暗号に対する誤解

(1)六日の菖蒲、十日の菊

　どの様な暗号も必ず解読できるので、個人情報の保護には役立たないという声を良く聞く。確かに現在利用されている暗号も、絶対に解読できないというものではない。しかし、「六日の菖蒲、十日の菊」というたとえがある。時期遅れで役立たないものの例えであるが、暗号を考える場合にも、このことを考慮する必要がある。
　暗号とその解読では「リアルタイム性」が重要な意味を持つ。たとえば、筆者にとって役立つデータが現在は暗号化されていて読めないとする。それが50年後に解読できたとしても、筆者にまず役立つことはないであろう。筆者はもはやこの世にいないので、その情報を見ることも知ることもできないからである。

(2)解読する中身の価値

　ある暗号が30日で解読できた、というようなニュースが話題になることがあるが、内容を詳しく聞いてみると、コンピューターを100台利用して解読したり、通常利用している暗号鍵よりも短いものを解読しただけだったという話も多い。
　暗号鍵が短ければ解読できても不思議ではない。逆に言えば、通常利用している暗号鍵の長さであれば、解読はできないことになる。コンピューターを10万台利用して1日で解読できた、などというケースでも、その暗号は30年近く前から利用されていた暗号で、最近は使われなくなってきているものであったりする。
　これを協力者なしに単独で実践しようとすると、コンピューターを1台5万円で計算しても、それだけで50億円必要になる。50億円をかけて解読する暗号化された情報の価値は、少なくても50億円以上でないと解読する価値はないであろう。

(3)実装に問題も

　某所で利用していた暗号が解読できてしまった。新しい暗号を利用していたが、簡単に解読できてしまったという事件もよく報道される。しかしこれもよく調べてみると、暗号化、復号化を行うための「暗号鍵」の管理が適切でなかったために起こった事件であることが多い。
　金庫の鍵が、金庫の前に吊してあれば、誰にでも金庫を開けることができるのと同じである。
　こうして考えてみると、暗号は必ず解読できるので安全ではないという誤解から、そろそろ抜け出す必要があるのではないだろうか。

正しく使ってこその暗号

　むしろ、正しく評価された暗号を適切な手順で利用することができれば、暗号化された情報は安全であると考えることが大切だ。
　幸い、国内には、CRYPTREC（クリプトレック：Cryptography Research and Evaluation Committees http://www.cryptrec.jp/）と呼ばれるプロジェクトがあり、ここでは電子政府に係わる推奨暗号の安全性を評価・監視し、暗号モジュール評価基準等の策定を行っている。
　個人情報等をCRYPTRECで推奨する暗号を使って、暗号鍵を適切に管理された仕組みで利用している限りにおいては、万一、暗号化された個人情報等が漏洩しても安全であると考えてもいいのではないだろうか。

「当社の暗号も安全です！」

　「なぜ、CRYPTRECで推奨している暗号を利用しないといけないのか？　当社の暗号は10年間誰にも解読されなかった。その実績が安全である何よりの証拠ではないか？」と言われることもある。実際、この様な話を自社の暗号システムの販売に利用していた企業もあった。
　これに対し、筆者は「貴社の暗号が解読されないのは、単に誰も解読しようと思わなかっただけではないでしょうか。暗号の解読ができるかどうかを適切な組織で、十分な評価・検討を受けることが大切ですよ」と言ったことがある。実際、上記の話をしていた企業はCRYPTRECの暗号評価に自社の暗号を応募することはなかった。
　また、筆者がある個人情報漏洩事件に関連して「某社の暗号が利用されている個人情報が漏洩したとしても、暗号化された個人情報を誰も解読できないのではないか」とコメントしたところ、「いくつかの暗号製品を調べたことがあるが、あの暗号システムは、簡単に暗号の鍵が分かってしまうシステムです」と言われたことがある。CRYPTRECに登録されている暗号でも、システムへの実装の仕方が悪いと簡単に解読されてしまう可能性があるのだ。

認定個人情報保護団体の活用を

　暗号を利用すれば安全なのではなく、安全と評価された暗号を用いたシステムを、適切な鍵管理方法で用いて始めて、暗号化された情報が安全であると言える。
　最近、個人情報を安全に取り扱うと言ったものが製品として出荷されているが、その中には、暗号を利用したものより必ずしもセキュリティレベルが高いものばかりではない。逆に問題が起きる可能性があるものも含まれているのではないだろうか。
　個人情報保護法では、「認定個人情報保護団体」を定めており、業界の実務を踏まえた、より具体的なガイドラインの作成やＱ＆Ａによる各事業者への適切な情報提供を期待されている。そこでは個人情報漏洩防止のための暗号化対応についても、取り組む必要があるのではないだろうか。認定個人情報保護団体がより有効に活用されることにもつながるはずだ。