暗号にまつわる小話

海自OB 佐能 克己
はじめに

 4月30日付讀賣新聞朝刊の三面トップに『 暗号化技術「オープンSSL」、125サイト欠陥放置 』の見出しで、インターネットで利用されている買い物や預貯金などの暗号化通信技術に欠陥が明らかになり、主要1万8千サイト中の125サイトが未対応であり、パスワードやクレジットカード番号などが他人に見られる恐れが生じている、と報じられた。
 ここ10年余りで急速に発達しているコンピュータ社会に追いついて行けず、情報化社会から取り残されつつある世代にとっては、この記事を何回読み返しても十分に理解することは困難であって「パスワードやクレジットカードの番号が他人に知られるのは一大事であるが、個人に重大な過失が無い限り被害は補償されるだろうから、もう少し様子を見ようか」と感じている人が、大多数ではないかと思う。
 ともあれ、現役時代の一時期に触れてきた“軍用の暗号”について振り返ってみるとともに、現代のコンピュータ社会に組み込まれている“商用の暗号”について、話してみたい。ただし、私には暗号の専門家と呼べるまでの知識・経験は不十分なので、あくまで一般的な話として述べる。

1 暗号とは

 インターネット上のフリー百科事典「ウィキペディア」で“暗号”を調べてみると、『暗号(あんごう、cryptography、cipher、code)あるいは暗号化(あんごうか、Encryption)とは、第三者に通信内容を知られないように行う特殊な通信(秘匿通信)方法のうち、通信文を見ても特別な知識なしでは読めないように変換する表記法(変換アルゴリズム)のことである。通信だけでなく保管する文書等の内容を秘匿する方法としても用いることができる。』とあり、所謂“軍用の暗号”を念頭に定義されているようである。もちろん軍用の暗号においても、通信の文のみを秘匿するものではなく、データについても暗号化し送受信されている。
 民間では、大型コンピュータ同士を繋ぐネットワークはもとより、サーバー(他のコンピュータに、保有するデータなどを提供するホスト・コンピュータ)と個人や、個人と個人を繋ぐネットワーク等にも、データを秘匿し送受信する“商用の暗号”が幅広く用いられている。
 讀賣新聞の記事で報じられた「サイト欠陥」とは、個人情報を盗もうとする攻撃者(所謂「ハッカー」と呼ばれるような者)が、銀行やクレジット会社のホスト・コンピュータに侵入し、登録されている個人のパスワードやクレジットカード番号を閲覧する可能性がある、という欠陥を示している。
 いずれにせよ暗号は、個人と個人間の通信内容を第三者に漏れないようにすることから始まり、集団と集団(軍の味方同士)間で情報や作戦を交換する際の秘匿通信に使用され、現代社会では膨大なコンピュータ・ネットワーク上で交換される個人情報を保護することを目的に主用される手段、とも言えるであろう。

2 軍用の暗号

 暗号の目的が、味方間の作戦や情報等の内容を敵に漏洩しないよう伝達する必要性により生じていることから、暗号の歴史はその殆どが軍事用のものであると言える。そして軍事に関わる事項のうちでも作戦、情報、通信等には秘密に属する内容が多いものである。
 従って、特に暗号従事者には、思想が堅固で口の堅い人物が選ばれている。また、誰がどのようにして、軍事用通信の内容を知られないようにするための手段・方法を“暗号”と命名したのか知らないし、真偽の程も定かではないが「暗号の従事者には暗い人間が多い」と聞いたこともある。つまり、暗号を取り扱う人間に“お喋り”は少ない、ということであろうか。
 このためか、暗号業務に携わった旧軍人も元自衛官も、こと暗号の話になると固く口を閉ざしてしまうのが常のようで、暗号に関する具体的な運用例、成功例、失敗例などを聞くことは殆ど無い。軽々に暗号の方式や暗号機器の性能要目等を話すということは、敵方が暗号を解読する上で極めて有用な資料となるからであろう。
 更に、軍用の暗号を語る上で欠かせないのが“暗号解読”であろう。味方が、自らの通信内容の秘匿に力を入れるとともに、敵の通信内容の解読にも力を注いで、敵が交換している情報や作戦の内容を知ることが出来るなら、戦いを極めて優位に進めることが可能になるからである。
 外国では平時から、所謂“諜報活動”に多くの人材と資金を注いでいる、とされており、我が国がこの点を余り重要視して来なかったのとは対照的である。但し、暗号解読の成果は、前述のように殆ど表舞台に出ることが無く、本当に暗号が解読されていたのか、或いはどの程度まで解読されていたのか、については闇の中であり、推測の域を出ない。何となれば、暗号を解読していると敵方に教えたならば、即座にその暗号は更新されることになり、再び解読のために多くの労力を費やす必要が生ずると考えられるからである。

