneh, DeMillo, and Liption [1997])。攻撃対象に加える刺激としては、例えば、定格外のクロック周波数（図表5）、電磁波・放射線・レーザの照射等がある。同攻撃の実現可能性は、①エラーが誘発される期間（一時的、永統的）、②エラー誘発のタイミング（任意、特
図表5　定格外のクロック周波数の挿入
定）、③エラーの発生対象となるデータ（特定、任意）、④発生するエラーのタイプ(ピット／バイト単位で値の改変、値の固定化、一方向性のエラー 〈1→0のみ等〉、特定命令の無効化等）といったエラーの性質に大きく依存する。
ハ.サイドチャネル攻撃
ICチップが計算処理を行うと、電流や電磁波の変化等の物理現象が副次的に生じ、この物理現象を計測することで得られる物理量は、計算内容に応じて変動することが知られている。こうした物理量が得られる物理現象は、計算の入出力をやり取りする正規のチャネルに対し、「サイドチャネル」と呼ばれている。特に、計算内容が暗号処理の場合、秘密鍵に依存して物理量が変動し、秘密鍵に関する情報(「サイドチャネル情報」と呼ばれる）がサイドチャネルを通じて漏洩する可能性がある。サイドチャネル攻撃は、こうしたサイドチャネル情報を含んだ物理量を計測し、これを解析することで秘密鍵を効率よく推定する攻撃であり（図表6）、1995年に初めて提案された（Kocher [1995, 1996]）。同攻撃を実行するには、物理量を計測するための機器（オシロスコープ等）や計測した物理量を解析するための計算機（PC等）等が必要となるが、これらは物理解析に用いられる装置・設備と比較すれば一般的に安価である。攻撃者は暗号モジュールの最弱点を狙って攻撃する。そのため、暗号モジュールとしては、ここまで述べた攻撃すべてに対応する必要があるが、サイドチャネル攻撃に対する安全性評価は特に重要度が高いと考えられる。攻撃が受動的に行われる性質上、攻撃を検出してリアクションを取る等の事後的な対策は困難であり、情報の漏洩を減らすことが最大の対策になるため、より厳密な安全性評価が求められる。そこで、本稿では、サイドチャネル攻撃に焦点を当てる。
(2)　サイドチャネル攻撃の攻撃手法
イ. 漏洩モデル
サイドチャネル攻撃は、どんな情報が漏洩しうるのかという物理的な側面と、漏洩を使っていかに暗号解読をするかという暗号学的な側面を持つ。両者を繋げるために、何が漏洩するかを「漏洩モデル13」として抽象化するのが一般的である。次に、代表的な２つの漏洩モデルを紹介する。
①処理時間モデル
秘密鍵の値に応じて処理時間が変化する場合には、処理時間から秘密鍵に関する情報が漏洩する。例えば、秘密鍵の特定のビットの値が0の場合には処理時間の短い処理Aが、1の場合には処理時間の長い処理Bがそれぞれ実行されるとする。この場合、計測した物理現象から当該処理にかかる時間を求め、処理時間が短い場合には秘密鍵の当該ビットが0、長い場合には1であると推定できる可能性がある(図表7 （a))。具体的な暗号アルゴリズムの例として、バイナリ法14を用いて実装されたRSAの復号処理が挙げられる（図表7 （b）)。同実装では、該当する秘密鍵の１ビットの値が０の場合には内部の一時データの２乗（処理Aに相当）を、１の場合には一時データの２乗および一時データと暗号文の乗算（処理Bに相当）をそ図表8  ハミング距離モデルれぞれ行う。処理Bの方が演算内容が多いため、処理時間が長くなる。
②ハミング距離モデル
ICチップには、演算に用いるデータを一時的に記録しておく領域（「レジスタ」と呼ばれる）があり、暗号処理は、レジスタを順次上書きすることで行われる。ハミング距離モデルでは、ある上書きにおいて、値が書き換わった時に限って電力を消費すると考える（図表８（a））。つまり、ある計算をする際の電力の変化を観測すれば、レジスタの値が書き換わったかどうかを推定でき、レジスタが書き換わったかどうかの情報を使えば、計算に利用された秘密情報が復元できる可能性がある。値が変化した時に電力を消費するという性質は、CMOS回路の電気的な性質に由来する。なお、複数ビットのレジスタで考えた場合、書き換えられたビットの数が多い（ハミング距離が大きい）ほど、消費電力は大きくなる（図表8（b)）。具体的な暗号アルゴリズムの例として、AESの暗号化処理が挙げられる（図表8（c)）。暗号処理中のある時点の値（ri+i）は、平文（ri）と秘密鍵に依存する。このため、攻撃者は、ある時点（t+1時点）の消費電力を計測し、その値からハミング距離を推定したうえで、このハミング距離となるような秘密鏡を探索するというアプローチにより、秘密鍵を推定できる。
