鍵交換とハイブリッド暗号

共通鍵暗号では、両者が安全に通信する前に同じ秘密鍵を共有しておく必要があります。しかし、まだ安全な通信路がない場合、どうすればその鍵を安全に共有できるでしょうか。この鍵配送問題は、1976年にWhitfield DiffieとMartin Hellmanが画期的な論文を発表するまで、解決不可能だと考えられていました。2人の提案したDiffie-Hellman鍵交換により、盗聴者に見られる可能性のある安全でない通信路上でも、鍵そのものを送信せずに共有秘密鍵を確立できます。

Diffie-Hellman（DH）は、離散対数問題に基づく巧妙な数学的手法を使用します。両者は、2つの公開値（大きな素数pと生成元g）に合意します。各当事者は秘密の乱数を生成し、それを使って公開値を計算して交換します。その後、各当事者は、自分の秘密の数値と相手の公開値から同じ共有秘密を計算できます。一方、公開値しか見ていない盗聴者は、大きな数に対して計算上困難な離散対数問題を解かない限り、共有秘密を計算できません。

楕円曲線Diffie-Hellman（ECDH）は、Diffie-Hellman鍵交換を現代向けに効率化した方式です。モジュラーべき乗の代わりに楕円曲線数学を使用し、より小さなパラメーターで同等のセキュリティを実現します。256ビットのECDH鍵は、3072ビットのDH鍵と同等のセキュリティを提供します。ECDHE（「E」はEphemeralの略）は、セッションごとに新しい鍵ペアを生成し、完全前方秘匿性を提供します。TLS 1.3では鍵交換にECDHEを使うことが必須となっており、現代のWebセキュリティで主流の鍵交換方式です。

完全前方秘匿性（PFS）は、サーバーの長期的な秘密鍵が後から盗まれた場合でも、セッション鍵が漏えいしないことを保証します。PFSは、各セッションの鍵交換に一時鍵ペアを使用することで実現します。セッション鍵は一時的な鍵ペアから導出され、セッション終了後に破棄されます。PFSがない場合（RSA鍵交換を使用する場合）、攻撃者は今日暗号化トラフィックを記録し、後から秘密鍵を盗むことで、過去のすべての通信を遡って復号できます。PFSがあれば、鍵が侵害された後でも過去のセッションは安全に保たれます。

ハイブリッド暗号は、非対称暗号と対称暗号を組み合わせることで、非対称暗号の鍵管理上の利点と、対称暗号の性能の両方を実現します。手順は次のとおりです。(1) ランダムな対称セッション鍵を生成します。(2) この対称鍵を使って大量のデータを高速に暗号化します。(3) 受信者の公開鍵で対称鍵を暗号化し、安全に鍵を送信できるようにします。(4) 暗号化したデータと暗号化した鍵の両方を送信します。受信者は秘密鍵で対称鍵を復号し、復元した対称鍵でデータを復号します。

TLSハンドシェイクは、現実のシステムで最も一般的に使われているハイブリッド暗号の実装です。TLS 1.3では、次のように処理します。(1) クライアントが、対応する暗号スイートと鍵共有情報（ECDHEの公開値）を送信します。(2) サーバーが、独自の鍵共有情報、証明書（公開鍵を含む）、および署名を返します。(3) 双方がECDHによって同じ共有秘密を計算します。(4) 以降のすべての通信を、共有秘密から導出した対称鍵（AES-256-GCM）で暗号化します。このプロセス全体により、対称鍵を直接送信することなく、1回のラウンドトリップで暗号化チャネルが確立されます。

現代の暗号技術では、セッション鍵を非対称暗号で直接暗号化する方法よりも、形式的で安全な鍵交換方式として鍵カプセル化メカニズム（KEM）が使われています。KEMを使うと、一方の当事者が対称鍵を生成し、受信者の公開鍵を使って、その受信者だけがデカプセル化（復元）できる形で鍵を「カプセル化」できます。NISTの耐量子計算機標準であるCRYSTALS-Kyberは、整数因数分解や楕円曲線ではなく格子問題に基づくKEMであり、量子コンピューターによる攻撃への耐性を備えています。

TLS 1.3以前は、RSA鍵交換が一般的でした。クライアントがプレマスターシークレットを生成し、サーバーのRSA公開鍵で暗号化してサーバーに送信していました。この方式の問題は、前方秘匿性がまったくないことです。後からサーバーの秘密鍵が漏えいすると、この方式で暗号化された過去のすべてのセッションを復号できてしまいます。TLS 1.3では、すべての接続で前方秘匿性を確保するため、RSA鍵交換を完全に廃止し、ECDHEだけを許可しています。そのため、静的RSAを引き続き許可するTLS 1.0および1.2を無効にし、TLS 1.3を必須にすることは、セキュリティの向上につながります。

Diffie-Hellman交換で生成された共有秘密は、暗号化鍵として直接使用しません。代わりに、鍵導出関数（KDF）に入力して、実際の暗号化鍵と初期化ベクトルを生成します。TLS 1.3では、HKDF（HMACベースの鍵導出関数）を使い、通信の各方向の暗号化に別々の鍵を導出します。KDFには、計算コストを追加して総当たり攻撃を困難にすること、短い秘密から必要な長さの鍵バイト列を生成すること、導出した鍵が対称鍵として適切な優れた統計的性質を持つようにすること、という役割があります。

Pretty Good Privacy（PGP）と、そのオープンソース版であるOpenPGPは、メールにハイブリッド暗号を使用します。AliceがBobに暗号化メールを送信する場合、PGPはランダムな対称セッション鍵を生成し、その鍵でメール本文を暗号化し（AES）、BobのRSAまたはECC公開鍵でセッション鍵を暗号化して、両方をまとめて送信します。署名付きメールでは、PGPがメッセージをハッシュ化し、Aliceの秘密鍵でそのハッシュに署名します。これにより、否認防止が実現します。PGPの信頼の輪モデル（ユーザー同士が互いの鍵に署名する方式）は、認証局ベースのPKIに代わる方法です。

Diffie-Hellman鍵交換は受動的な盗聴者に対しては安全ですが、当事者同士が互いに認証しない場合、能動的な中間者（MITM）攻撃に対して脆弱です。攻撃者はAliceの公開値を傍受して自分の値に置き換え、AliceとBobそれぞれとの間に別々のDHセッションを確立できます。その結果、AliceもBobも相手と直接通信していると思い込んでしまいます。これが、TLSがDH鍵交換を証明書認証と組み合わせる理由です。信頼されたCAが署名したサーバーの証明書によってサーバーの身元が証明されるため、ハンドシェイク中に公開鍵が中間者によって置き換えられるのを防げます。

このレッスンで扱ったCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、Diffie-Hellmanによって、安全でないチャネル上でも当事者が共有秘密を導出でき、鍵交換の問題を解決できること、ECDHE（エフェメラル）によって完全前方秘匿性が実現すること、ハイブリッド暗号によって非対称鍵交換と大量データ向けの対称暗号を組み合わせ、効率を高められること、そしてTLS 1.3がすべての接続でECDHEを必須としていることを学びました。次は、認証局と信頼チェーンについて学びます。