3 商用の暗号

 電子計算機の原型は、20世紀の半ばに米国で弾道計算を行うための計算機として開発されたと聞いている。僅か半世紀余り前の話で、当初は歯車などを使った機械式から、リレーや真空管などを使った電気式を経て、トランジスターや抵抗などを組み込んだ集積回路(IC)へと発達して来るとともに小型化が進み、現在では掌(てのひら)に乗る携帯電話機やスマートフォン(携帯型の端末機とも言える機器)ですら、膨大な容量を備えた“電子計算機(コンピュータ)”となっている。
 今や、国内の官・民の事務所に入ったら、各人の机の上には必ずと言っていいほどパソコンが置いてある、という時代である。それらの事務所に設置され、各人が操作するパソコンには莫大な量の情報が記憶されており、事務所などの管理者はその情報が外部に漏れないよう細心の注意を払うことが求められている。
 そこで、コンピュータやネットワーク(回線網)に、外部から所謂コンピュータ・ウイルスやハッカーが侵入出来ないように、暗号を掛けることになる。
 ここで言う“商用の暗号”とは、企業又は個人が電子計算機内等に保存する情報を、部外者或いは許可されていない部内者に盗取されるのを防ぐ手段・方法で、具体的に言うなら、コンピュータのハードディスクに暗号を掛ける、外部と社内を繋ぐ回線の間にファイア・ウォールを設ける、コンピュータ・ウイルスが侵入出来ないよう対策(ウィルスバスター)を組み込む、使用者が識別符号(ID)やパスワードを正しく打ち込まなければパソコンやファイル等を開けないようにする、などである。
 そして、盗取を防ぐ手段の主要なものの殆どが、コンピュータに実行処理を命ずるプログラムを組み込んで、設定されている。すなわち、商用の暗号とは、情報を保全する(情報セキュリティ)ことであると言えよう。更に、大量のコンピュータが随所に装備されている現代社会においては、情報の保全に必要となる暗号の種類と量は、軍用のそれを大きく上回っていると考えられる。
 もちろん、軍事用にも種々に亘って多数のコンピュータが採用されており、ここで述べた商用の暗号に、より強度の高い軍用の暗号機能が付加されて、運用されていることに間違いはないであろう。
 インターネット上に、暗号と情報セキュリティ技術に関する最新の研究成果を発表する場と情報交換の場を提供している、という『電子情報通信学会情報セキュリティ研究専門委員会(ISE研)』が主催する『2014年 暗号と情報セキュリティシンポジュウム(SCIS2014)』の案内に、シンポジュウムで講演する募集テーマの例として、<暗号理論, 情報理論的安全性, 数論応用, 公開鍵暗号, IDベース暗号, 楕円・超楕円曲線暗号, ペアリング, 共通鍵暗号, ハッシュ関数, 乱数, 署名, 認証, 鍵管理, 量子セキュリティ, サイドチャネル攻撃, 暗号プロトコル, フォーマルメソッド, ネットワークセキュリティ, ネットワーク攻撃検知・対策, マルウェア対策, Webセキュリティ, ユビキタスセキュリティ, クラウドセキュリティ, モバイルセキュリティ, セキュアOS, 電子透かし, コンテンツ保護, ソフトウェア保護, プライバシー保護, バイオメトリクス, 実装, 教育・心理学, セキュリティ評価・モデル>と示されていた。
 現代社会において「暗号」や「情報セキュリティ」を論ずるには、こんなに多くの分野にまで知識を広げる必要があるのか、と嘆息したものである。