口.計測波形
暗号処理中に発生する物理現象の物理量は刻々と変化する。それを計測機器で観
図表9   ICチップ内でDESを実行した際の物理量（電流）
資料： Kocher, Jaffe, and Jun [1999]祭すると、図表９のような「波形15」が得られる（以下、計測した波形を「計測波形」と呼ぶ）。計測波形には、サイドチャネル情報とノイズが含まれるが、多くの場合、ノイズ成分が支配的である。攻撃者は、波形をたくさん集め、それらに信号処理・統計処理を適用することでサイドチャネル情報の抽出を試みる。波形をたくさん集めるほど、サイドチャネル攻撃の成功率は高まる。以上の理由から、攻撃成功に必要な波形数は、暗号モジュールの安全性を示す指標（セキュリティ・パラメータ）として利用されることがある。利用者は、その指標を用いて、秘密鍵の更新までに何回暗号化してよいか決めることができる。一方、攻撃者にとって、サイドチャネル攻撃の労力のほとんどは波形の計測・処理に充てられるため、収集する波形数は、攻撃者の労力の指標にもなっている。
ハ.  攻撃手法の分類
サイドチャネル攻撃は、①攻撃に利用する物理現象の選択と②計測した物理現象(計測波形)を解析する方法の組合せで表現される。攻撃に利用する物理現象（上記①）には、攻撃対象の消費電力、攻撃対象から放射される電磁波、攻撃対象の処理時間等があり、こうした物理現象を利用した攻撃は、それぞれ「電力解析」(Kocher, Jaffe, and Jun [1998, 1999])、「電磁波解析」（Gandolfi, Mourtel, and Olivier [2001])、 [タイミング解析」(Kocher [1996]）と呼ばれている16。また、計測波形を解析する方法（上記②）には、「差分解析」や「相関係数解析」等がある（図表10）。上記①、 ②を組み合わせることで、例えば、消費電力を用いた差分解析は「差分電力解析」、電磁波解析を用いた相関解析は「相関電磁波解析」とそれぞれ表現される。

(3)サイドチャネル攻撃への対策
イ.対策の評価
サイドチャネル攻撃への安全性について議論するには、攻撃に要する労力・費用の観点が不可欠である17。もっとも、それらを机上で見積もるのは簡単ではなく、実際に攻撃を行ってみるのが現実的である。こうした背景より、Common Criteriaでは、第三者評価機関によるベネトレーションテストが行われる。評価対象の暗号モジュールは、図表11に挙げた所要時間や必要機材などの攻撃の実現可能性に関する評価項目に従い、予め決められた評価尺度によってスコアが付けられ、このスコアに応じて認証取得の可否が決まる。
口.対策例
前述の２つの漏洩モデルにおける対策の一例を挙げる。処理時間モデルについては、秘密鍵の値にかかわらず処理時間が一定になるようにすることが対策となる(図表12（a))。例えば、秘密鍵の値が0のとき、処理Aのほかに、ダミー演算を実行することで処理時間が処理Bと同程度になるように調整することが考えられる。ハミング距離モデルについては、暗号化処理の冒頭において平文に乱数を加えることでマスクし、このマスクされた状態のまま暗号化処理を行うという対策（Гマスキング」と呼ばれる）が挙げられる（図表12 （b））。理論的には、撹拌の処理を行う前にマスク（乱数）を外し、搅拌後にマスクを加えるという流れになるが、この一連の流れを一体化することで、マスクを外した状態に戻すことなく暗号化処理を実行できる。このため、計測した消費電力から求めたハミング距離には、マスクの影響が残っており、秘密鍵を推定することができないと期待される。
図表12  各漏洩モデルにおける対策例
2節において、暗号モジュールの安全性評価には、ペネトレーションテストを行う必要があることを述べた。ペネトレーションテストを行う評価者（すなわち攻撃者）は、限られた時間のなかで、できる限りの評価を行う。そのため、評価の効率化は必須であり、そのための方法がいくつか知られている。本節では、安全性評価に焦点を当て、既存の３つの安全性評価手法を紹介したうえで、各評価手法を比較する。
(1)  評価手法1：波形数を用いる評価手法
