DESからの教訓：私たちが学んだこと

DESの56ビット鍵は、1977年当時の計算能力を前提に設計されました。設計者は、少なくとも10～15年間は安全だと予想していました。しかし1997年には、20年後には数か月で解読できるようになり、1999年には数時間で解読可能になりました。

ここから得られる教訓は、暗号鍵の長さを将来の計算能力の向上を考慮して決めなければならないということです。現在NISTは、2030年まで安全性を維持するために、システムに少なくとも112ビットのセキュリティマージンを持たせ、長期的な安全性のためには128ビット以上を確保することを推奨しています。

Auguste Kerckhoffsは1883年に、鍵以外のシステムに関するすべての情報が公開されていても安全な暗号方式でなければならないと述べました。DESは、この原則を明確に意識して設計された、初めて政府標準となった暗号方式です。

DESの完全な仕様を公開したことで、暗号研究コミュニティは20年にわたって弱点を分析できました。この暗号方式は、アルゴリズムの秘匿性に依存する代替方式よりも、公開された検証に対して高い耐性を示しました。

DESが初めて公開されたとき、S-boxの設計基準はNSAによって秘密にされていました。これがバックドアに関する陰謀論を招きました。1990年代に設計基準が明らかになると、S-boxは差分解読法に耐えられるよう明確な意図を持って設計されていたことがわかりました。

この透明性に関する教訓から、現代の暗号コンペティションでは設計根拠を完全に公開することが求められるようになりました。AESの候補方式は、設計基準と安全性に関する議論をすべて公開し、徹底した公開分析を可能にしました。

NSAがDESの鍵長を128ビットから56ビットに短縮し、S-boxを変更したことは、暗号標準への政府の関与に対する根強い組織的不信を生みました。

この不信は、2013年のDual_EC_DRBGバックドア・スキャンダルによってさらに強まりました。この事件では、NSAがNISTの乱数生成器標準を意図的に弱体化させていたことが明らかになりました。DESでの経験は、政府による暗号方式への介入に対して健全な懐疑心を持つという姿勢の基礎となりました。

DESから得られる教訓の一つは、アルゴリズムアジリティの重要性です。システムは、暗号アルゴリズムが時代遅れになったときに簡単に置き換えられるよう設計する必要があります。DESをハードコードしたシステムでは、費用のかかる全面的な入れ替えを伴う移行が必要でした。

TLSのような現代の暗号プロトコルでは、各接続の開始時にアルゴリズムの選択をネゴシエーションします。これにより、双方がサポートする中で最も強力なアルゴリズムに合意できます。そのため、後方互換性を壊すことなく新しいアルゴリズムを導入できます。

NISTはDESでの経験から、政府による非公開のプロセスでは不信を招き、場合によっては脆弱なアルゴリズムが生まれることを学びました。AESコンペティション（1997～2001年）は完全に公開され、世界中のあらゆる組織が候補方式を提出できました。

米国、欧州などのチームから15種類のアルゴリズムが提出されました。最終候補5種類は、3年間にわたって公開分析されました。ベルギーの暗号研究者が開発したRijndaelが、技術的な評価によって選ばれました。公開されたプロセスによって、AESに対する幅広い信頼が生まれました。

AESコンペティションでは、DESから得られた教訓が直接生かされました。具体的には、大きな鍵長の選択肢（128、192、256ビット）、誕生日攻撃への懸念に対処する128ビットのブロックサイズ、設計基準の完全な公開、そして数年にわたる公開暗号解読分析です。

AESは20年以上にわたる公開暗号解読分析に耐えており、実用的な攻撃は見つかっていません。AESに対して現在知られている最良の攻撃でさえ、総当たり攻撃よりわずかに優れているにすぎません。これは、公開コンペティションのプロセスによって強力な暗号方式が生み出されたことを裏付けています。

ATM、決済端末、衛星デコーダー、産業用制御システムには、数百万件のDESハードウェア実装が存在します。ハードウェアの交換は、ソフトウェアの更新よりはるかに高コストで、時間もかかります。

ここから得られる教訓は、暗号のハードウェア実装では、最初からアルゴリズムの置き換えを計画しなければならないということです。現代のHSMやスマートカードチップは複数のアルゴリズムをサポートするよう設計されており、ファームウェアを更新して新しい標準を追加できます。

DES以降、NISTの標準化プロセスはより透明で包括的になりました。公開コメント期間が延長され、標準化の前にアルゴリズムの設計が完全な形で公開され、国際的な参加も積極的に促されました。

NISTのPost-Quantum Cryptography標準化（2016～2024年）では、これらすべての教訓が生かされました。公開された国際コンペティション、複数回にわたる公開暗号解読分析、透明性の高い選定基準、そして多様性を確保するための複数アルゴリズムの同時標準化が実施されました。

現代の暗号技術は、鍵長の問題を解決しています。AES-256は非常に大きなセキュリティマージンを提供するため、当面の間、総当たり攻撃は不可能です。残された課題は鍵管理です。

鍵の生成（真にランダムであること）、鍵の保管（不正アクセスから保護すること）、鍵の配布（適切な相手と安全に共有すること）、鍵のローテーション（サービスを中断せずに鍵を変更すること）、鍵の失効（侵害された鍵を無効にすること）は、未解決の問題です。現実の暗号障害の大半は、これらの問題が原因で発生します。

ポスト量子暗号への移行（PQC）は、現代におけるDESからAESへの移行に相当します。量子コンピューターはRSAやECCを脅かしています。これは、コンピューターの性能が指数関数的に向上してDESを脅かした状況と同じです。

NISTは2024年に、初めてのPQC標準を確定しました。鍵カプセル化にはCRYSTALS-Kyber（現在のML-KEM）、署名にはCRYSTALS-Dilithium（現在のML-DSA）が使用されます。公開コンペティションやアルゴリズムアジリティなど、DESから得られた教訓がPQCの標準化プロセスに直接適用されました。

DESの時代から得られた教訓について、理解度を確認しましょう。

DESから、鍵長はムーアの法則を考慮して決める必要があること、公開された検証によって暗号方式は強化されること、S-boxの設計基準は公開すべきであること、そして標準への政府の関与には透明性が必要であることを学びました。

アルゴリズムアジリティ、公開コンペティション（AES、PQC）、アルゴリズムの置き換えを前提に設計されたハードウェアは、いずれもDESの遺産に直接対応するものです。現代の暗号技術で最も難しい問題は、鍵長ではなく鍵管理です。