知られざる暗号評価プロジェクト CRYPTREC 第2回「三つの暗号リスト」

　セキュリティに関わる技術や製品の有効性を、客観的定量的に評価できたら最高以外の何ものでもないが、そこには「どんな事業で」「何を守るために」「どのように運用するか」といった変数が多数存在し、各社千差万別である。

　また、手になじんでおらず充分運用ができない高性能製品よりも、けして高性能とは言えないものの長く使いこなしてきた製品の方がはるかに役に立つということはごく当たり前にある。

　このように製品評価に一律の基準を設けることは容易ではないが、ここにセキュリティ技術の優劣を定量的に明確に白黒つけることができる夢の領域が存在した。暗号である。

　暗号はどれだけ時間をかければ破ることができるのか等を、それこそ定量的に計算し算出することができる。だから採用の可否をゼロイチで決めることが可能だ。

　「 CRYPTREC（クリプトレック）」とは、日本政府の暗号の採用可否を助言する複数の会議体の総称である。暗号における評価手法を、そのままセキュリティ製品一般に適用することなどもちろんありえない。しかし、評価がどのような手順で行われ、どのような役割を担った組織分掌が行われているかを知ることは、日々嘘くさいセールストークにうんざりしているセキュリティ製品選定者にとって、もはや一服の清涼剤にすらなるのではあるまいか。そんな目論見のもと ScanNetSecurity 編集人 上野を聞き手に本取材は敢行された。

◇

● 三つの暗号リスト

──どのようなプロセスを経て CRYPTREC 暗号リストが選定されるのですか？

【総務省】政府の CRYPTREC 暗号リストは 3 つのリストで構成されます。

　一番目が「電子政府推奨暗号リスト」で、安全性と実装性能を確認した上で、市場における利用実績が十分であるか、または普及が見込める技術です。

　二番目が「推奨候補暗号リスト」で、これは安全性・実装性能の評価は終わっているけれども、市場における利用実績が十分でないものです。暗号を CRYPTREC 暗号リストに入れようということになると、安全性が確認されたらまず「推奨候補暗号リスト」に入って、さらに製品化や利用実績があったら「電子政府推奨暗号リスト」に上がる形になります

　「推奨暗号リスト」に入ったものが危殆化すれば三番目の「運用監視暗号リスト」に移します。基本的には使って欲しくないですが、システムの中で使っている場合には、経過措置的に仕方ない、というリストです。

┌ CRYPTREC 暗号リスト
├ 1．電子政府推奨暗号リスト
├ 2．推奨候補暗号リスト
└ 3．運用監視暗号リスト

　さらに、危殆化していてなおかつ使っているシステムも存在しない、となればリストから落とします。そういう流れです。