4 中国の商用暗号管理制度

 日本では“商用暗号”なる用語は使用されていないが、中国には中国国内における商用の暗号化技術や暗号化製品を統制する「商用暗号管理条例」が1999年に制定されており、2007年には外国から中国へ持ち込まれる暗号製品を規制する規定が、公布・制定されている。ここで言う商用暗号とは“国家機密に属さない暗号の技術や製品等”を指している。
 一般財団法人 安全保障貿易情報センター(CISTEC)のホームページ上に、2007年度の調査報告書の一つとして「中国における暗号規制調査 (社団法人 日本機械工業連合会) 」が紹介されている。
 この報告書(要約)によると『中国へ暗号機能を含むIT製品を輸出するに際して、中国は国際的な暗号規制と異なる独自の規制を実施しようとしており、日本の輸出関連企業は困惑している』というものである。
 つまり、日本からあらゆる国に多くの“IT製品”(デジタルTV、パソコン、無線LAN、携帯電話、ゲーム機器、車のナビゲーション等)が輸出されているが、これらのIT製品内には暗号装置が組み込まれており、中国はこれらの製品を中国に持ち込む場合、事前に「中国の国家暗号管理局」の許可を得るよう求めようとしている、というものである。
 この条例に従うなら、これらIT製品を中国に輸出したり、中国で現地生産をする場合には、暗号装置について中国に開示し、許可を得なければならないことになる。また、海外旅行でこれらのIT製品を中国に持ち込む場合、未だ中国当局の許可が得られていない製品であったならば、入国の際に税関で没収の憂き目に遭うかも知れないのである。
 つまり、IT製品に組み込まれたブラックボックスである暗号の機能が、オープンボックスとして曝されることになるのである。中国側にどのような真意があるのかは明確にされていないが、他国にブラックボックスを開示するよう求める例は、聞いたことがない。
 その後、この条例がどのように運用されているのか良く調べていないが、インターネット上で検索してみると、中国への「商用暗号管理条例対策」であるとか「暗号化製品規制対応」を掲げた申請代行業者のホームページが散見されるところをみるに、日本の輸出業者や旅行業者が、何らかの形で中国へ許可を求めているものと伺える。

おわりに

 此の頃では家庭でパソコンとインターネット回線を繋いで、色々な情報が取得出来る便利な世の中になったものである。また銀行との間でインターネットを使用して預貯金や振込が出来るように設定しておけば、わざわざ混雑する窓口に並ばなくても済むようになった。切符やチケットの購入、買い物なども机上や手元で出来るようになっている。
 このように、莫大な量の情報がコンピュータとインターネット回線の間で交換されるようになると、暗号又は情報セキュリティの強度が弱い場合には、容易にコンピュータウイルスの侵入を許すことになってしまう。強度が弱まったのか、或いはそれを上回るハッカーが居るのか、今迄に無かった『個人の銀行口座預金が、いつの間にか知らない口座に振り込まれていた』という報道が出て来ている。
 暗号又は情報セキュリティへの意識が薄いわれわれがパソコンを使用する場合には、少なくとも「使用者ID」、「パスワード」、「ウィルスバスター」の3つくらいは厳重、かつ、適正に管理し、情報漏洩防止の責任の一端を担う必要があろう。
 これは、“便利になった”とか“楽になった”ことに対し支払う代償の一部である、と言えよう。

(2014.5.10記)