ソフトバンクビジネス+IT ITと経営の融合でビジネスの課題を解決する総合サイト

記事動画 PDF資料セミナー

サイト内検索

セキュリティ ≫ PKI・暗号化・認証

【2006年08月01日 00時00分更新】

【セキュリティ】企業活動を正常に遂行するための

【NETWORK Guide】情報セキュリティ基礎ガイド［第8回：暗号化技術にとらわれすぎると陥る罠］

何のためにセキュリティ対策を行うのか。その目的と具体的な対応策に関連する技術を取り上げる連載。第8回は暗号化技術について取り上げる。

企業活動を正常に遂行するための

Guide 8

>暗号化技術にとらわれすぎると陥る罠
～暗号システムの安全性は、鍵の管理や実装なども含めて総合的に考えなければならない～

　暗号化技術も、情報セキュリティの根幹となるものの1つだ。正しい「鍵」を持ったユーザー以外は暗号化された情報を元に戻すこと（復号）ができないので、情報にアクセスできなくなる。また、インターネットのようなパブリック・ネットワークでは、ほかの誰かが傍受している可能性があるネットワークを通じて重要な情報をやり取りすると、情報漏えいの危険性が生じる。そこでデータを暗号化してやり取りすれば、情報を盗聴行為から守ることができる。

　暗号技術を利用する場合、暗号化を行うための計算処理の方法、つまりアルゴリズムは公開して弱点の検証を行えるようにする一方、ユーザーがそれぞれ個別に持つ「鍵」の探索を天文学的に難しくすることで安全性を確保するというのがコンピュータベースの暗号システムにおける一般的な考え方だ。そのため、暗号技術を選定、あるいは評価する際には、アルゴリズムの良し悪しや鍵長の長短（鍵長が長いほうが、力任せの探索が難しくなる）にばかり注目してしまいやすい。しかし、実際にはそれほど単純な話ではない。

　たとえば、IEEE802.11無線LANで用いられているWEP（Wireless Equivalent Privacy）のように、暗号化アルゴリズムそのものに問題はなくても、それをシステムとして実装する際の手法に問題があったことが原因で「脆弱である」と烙印を押されてしまうような事例が存在している。

　また、優れているとされる暗号化アルゴリズムを用いたり、鍵長を可能なかぎり長く取ったりしていても、鍵情報の管理に問題があれば攻撃を受けやすくなる（図5）。自宅の玄関に最新型の強力な鍵をつけていても、その鍵を郵便ポストの裏に貼りつけておいたのでは安全性を保てないのと同じことだ。

　

　暗号化システムにかぎったことではないが、使用するアルゴリズムなどの良し悪しだけにとらわれず、鍵情報のような関連情報、あるいはシステムとして実装する際の具体的な内容まで考慮しなければ、本当に安全性が高いシステムを作り出すことはできない。

　とはいえ、携帯電話や情報家電といった組み込み系の分野においては、暗号システムの利用が増加している。こういった製品では利用可能なCPUパワーやメモリの量がかぎられていることから、より少ないリソースでも機能的な水準を落とさずに動作する暗号化アルゴリズムが求められている点も見逃せないだろう。

>>>Guide9、Guide10（最終回）の公開は8月4日です。

井上孝司　Kouji Inoue
テクニカルライター。マイクロソフトを経て、1999年春に独立。マイクロソフト製品や通信、セキュリティ関連の話題を中心に、書籍、雑誌、Webなどで執筆活動を展開中。Webサイトは http://www.kojii.net/

↑このページのTOPへ