波形数を用いる評価手法（以下、「評価手法1」）は、まず、評価対象の暗号モジュールにサイドチャネル攻撃を適用することで未知の秘密鏡の推定に要した波形数（計測波形の数）を求めるものである（図表13）。同手法は、攻撃手法や対策に関する既存研究において広く採用されている。特に、製品の評価では、「100万波形以下では秘密鍵を推定できないこと」等の安全性要件（以下、「N波形安全」）が充足されるか否かの評価が行われる。例えば、図表13のような評価結果が得られた場合には、（i）暗号モジュール①、②は要件を満たさないが、（ii）暗号モジュール③、①は要件を満たすことがわかる。その結果、暗号モジュール①、②は、要件を充足しないと判断される18 。
評価者は、本物の攻撃者よりも多くの前提知識を活用して評価することが可能である。特に、鍵の真の値を、あらかじめ知ったうえでこれを利用して評価することもできる。その条件のもとでは、鏡候補の探索を行うことなく、鍵に関する情報のサイドチャネルからの漏洩有無を直接調べることができる。仮説検定を用いる評価手法（以下、「評価手法2」）は、まず、「サイドチャネル情報を漏洩していない」という帰無仮説を立てておき、計測した物理現象（計測波形）が同仮説のもとでは非常に稀にしか観測し得ないことを示すことで同仮説を棄却し、対立仮説である「サイドチャネル情報を漏洩している」ことを示すという手法である19。なお、同手法は、サイドチャネル情報の漏洩の有無を調べることが目的であり、そうした漏洩があった場合に、それをどう利用すれば秘密鏡を推定できるかといった攻撃手法の構築や、そうした攻撃手法による秘密鍵推定の困難さについては評価対象外としている。具体例として、計測波形に秘密鍵に依存した偏りがあるか否かを仮説検定で調べる方法を示す（図表14）。検定の結果、こうした偏りがあると判定された場合には、計測波形と秘密鍵の依存関係を利用して計測波形から秘密鍵を推定される可能性があるといえる。具体的な手順は、次のとおりである。 ①帰無仮説と対立仮説を立てる。なお、グループとは、既知の秘密鍵にもとづき分類された計測波形の集合（下記④を参照）を指す。帰無仮説：グループ間に有意な差がない（漏洩なし）対立仮説：グループ間に有意な差がある（漏洩あり） ②用意したN個の平文（既知）を、暗号モジュールを用いて暗号化する。 ③上記②の暗号化において、各暗号化処理における消費電力を計測し、N個の計測波形を得る。 ④既知の秘密鍵のビットの値にもとづき、計測波形を２つのグループに分類する。 ⑤仮説検定により、グループ間に有意な差があるか否かを判定する。検定結果が「有意な差がある」の場合には、帰無仮説を棄却し漏洩ありとみなし、「有意な差がない」の場合には、帰無仮説を棄却できない（漏洩があるとはいえない）。図表14  仮説検定を用いる評価手法
(3)　評価手法3：通信路容量を用いる評価手法
評価手法2は、鍵が既知の条件で、漏洩の有無を調べるというものであった。このアプローチをさらに進めて、蒲洩の「量」を調べようというアプローチがある。 1つの方法は、通信路容量を用いる評価手法（以下、「評価手法3」）である。評価手法３では、サイドチャネル攻撃の一連の流れを「サイドチャネル情報を送信する通信」とみなし、1つの計測波形（サンプル）で伝送可能なサイドチャネル情報の量（「通信路容量」と呼ばれる）が少ないほど安全性が高いとする手法である（水野ほか［2014］、Mizuno et al . [2014]、図表15）。より厳密には、暗号モジュール（送信者）がサイドチャネル情報（信号S）を送信し、同モジュール内でノイズが加わったり、計測時に読取誤差が発生するといった「雑音Z」が加わったデータ(S+Z)を攻撃者や評価者（受信者）が受信するという通信路モデルとみなしている。雑音のある通信路における通信路容量は、シャノン・ハートレーの定理により次式のように定式化されている。同式からは、信号Sが小さく、雑音Zが大きいほど、通信路容量が小さくなる（安全性が高くなる）ことが分かる。このため、通信路容量の算出に必要な波形数は、評価対象毎に異なる。
評価対象の通信路容量を算出する際、水野ほか［2014］は、同モジュールの暗号処理中に計測した計測波形と既知の秘密鍵を用いている（図表16）。図表16では、 3つの暗号モジュール（①、②、③）の通信路容量を示しており、全体の傾向とし
図表15  通信路容量を用いた評価手法
図表16   3つの暗号モジュールの通信路容量の評価結果の例てモジュール③の安全性が高いことがわかる。しかし、各モジュールの通信路容量は、算出に用いた波形数によって変化するため、どの地点の値を最終的な通信路容量と定めればよいかという課題がある。この課題に対して、水野ほか［2014］は、波形数を増やした時の通信路容量の変化率が一定水準以下であれば収束したとみなし、その時点の値を最終的な値とするという対応をとっている。
