知られざる暗号評価プロジェクト CRYPTREC 第2回「三つの暗号リスト」 | ScanNetSecurity
2024.02.28(水)

知られざる暗号評価プロジェクト CRYPTREC 第2回「三つの暗号リスト」

セキュリティに関わる技術や製品の有効性を、客観的定量的に評価できたら最高以外の何ものでもないが、そこには「どんな事業で」「何を守るために」「どのように運用するか」といった変数が多数存在し、各社千差万別である。

製品・サービス・業界動向 業界動向
知られざる暗号評価プロジェクト CRYPTREC 第2回「三つの暗号リスト」
知られざる暗号評価プロジェクト CRYPTREC 第2回「三つの暗号リスト」 全 1 枚 拡大写真
 セキュリティに関わる技術や製品の有効性を、客観的定量的に評価できたら最高以外の何ものでもないが、そこには「どんな事業で」「何を守るために」「どのように運用するか」といった変数が多数存在し、各社千差万別である。

 また、手になじんでおらず充分運用ができない高性能製品よりも、けして高性能とは言えないものの長く使いこなしてきた製品の方がはるかに役に立つということはごく当たり前にある。

 このように製品評価に一律の基準を設けることは容易ではないが、ここにセキュリティ技術の優劣を定量的に明確に白黒つけることができる夢の領域が存在した。暗号である。

 暗号はどれだけ時間をかければ破ることができるのか等を、それこそ定量的に計算し算出することができる。だから採用の可否をゼロイチで決めることが可能だ。

 「 CRYPTREC(クリプトレック)」とは、日本政府の暗号の採用可否を助言する複数の会議体の総称である。暗号における評価手法を、そのままセキュリティ製品一般に適用することなどもちろんありえない。しかし、評価がどのような手順で行われ、どのような役割を担った組織分掌が行われているかを知ることは、日々嘘くさいセールストークにうんざりしているセキュリティ製品選定者にとって、もはや一服の清涼剤にすらなるのではあるまいか。そんな目論見のもと ScanNetSecurity 編集人 上野を聞き手に本取材は敢行された。



● 三つの暗号リスト

──どのようなプロセスを経て CRYPTREC 暗号リストが選定されるのですか?

【総務省】政府の CRYPTREC 暗号リストは 3 つのリストで構成されます。

 一番目が「電子政府推奨暗号リスト」で、安全性と実装性能を確認した上で、市場における利用実績が十分であるか、または普及が見込める技術です。

 二番目が「推奨候補暗号リスト」で、これは安全性・実装性能の評価は終わっているけれども、市場における利用実績が十分でないものです。暗号を CRYPTREC 暗号リストに入れようということになると、安全性が確認されたらまず「推奨候補暗号リスト」に入って、さらに製品化や利用実績があったら「電子政府推奨暗号リスト」に上がる形になります

 「推奨暗号リスト」に入ったものが危殆化すれば三番目の「運用監視暗号リスト」に移します。基本的には使って欲しくないですが、システムの中で使っている場合には、経過措置的に仕方ない、というリストです。

┌ CRYPTREC 暗号リスト
├ 1.電子政府推奨暗号リスト
├ 2.推奨候補暗号リスト
└ 3.運用監視暗号リスト

 さらに、危殆化していてなおかつ使っているシステムも存在しない、となればリストから落とします。そういう流れです。

《ScanNetSecurity》

関連記事

この記事の写真

/

特集

PageTop

アクセスランキング

  1. ダイヤモンド社にランサムウェア攻撃、約70,000件の個人情報が漏えいしたおそれ

    ダイヤモンド社にランサムウェア攻撃、約70,000件の個人情報が漏えいしたおそれ

  2. エレコム製無線 LAN ルータに複数の脆弱性

    エレコム製無線 LAN ルータに複数の脆弱性

  3. 「UTM 理解していない」半数

    「UTM 理解していない」半数

  4. JC3、捜査員向けのランサムウェア捜査ハンドブックを出版

    JC3、捜査員向けのランサムウェア捜査ハンドブックを出版

  5. ゆめタウン運営イズミにランサムウェア攻撃、発注システムに支障あり一部品薄状態も

    ゆめタウン運営イズミにランサムウェア攻撃、発注システムに支障あり一部品薄状態も

  6. ダイキン工業の再々委託先の作業者が仕入先情報を不正にダウンロード

    ダイキン工業の再々委託先の作業者が仕入先情報を不正にダウンロード

  7. 「セキュリティ技術者の“思考”を覗く」~ SHIFT SECURITY、17種類のサイバー攻撃の解説と対策資料公開

    「セキュリティ技術者の“思考”を覗く」~ SHIFT SECURITY、17種類のサイバー攻撃の解説と対策資料公開PR

  8. 到来する「脆弱性対策義務化時代」に脆弱性管理サービス「SIDfm」が果たす役割

    到来する「脆弱性対策義務化時代」に脆弱性管理サービス「SIDfm」が果たす役割PR

  9. Google & 米Yahoo! の迷惑メール対策強化について~ JPAAWG 緊急ウェビナーで喫緊課題への具体的な疑問が続出

    Google & 米Yahoo! の迷惑メール対策強化について~ JPAAWG 緊急ウェビナーで喫緊課題への具体的な疑問が続出

  10. 個人情報保護ルールを「あまり/まったく守れていない」のは部課長が最多

    個人情報保護ルールを「あまり/まったく守れていない」のは部課長が最多

ランキングをもっと見る