どんなにすごい暗号やセキュリティ技術を作っても最大のセキュリティホールは人なんです。昔は、城などの秘密通路を作った人は殺されたって言うしね。
CAB方式暗号の＠ITの記事
私そんなに暗号に関しては詳しくありませんが、読んで思ったのは胡散臭いなーと。後喩え下手だなぁと。新しい暗号方式であるCABの開発について、野球のピッチャーのたとえ話は変だなと。言いたいことは、計算量の多さにより安全性をが保障された暗号技術は計算機の速度発達に伴い、安全面と複号の早さのバランスを保ちながら、徐々に暗号鍵の長さを伸ばしていくしかなかった。しかし、CAB方式暗号は計算量多さではなく、無限大の関数を鍵とするから事実上解けないってことなのだろう。それだったら、無限大の速さの球を投げるピッチングマシンじゃないのか*1。時速200kmのピッチングマシンならイチローなら打てる気がする。まぁこれは枝葉であり、「CAB方式暗号すごいよ！」ってことを伝えたいんだろうけど、控えめなんだが誇張表現なのか良く分からないたとえだ。
解けない暗号・ワンタイムパッド
- 「解読不能は数学的に証明済み」、RSAを超える新暗号方式とは
- 暗号に関する関連リンクあり
- 画期的な暗号が発見！？ - snuffkinの遊び場
- 「専門家による検証」の無い暗号は暗線ではない。本当に数学的に証明されているのか？
- 増田の誤解 - Crypt Alarm Basic (仮称) 方式について
- 有限長のデータを扱うんだから、結局有限の関数から選ぶ事になるんじゃない？という指摘
- 「絶対に破られない暗号」とメディアリテラシー
- ワンタイムパッド以外に絶対に解けない暗号は無いという指摘。
- 解読不能な公開鍵暗号Crypto Alarm Basic?
- アルゴリズムを公開しないとなんとも
絶対に解読不可能な暗号として数学的に証明されたのはワンタイムパッドしかありません。ワンタイムパッドは、暗号を解読しようとする側が無限の計算能力を持っていても不可能です。
ワンタイムパッドは簡単に言うと、暗号を解読するための鍵を一回限り用いる方式。暗号の鍵を一回だけしか用いないので、絶対に解読される事は無い。ただし、実際に運用する場合鍵の保管が最大のネックとなる。鍵を安全に共有できないとワンタイムパッドは運用できない。
現在最も信頼におけるとされるRSA方式は素因数分解の計算量の膨大さが安全の保障となっている。しかし、素因数分解を容易に計算できる可能性のある量子コンピュータが実用化されるとRSA方式は暗号として使えなくなる。ただ、ワンタイムパッドを利用した量子暗号も考案されているので、量子コンピュータが実用化されたら量子暗号が台頭するのだろう。
CAB方式は絶対に解けないことが数学的に証明されていると書かれている。論文が無いので何とも言えず、論文出したけどリジェクトされたのかもしれないがそこら辺は不明である。数学的に絶対に解けない暗号はワンタイムパッドであるから、CABは無限大にある鍵をワンタイムパッドで用いる暗号方式ではないのかなと推測した。これが本当なら、ストリーミング映像などを暗号化する場合には有効かなと感じた。
DVDのCSSとクレジットカード
記事中に、CSSが簡単に破られたことと、ネットショッピングでクレジットカード番号を入力するのに躊躇する人はまだいるという例示でCAB方式暗号を後押ししてるんですが、それぞれ事情が違う。
DVDはCSSという方式により暗号化されていたが、1999年11月にノルウェーの数人のプログラマーによりCSS回避ツールDeCSSが作成されてしまった。＠ITの記事中には簡単に解かれてしまったとある。実際随分と甘い方式だったようだが、暗号化技術画が解かれてしまった経緯はDVDのライセンスを受けていたある会社が、不注意にも暗号解読用の鍵を暗号化するのを怠っていたために過ぎない。CSSは鍵長が40ビットと短く、少ない鍵から他の鍵が簡単に類推できる事、暗号鍵が破られた場合の対処が無かったことがCSSが簡単に破られた一因であるが、最大の一因は鍵が漏れてしまった事である。つまり人的要因に過ぎない。ただ、元々鍵長が短いので遅かれ早かれ破られていたであろうが。
