企業活動を正常に遂行するための
Guide 1　何のためのセキュリティ対策なのか Guide 2　脅威の多様化と適切な内部統制の必要性 Guide 3　まずは本人認証から Guide 4　SSOと認証サービスの連携機能 Guide 5　端末認証と検疫ネットワーク	Guide 6　浸透するTPM搭載のPCたち Guide 7　ソフトウェアの安全性を高めるDEP Guide 8　暗号化技術にとらわれすぎると陥る罠 Guide 9　求められているのは重層的な防御態勢 Guide10　現場の理解が不可欠

Guide 8

>暗号化技術にとらわれすぎると陥る罠 ～暗号システムの安全性は、鍵の管理や実装なども含めて総合的に考えなければならない～

暗号化技術も、情報セキュリティの根幹となるものの1つだ。正しい「鍵」を持ったユーザー以外は暗号化された情報を元に戻すこと（復号）ができないので、情報にアクセスできなくなる。また、インターネットのようなパブリック・ネットワークでは、ほかの誰かが傍受している可能性があるネットワークを通じて重要な情報をやり取りすると、情報漏えいの危険性が生じる。そこでデータを暗号化してやり取りすれば、情報を盗聴行為から守ることができる。 　暗号技術を利用する場合、暗号化を行うための計算処理の方法、つまりアルゴリズムは公開して弱点の検証を行えるようにする一方、ユーザーがそれぞれ個別に持つ「鍵」の探索を天文学的に難しくすることで安全性を確保するというのがコンピュータベースの暗号システムにおける一般的な考え方だ。そのため、暗号技術を選定、あるいは評価する際には、アルゴリズムの良し悪しや鍵長の長短（鍵長が長いほうが、力任せの探索が難しくなる）にばかり注目してしまいやすい。しかし、実際にはそれほど単純な話ではない。 　たとえば、IEEE802.11無線LANで用いられているWEP（Wireless Equivalent Privacy）のように、暗号化アルゴリズムそのものに問題はなくても、それをシステムとして実装する際の手法に問題があったことが原因で「脆弱である」と烙印を押されてしまうような事例が存在している。 　また、優れているとされる暗号化アルゴリズムを用いたり、鍵長を可能なかぎり長く取ったりしていても、鍵情報の管理に問題があれば攻撃を受けやすくなる（図5）。自宅の玄関に最新型の強力な鍵をつけていても、その鍵を郵便ポストの裏に貼りつけておいたのでは安全性を保てないのと同じことだ。 　 　暗号化システムにかぎったことではないが、使用するアルゴリズムなどの良し悪しだけにとらわれず、鍵情報のような関連情報、あるいはシステムとして実装する際の具体的な内容まで考慮しなければ、本当に安全性が高いシステムを作り出すことはできない。 　とはいえ、携帯電話や情報家電といった組み込み系の分野においては、暗号システムの利用が増加している。こういった製品では利用可能なCPUパワーやメモリの量がかぎられていることから、より少ないリソースでも機能的な水準を落とさずに動作する暗号化アルゴリズムが求められている点も見逃せないだろう。 >>>Guide9、Guide10（最終回）の公開は8月4日です。

井上孝司　Kouji Inoue テクニカルライター。マイクロソフトを経て、1999年春に独立。マイクロソフト 製品や通信、セキュリティ関連の話題を中心に、書籍、雑誌、Webなどで執筆活 動を展開中。Webサイトは http://www.kojii.net/