暗号鍵の長さが重要な理由

暗号技術では、セキュリティパラメータλが目標とするセキュリティレベルを表します。これは、暗号システム全体の鍵長、ハッシュ出力サイズ、その他のパラメータを決定します。λ = 128のシステムでは、攻撃者が破るためにおよそ2^128回の操作を必要とすることを意味します。最も弱いコンポーネントでも少なくともこのレベルの安全性を提供できるよう、すべてのパラメータは一貫性を保って選択されます。

80ビットの安全性は、かつては機密性の低いアプリケーションには十分と考えられていました。これを破るには、およそ2^80回、つまり約10^24回の操作が必要です。しかし、最新のGPUクラスターと最適化されたアルゴリズムを使えば、資金力のある攻撃者にとって実現可能な範囲に近づいています。NISTは2010年に80ビットの安全性を非推奨とし、現在では新しい暗号システムへの採用を推奨していません。80ビットのパラメータを使用しているレガシーシステムは、アップグレードする必要があります。

トリプルDES（3DES）が提供する112ビットの安全性は、適度な保護を実現します。DESが非推奨となった後、NISTが共通鍵暗号に対して定めた最低推奨レベルでした。3DESは異なる鍵を使ってDESを3回適用するため、鍵自体は168ビットですが、実効的な安全性は112ビットです。NISTは、計算能力が向上しAESに完全に置き換えられたことを受け、2024年までに連邦政府での3DESの使用を認めない予定です。

AES-128は128ビットの安全性を提供し、共通鍵暗号の現在の標準です。古典計算機を使ってAES-128に対して実用的な攻撃を行う方法は存在しません。NISTは、少なくとも2030年までの長期的な保護には128ビットの安全性で十分だと考えています。TLS 1.3、WireGuard、Signalなど、ほとんどの暗号プロトコルでは、128ビット以上の共通鍵がデフォルトで使用されます。

AES-256は、古典的攻撃に対して256ビットのセキュリティを提供し、Groverの量子アルゴリズムに対しては実効的に128ビットのセキュリティを提供します。256ビットの共通鍵を使用すれば、大規模な量子コンピューターが利用可能になっても、暗号は128ビットの強度で安全なままです。そのため、長期的なデータ保護を必要とする政府や軍事分野のアプリケーションでは、現在、256ビットの共通鍵暗号への移行が進められています。

RSAの安全性は、大きな整数を素因数分解することの困難さに基づいています。素因数分解は、共通鍵を総当たりするよりも容易な数学的問題であるため、RSAでは同等の安全性を実現するためにはるかに長い鍵が必要です。2048ビットのRSA鍵が提供するセキュリティは約112ビットにすぎません。3072ビットのRSA鍵は、約128ビットのセキュリティを提供します。AES-256と同じ安全性を実現するには、約15,360ビットのRSA鍵が必要です。

楕円曲線暗号（ECC）は、楕円曲線離散対数問題の数学的な困難さを利用することで、RSAと同等の安全性をはるかに短い鍵で実現します。256ビットのECC鍵（P-256やCurve25519など）は約128ビットのセキュリティを提供し、3072ビットのRSA鍵に相当します。鍵が短くなることで計算が高速になり、TLSハンドシェイクのメッセージも小さくなるため、ECCは性能が重視されるアプリケーションに適しています。

NIST Special Publication 800-57は、暗号鍵管理に関する権威あるガイドです。各セキュリティレベルで承認されるアルゴリズムと鍵長、鍵をローテーションするまでの使用期間、鍵の保管と破棄に関する要件を定めています。SP 800-57に従うことで、暗号に関する選択が連邦政府の標準に適合し、コンプライアンス監査でも妥当性を説明できるものになります。

最も一般的な比較では、128ビットの共通鍵（AES-128）は、3072ビットのRSAまたは256ビットのECCとほぼ同等の安全性を提供します。これは、共通鍵が指数関数的なコストの総当たり攻撃から保護される一方、公開鍵は準指数関数的なコストの数学的アルゴリズムから保護されるためです。鍵長にこのような差があるのは、それぞれの基礎となる数学的問題の困難さが異なるためです。

生の鍵長よりも、セキュリティビットのほうが有用な情報になります。システムが128ビットのセキュリティを備えるということは、アルゴリズムに関係なく、それを破るにはおよそ2^128回の操作が必要だという意味です。2048ビットのRSA鍵は112ビットのセキュリティを持ちます。128ビットのAES鍵は128ビットのセキュリティを持ちます。セキュリティビットを考慮せずにアルゴリズム間で鍵長だけを比較すると、相対的な強度について誤った結論につながります。

現在暗号化するデータも、その機密区分で定められた存続期間全体にわたって安全であり続けなければなりません。政府の機密文書は、数十年にわたって機密性を維持する必要がある場合があります。現在の計算能力だけを基準に鍵長を選ぶのでは不十分です。将来のハードウェアの性能向上や、実現する可能性のある量子コンピューターによる攻撃にも耐えられるよう、鍵長を設定する必要があります。鍵長を余裕を持って大きくしてもコストはほとんど増えませんが、将来への備えを大幅に強化できます。

AES-128とおよそ同じセキュリティ強度になる鍵長はどれですか？

セキュリティパラメータλは、目標とするセキュリティレベルをビット数で表します。80ビットは非推奨、112ビットは最低限、128ビットが標準、256ビットは耐量子マージンを提供します。同等の安全性を実現する場合、RSAには共通鍵アルゴリズムよりもはるかに長い鍵が必要です。3072ビットのRSAはAES-128に相当します。ECCは、RSAと同じ安全性をはるかに短い鍵で実現します。アルゴリズムを比較する際は、生の鍵長よりもセキュリティビットのほうが意味のある指標です。