(4)各評価手法の比較
評価手法1は、攻撃者と全く同じ攻撃を試してみることになるため、最も現実に近い評価を行っているといえる。特に、前述の「100万波形以下では秘密鍵を推定できないこと」のような要件の充足可否に答えられるのはこの方法だけである。しかし、評価では鍵の探索を行うため、計算時間がかかるほか、存在する複数の攻撃手法をすべて試すことは現実的には難しい。一方、評価手法２と３は、秘密鏡の推定を行う必要はないため、評価に要する時間が短くて済む。また、秘密鍵が既知という攻撃者よりも有利な条件で評価を行うため、より安全サイドに倒した評価結果が期待できる。一方で、攻撃者が秘密鍵を
推定できるか否かを直接的に知ることはできない。特に、秘密鍵の推定に繋がらない漏洩が存在する点に注意が必要である。以上の議論を図表17にまとめる。図表17から分かるように、各評価手法が評価可能な項目は異なっており、いずれかの評価手法を単独で利用するというよりも、組み合わせて利用することが現実的である。例として、評価手法１と２を組み合わせた評価フローは次のとおりである。 Step 1.評価手法2を用いて、漏洩の有無を調べる。 Step 2. 漏洩の存在が明らかになった場合、その漏洩が秘密鍵の推定に繋がるか否かを判断する。 Step 3.秘密鏡の推定に繋がると判断した場合には、どのような攻撃手法が有効かを決定する。 Step 4.  Step 3で決定した攻撃手法を用いて、評価手法1を行う。最後に、評価手法２と３を比較する。評価手法１を実施するのに、波形数をどれくらい計測すべきかという問題がある。「100万波形以下では秘密鍵を推定できないこと」という要件を検証するには、もちろん100万波形を利用する必要がある。しかし、例えば1,000波形で解読できるのに100万枚計測するのは無駄である。評価手法3で漏洩の容量が分かれば、評価手法1において、何波形程度で攻撃が成功するか見積もることができる。これにより、実験に必要な波形数を削減でき、評価に要する時間の短縮に繋がると期待される。
4.考察：EMVカードへのサイドチャネル攻撃の影響と留意点
本節では、EMVカードを用いた取引について想定する取引フローを示したうえで、サイドチャネル攻撃によりEMVカードから秘密鏡が漏洩した場合の影響を考祭する。また、EMV仕様上の制約を加味した場合の留意点等について考察する。
(1)　想定する取引フロー
EMVカードを用いた典型的な取引では、カードの真正性を増末（POS端末、 ATM）が検証する「カード認証」、カード所持者（ユーザ）が本人であることを確認する「本人確認」、取引データ（金額、本人確認に関するログ等）が改ざんされることを防止するための「MAC生成20」の3つの処理が行われる。各処理を実施する順番²¹や、複数存在する各処理の実現方法のうちどれを選択するかについては、カード発行者のビジネス判断に依存するが、本稿では、クレジットカードを用いた取引において通常行われることが多いと思われるカード認証、本人確認、MAC生成の順に実施される取引フローを想定する（図表18)。各処理の実現方法は以下のとおりとする。カード認証：カードは、秘密鍵SK」を用いて、端末から受信したチャレンジ（乱数）に対するレスポンスとして電子署名を生成し、端末に送信する。溜末は、カードの公開鍵PK」を用いて同電子署名を検証する。EMV仕様では、同実現方法を「動的データ認証²²」と呼び、公開鍵暗号としてRSAを利用する。なお、鏡ペアSK1/PK1は、カード内に格納されており、公開鍵PK」については、取引時にカードから端末に送信される。本人確認に用いる鍵ペアSK₂/PK₂についても同様²。 124 金融研究/2015.10本人確認：端末は、ユーザが端末に入力した暗証番号（PIN）を、カードの公開鍵PK,で暗号化したうえでカードに送信する。カードは、対応する秘密鍵SK 2を用いてこれを復号したうえで、カード内に予め格納されている参照用PINと照合する。EMV仕様では、同実現方法を「オフラインPIN認証」と呼び、公開鍵暗号としてRSAを利用する。本稿では、認証成功のログをサーバが確認したときに、本人確認をパスしたとみなす。なお、このログは、MAC生成における保護対象である取引データの1つであるため、本人確認をパスするにはMAC生成をパスすることが前提となる。 MAC生成：カードは、秘密鍵SK1を用いて、本人確認に関するログ（認証成功／失敗）等の取引データに対するMACを生成する。カードは、同MACを端末経由でカード発行者のサーバに送信する。サーバは、カードと秘密鍵SK』を共有できるため、同MACを検証し、MACが正しければ本人確認に関するログを信用する。秘密鍵SK 3は、取引毎にカード内およびサーバ内で生成・共有される。詳細については本節（3）を参照のこと。なお、端末は、カードと秘密鏡SK 3を共有できないため、MACを検証できない。EMV仕様では、MACの生成方法についてカード発行者独自の生成方法を認める一方で、代表的な共通鍵暗号であるAESを用いた方法も例示している。
