CRYPTREC暗号リスト
掲載：2023年10月13日
用語集
「CRYPTREC暗号リスト」とは、政府のプロジェクト「CRYPTREC」によって安全性や実装性を評価された暗号技術のリストです。近年はサイバー攻撃の増加やデジタル化の加速で、暗号技術の重要性はますます高まっています。CRYPTREC暗号リストは、電子政府のセキュリティ強化を目的に策定されたものですが、民間の企業や組織でも暗号技術の採用判断やチェックの指針になります。
CRYPTRECとは
「CRYPTREC」とは、「Cryptography Research and Evaluation Committees」の略称で、デジタル庁と総務省、経済産業省が共同で運営する暗号技術検討会と関連委員会で構成される政府のプロジェクトを指します。
CRYPTRECは、IT先進国家の基盤となる電子政府のセキュリティを強固なものとするため、暗号技術の安全性と実装性の評価を目的に2000年に発足しています。2003年2月には、推奨する暗号技術をまとめた、最初の「電子政府推奨暗号リスト」を公表しました。
その後、暗号技術の進歩に対応するため10年ごとに改定され、2023年3月には最新の「電子政府における調達のために参照すべき暗号のリスト(CRYPTREC暗号リスト)」が策定・公表されています。
3つのカテゴリと暗号技術
2013年の改定から、CRYPTREC暗号リストは「電子政府推奨暗号リスト」「推奨候補暗号リスト」および「運用監視暗号リスト」の3つの安全性レベル・推奨度に応じたカテゴリに整理されました。それぞれの位置付けと代表的な暗号技術例は以下のとおりです。
| カテゴリ | 位置付け | 暗号技術の例 |
|---|---|---|
| 電子政府推奨暗号リスト | 市場における利用実績が十分、または今後の普及が見込まれると判断され、利用を推奨する暗号技術 |
|
| 推奨候補暗号リスト | 安全性と実装性能が確認され、今後、電子政府推奨暗号リストに掲載される可能性のある暗号技術 |
|
| 運用監視暗号リスト | 解読されるリスクが高まるなど、推奨すべき状態ではなくなったが、互換性維持のための利用は容認する暗号技術 |
|
政府機関などでは、このうち「電子政府推奨暗号リスト」に基づく暗号技術の利用が求められています。ただし、民間の企業や組織であっても、特に「運用監視暗号リスト」は危殆化が確認されている技術であり、互換性維持以外の利用は推奨されていないので、避けたほうがよいでしょう。
利用時の注意点
暗号技術の選定や実装に際して、暗号技術の選択だけでなく、鍵の長さ（鍵長）も重要な要素となります。なぜなら、同じ暗号技術であっても鍵長によって、セキュリティ強度や処理の効率が大きく変わるからです。
一般に、鍵長が長すぎれば処理の効率は下がり、逆に短すぎるとセキュリティ強度が低下するリスクがあります。システムの運用寿命や求められるセキュリティ強度に応じて、適切な暗号技術と鍵長を定めることが重要です。
CRYPTRECでは、2022年に「暗号強度要件（アルゴリズム及び鍵長選択）に関する設定基準」という指針を策定し、これに合致しない鍵長を用いた場合には、推奨の暗号技術と見なさないことを定めています。CRYPTREC暗号リストを一般的なシステムの暗号技術として参考にする際にも、適切で安全な暗号化の実施には要件に適した鍵長の選択が不可欠です。
暗号技術の安全性は技術の進歩や新たな攻撃手法が出現することにより、急激に低下します。CRYPTREC暗号リストの確認に限らず、常に最新の情報を入手しながら陳腐化させない対策を組織として講じる必要があるでしょう。