クレジットカードに関する犯罪についてはスキミングのほうが古い。磁気カードを用いたサービスが開始された頃から危惧される問題である。現在では、店舗に設置されるカード読み取り機にカード情報を盗み出す装置であるスキマーを取り付ける場合が多いようだ。
一方で、インターネットでのクレジットカード利用が増えるとフィッシング詐欺も台頭し始めた。インターネットでのクレジットカードの利用によるトラブルもスキミングと同じく、インターネットでクレジットカードが利用され始めた頃からの問題であり大変根深い。アダルトサイトに館員登録するためにクレジットカードの番号を書いたら、クレジットカードが勝手に使われていたと言うのは良くある話である。
インターネットでのクレジットカードの利用において、どんなに暗号が素晴らしくても使用するPCにスパイウェアが入っていたら終わり。クレジットカードを扱う側が不正を起こさないとは限らないなどの不安がインターネットでのクレジットカード利用を躊躇する一因だと思う。つまり、CAB方式がどんなに素晴らしい暗号でもクレジットカードを取り扱う店舗側を信用できなければ意味がない。
Winnyを介した情報流出
P2Pファイル交換ソフトであるWinnyを介した情報流出は2004年頃か見られ始め、2006年、2007年にかけて社会問題となった。Winnyが開発された2003年であるから、Winnyを介した情報流出は割合早く起こっている。マスコミなどは「Winnyによる情報流出」だと騒ぎ立てたが、「Winnyを介した情報流出」の方が適切だと感じる。「Winnyを介した情報流出」は個人情報が管理され、かつWinnyが起動するPCがWinny用ウイルス「Antinny」に感染した場合に発生する。このどれもが欠けても「Winnyを介した情報流出」は起きない。
政府はWinnyを扱わないようにと呼びかけたが、本来は禁帯出である情報を自宅などに持ち出してWinnyを介して流出したケースも見られる。Winnyの仕組みにより爆発的な情報流出が起こったとはいえるが、それ以前に個人情報の管理が杜撰であると感じる。
ヤフーBBの顧客情報が漏れたのも記憶に新しい。これは不正アクセスによるものであったが、ソフトバンク社員であれば誰でも閲覧できるような状態であったと脇が甘いのも一因だろう。不正アクセスが無くても個人情報が漏れる危険性は高かったのではないか。
人というセキュリティーホール
最終的に情報を扱うのは人である。どんなに素晴らしい技術で情報を扱っても人がダメならダダ漏れだ。そのため、古来より機密情報を扱えるのは信頼されたごく少人数のみだったわけだ。現在は、仕事の関係により機密情報を扱う人が増えざるを得ない。それを補うためのセキュリティ技術ではあるが、技術を過信すると情報など簡単に流出する。それが、Winnyを介した情報流出であったのだろう。
CAB方式が計算量の多さを担保にせず、鍵が無限大であることを保障にしたどんなにすごい暗号技術でも情報を使うのが人である以上情報流出は止められない。運用を間違えば解読されるのは避けられないのだから、「絶対安全」と謳うのは危険ではないかと思った次第。
後、CAB方式が安全化否かはアルゴリズムが公表されない限りなんとも言えない。現在の暗号の流れとして、アルゴリズムは企業秘密ですとか言い出したらアルゴリズムが守られない限り安全じゃない方式と疑われても仕方が無い。
ついでに、研究室のページである Ohya Lab. を見ると量子テレポーテンションとかやってるんですよね。そんな人が 「われわれはもともと数学研究者であって、暗号とかソフトウェアとは関係がないんです。」って胡散臭いなぁと。暗号は数学の分野だし、量子通信も暗号の分野だし。
*1:光の速さは越えられないけどたとえなので