サイドチャネル攻撃によりEMVカードから秘密鏡が漏洩した場合に、不正取引が成立するか否かについて考察する（図表19）。想定する攻撃者と不正取引の成立条件は、それぞれ次のとおりとする。想定する攻撃者：他人のEMVカードを盗取し、サイドチャネル攻撃により同カードから各鍵ペア（SK 1 /PK 1 、SK 2 /PK 2 、SK 3 /PK 3 ）を入手している。さらに、各鏡ペアを格納した偽造カードを作製している。ただし、同カードの正規PINについては入手していない。不正取引の成立条件：想定する取引フローにおける3つの処理（カード認証、本人確認、MAC生成）について、POS端末あるいはサーバの検証をパスできた場合に取引が成立したとみなす。攻撃者が各処理をパスできるか否かについて考察する。まず、カード認証については、攻撃者は、秘密鏡SK」を利用可能なため、正しいレスポンス（電子署名）を生成可能である。このため、カード認証については、POS端末の検証をパスできる。本人確認については、本来はカード内で照合が行われるが、偽造カードであれば照合を行うことなく認証成功というログを偽造可能である²4。よって、攻撃者図表19  偽造カードを用いた不正取引手続きは、オフラインPIN認証を行っているように見せるために、POS端末に任意のPIN (ランダムな数字で構わない）を入力するものの、カード内では照合を行わずに認証成功のログを偽造する。MAC生成については、攻撃者は、秘密鏡SK3を利用可能なため、偽造したログ等の取引データに対する正しいMACを生成可能である。このため、サーバは、正しいMACであると誤って判断し、さらに、本人確認も成功したと判断するため不正取引が成立する可能性がある。以上を整理すると、攻撃者が、SK 1 、SK 2 、SK 3を利用可能な場合には、正規PINを知らなくとも、本人確認に関するログ（認証成功）を偽造したうえで適切なMACを生成可能であり、オンラインでサーバがMACを検証したとしても、不正取引が成立する可能性があることが分かる。なお、ATMにおけるICキャッシュカードを用いた取引（預金引出等）への影響については、次のBoxを参照のこと。 Box    ATMにおけるICキャッシュカードを用いた取引への影響
127

まず、他人のEMVカードを所持している攻撃者が、不正取引を成立させるために不可欠な秘密鏡が前述の３つ（SK 1、SK 2、SK 3）のうちどれかについて分析する。カード認証については、秘密鍵SK1を入手していなくとも、正規カードにレスポンスの生成を行わせることで、POS墙末の検証をパスできる²。このため、秘密鏡SK」は必須とはいえない。本人確認については、前述のとおりカード内で照合を行う必要がないため、秘密鍵SK₂も必須とはいえない。MAC生成については、正規カードにMAC生成を行わせた場合、偽造したログ（認証成功）を外部から正規カードに与えることができないため、認証失敗のログに対するMACが生成される。偽造したログに対する正しいMACを生成するためには、秘密鏡SK 3が必須となる。よって、不正取引の成立には、秘密鏡SK 3のみが不可欠であることがわかる。次に、秘密鏡SK 3に関するEMV仕様上の制約等を示す。 ①秘密鏡SK₁は、カードのマスタ鏡を用いて取引毎に異なる値となるように生成される。EMV仕様では、SK 3の生成方法についてカード発行者独自の方法を認めている一方で、取引毎に更新されるカウンタ²6をマスタ鏡で暗号化したものを秘密鏡SK 3とする生成方法を例示している。 ②上記①の生成方法によって生成された秘密鍵SK』をサーバと共有するために、カードは、カウンタの値をPOS端末経由でサーバに送信する。なお、マスタ鍵は、カード発行時にカードに格納されるため、カードとサーバの間で事前に共有できている。 ③ １回の取引で行われるMAC生成は、高々２回である。 ④カウンタは16ピットのデータであり、その上限は65,536（= 2¹6）回である。 EMV仕様では、カウンタが上限に達した場合には、カードを取引できない状態(プロック状態)にすることが求められている。これらの制約等を踏まえ、秘密鏡SK、およびマスタ鍵（上記①）をサイドチャネル攻撃で推定する際の攻撃条件や秘密鍵生成からMAC生成の流れを整理すると、それぞれ図表20、図表21のとおりである。秘密鏡SK 3とマスタ鍵のそれぞれの攻撃時の条件を比較すると、相対的に計測回数の多いマスタ鍵の方が、攻撃者が推定し易いと考えられる。そこで、マスタ鍵の攻撃時の条件を攻撃者にとって厳しくす
図表21   EMVカードにおける秘密鍵生成とMAC生成る（攻撃のハードルを上げる）ための運用面での対策を2つ示す。1つは、カウンタの上限を引き下げるという対策である。この対策は、EMV仕様上も認められている。もう１つは、マスタ鏡を定期的に更新するという対策である。具体的には、 ①子め複数のマスタ鍵をカード内に格納しておき、それに切り替えるというオフライン型の方法と、②カードとサーバの通信機能である「Issuer Script」を用いてマスタ鍵を更新するというオンライン型の方法が考えられる。このほか、システム全体で考えれば、サイドチャネル攻撃の影響を受け離い独自の鍵生成方法をシステム設計時に選択しておくことも考えられる。なお、本稿では、カウンタを改ざんする攻撃（例えば故障利用攻撃）については、検討対象外としている。
5.おわりに
我々の生活に情報システムが浸透するにつれ、暗号アルゴリズムを実装した暗号モジュールの安全性の重要性が増している。暗号モジュールへの実装攻撃をみると、物理解析や故障利用解析については、攻撃時のICチップの破壊やICチップへの刺激挿入といった操作を検知するとともに、内部の秘密鍵を消去する等の対策が有効といえる。これに対しサイドチャネル攻撃は、暗号モジュールの物理現象を計測するだけという受動的な攻撃であるため、同攻撃を検知することは難しく、サイドチャネル情報の漏洩を減らすという対策に頼らざるを得ず、そうした対策の効果を厳密に評価することも求められる。サイドチャネル攻撃が提案されてから約20年が経つなかで、同攻撃を含め、暗号モジュールの安全性を評価・認証する制度が整備され、認証品を調達可能な状況になってきている。しかし、暗号モジュールの安全性は、理論的に安全性を確保可能な暗号アルゴリズムとは異なり実装に大きく依存することから、技術の陳腐化の影響や想定する攻撃者の資金力によっては、その安全性を確保できなくなるケースが発生しうることに留意が必要である。特に、我が国の一部のICキャッシュカードについては、有効期限が設けられておらず、一度発行したICカードを長期間利用することが想定されているようである。新たなサイドチャネル攻撃手法の考案等、安全性が経年劣化していくなかで、危殆化するリスクが高まっていくことにも留意し続けることが求められる。これらを考慮すると暗号モジュールの調達者は、認証品を調達することに加え、発行済みICカードの安全性を定期的に評価することが有用であろう。また、暗号モジュールから秘密鍵等が漏洩することを前提に、被害を早期検知するための仕組みや被害拡大を防止する仕組み等について検討することが望ましい。
130　金融研究/2015.10
金融情報システムセンター、『金融機関等コンビュータシステムの安全対策基準・解説書（第8版)』、金融情報システムセンター、2011年金融庁、「偽造キャッシュカード問題等に対する対応状況（平成26年3月末）」、金融庁、2014年8月27日（http://www.fsa.go.jp/news/26/ginkou/20140827-5.html）情報処理振興事業協会・通信・放送機構、「暗号技術評価報告書（2002年度版）」、情報処理振興事業協会・通信・放送機構、2003年3月(https://www.ipa.go.jp/security/ enc/CRYPTREC/fy15/doc/c02_2.pdf)鈴木雅貴・廣川勝久・古原和邦、「ICカード利用システムにおいて新たに顕現化した中間者攻撃とその対策」、『金融研究』第31巻第3号、日本銀行金融研究所、 2012年、107～140頁全国銀行協会、「盗難通帳、インターネット・バンキング、盗離・偽造キャッシュカードによる預金等の不正払戻し件数・金額等に関するアンケート結果および口座不正使用に関するアンケート結果について」、全国銀行協会、2014年11月27日（http://www.zenginkyo.or.jp/abstract/news/detail/nid/3835/）電子商取引安全技術研究組合、「平成15年度セキュリティ評価技術等に関する調査研究『システムLSIチップのセキュリティ評価』に関する調査研究報告書」、経済産業省、2004年3月31日(http://www.meti.go.jp/policy/netsecurity/docs/cc/lsi.pdf)日本クレジットカード協会、「ICカード対応端末の設置台数が100万台を突破」、日本クレジットカード協会、2014年7月14日(http://www.jcca-office.gr.jp/topics/ topics 37.html)日本クレジット協会、「クレジットカード不正使用被害の集計結果について」、日本クレジット協会、2014年12月26日(http://www.j-credit.or.jp/information/statistics/ download/inv 05 141226.pdf) ———、「クレジットカードの不正使用防止対策とIC化の取組み状況について」、日本クレジット協会、2015年2月27日(http://www.j-credit.or.jp/download/150227_ jdm.pdf)野崎華恵・藤崎浩一・川村信一、「暗号モジュールの実装攻撃対策技術」、『東芝レビュー」 Vol. 64, No. 7、2009年、28～31頁本間尚史・青木孝文、「暗号モジュールから漏洩する情報を利用するサイドチャネル攻撃」、『システム制御情報学会誌』 Vol. 57, No. 12、2013年、505～510頁松本勉・大石和臣・高橋芳夫、「実装攻撃に対抗する耐タンパー技術の動向」、『情報処理学会誌』 Vol. 49, No. 7、2008年、799～809頁水野弘章・岩井啓輔・田中秀磨・黒川恭一、「サイドチャネル攻撃に関する情報理論的解析（3）」、暗号と情報セキュリティシンポジウム、2A4-3、2014年Anderson, Ross, "Security Engineering Second Edition," Wiley, 2008. Bellcore, "Now, Smart Cards Can Leak Secrets," Bellcore Media Advisory, 25 Sept. 1996. Boneh, Dan, Richard A. DeMillo, and Richard J. Liption, "On the Importance of Check- ing Cryptographic Protocols for Faults," EUROCRYPT '97, Lecture Notes in Computer Science (LNCS) , Vol. 1233, 1997, pp. 37–51. Eisenbarth, Thomas, Timo Kasper, Amir Moradi, Christof Paar, Mahmoud Salmasizadeh, and Mohammad T. Manzuri Shalmani, "On the Power of Power Analysis in the Real World: A Complete Break of the KeeLoq Code Hopping Scheme," CRYPTO 2008, LNCS , Vol. 5157, 2008, pp. 203–220. EMVCo, "EMV 4.3 Book 1—Application Independent ICC to Terminal Interface Require- ments," EMVCo, 2011a. –, “EMV 4.3 Book 2—Security and Key Management,” EMVCo, 2011b. ___ , "EMV 4.3 Book 4—Cardholder, Attendant, and Acquirer Interface Require- ments,” EMVCo, 2011d. European Payments Council (EPC), "Resolution: Preventing Card Fraud in a mature EMV Environment," Doc EPC424-10, 31 Jan., 2011. Gandolfi, Karine, Christophe Mourtel, and Francis Olivier, "Electromagnetic analysis: con- crete results," Cryptographic Hardware and Embedded Systems (CHES) 2001, LNCS , Vol. 2162, 2001, pp. 251–261. Genkin, Daniel, Adi Shamir, and Eran Tromer, "RSA Key Extraction via Low-Bandwidth Acoustic Cryptanalysis," CRYPTO 2014, LNCS , Vol. 8616, 2014, pp. 44–461. Goodwill, Gilbert, Benjamin Jun, Josh Jaffe, and Pankaj Rohatgi, "A Testing Methodology for Side-channel Resistance Validation," Non-Invasive Attack Testing Workshop (NIAT), 2011. Jaffe, Josh, and Pankaj Rohatgi, "Efficient side-channel testing for public key algorithms: RSA case study," NIAT, 2011. Joint Interpretation Library, "Application of Attack Potential of Smartcards," version 2.9, 2013. Kocher, Paul C., "Crytptanalysis of Diffie-Hellman, RSA, DSS, and Other Systems Using Timing Attacks," extended abstract, 1995. —, "Timing Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems," CRYPTO '96, LNCS , Vol. 1109, 1996, pp. 104–113. —, Joshua Jaffe, and Benjamin Jun, "Introduction to Differential Power Analysis and Related Attacks," 1998. –, ———, and — ___ Vol. 1666, 1999, pp. 388–397. Mizuno, Hiroaki, Keisuke Iwai, Hidema Tanaka, and Takakazu Kurokawa, "Analysis of Side-Channel Attack Based on Information Theory," IEICE Transactions on Fundamen- tals of Electromics , E97-A 7, 2014, pp. 1523–1532. Murdoch, Steven J., Saar Drimer, Ross Anderson, and Mike Bond, "Chip and PIN is Bro- ken," 2010 IEEE Symposium on Security and Privacy, 2010. Oswald, David, and Christof Paar, "Breaking Mifare DESFire MF3ICD40: Power Analysis and Templates in the Real World," CHES 2011, LNCS , Vol. 6917, 2011, pp. 207–222. Skorobogatov, Sergei P., "Semi-invasive attacks—A new approach to hardware security analysis," University of Cambridge Computer Laboratory Technical Report, UCAM-CL- TR-630, 2005. VISA, "Visa Announce U.S. Participation in Global Point-of-Sale Counterfeit Liability Shift," VISA BULLETIN, 9 Aug., 2011.