# 暗号戦争 ## 定義 暗号戦争(Crypto Wars)とは、市民・企業による暗号利用に政府がアクセス手段(バックドア・エスクロー鍵)を持つべきかを巡る、1990年代から現在まで断続的に続く政策対立を指す。第1幕は1993年のClipperチップ論争に始まる。AT&Tが提案していたDiffie-Hellman鍵交換とtriple-DESによる暗号電話に対し、NSAはクリントン政権を説得して、classified block cipher「Skipjack」を耐タンパ性チップに実装し、政府機関が復号できる予備(エスクロー)鍵を持たせる「Escrowed Encryption Standard」を推進した。AT&Tの研究者Matt Blazeがエスクロー機構自体を無効化するプロトコル脆弱性を発見したことで提案は撤回されたが、その後もキー・リカバリー(key recovery)、信頼できる第三者(Trusted Third Parties, TTP)といった名称で類似の提案が繰り返された。輸出規制(米国のITAR、暗号ソフトを掲載したPhil Zimmermannへの武器輸出容疑での訴追)も同じ政策論争の一部として運用された。第1幕の終息は2つの出来事による: 1999年のEU電子署名指令(署名鍵の強制エスクローを禁止)と、2000年のFBIクワンティコ会合(政府が脆弱性の意図的な混入を求めず、自然発生する脆弱性を悪用する方針へ転換)である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]] §26.2.7.1-§26.2.7.3) 第2幕(「Going Dark」論争)は2013年のSnowden暴露に始まる。Bullrun(NSA)・Edgehill(GCHQ)という年間予算1億ドル規模の暗号弱体化プログラムの存在が明らかになったことで、サービス事業者(Google・Microsoft・Yahoo)は内部ネットワークの暗号化を加速し、多くのメッセージングサービスがエンドツーエンド暗号化を採用した。これに対し政府側は、WhatsAppやFaceTimeのようなサービスに「ghost user(幽霊参加者)」——法執行機関が令状を得た際に静かに通話へ参加できる機能——の実装を求める新しい形のエスクロー要求を持ち出した。GCHQの数学者Ian LevyとCrispin Robinsonが2018年に提案した「対象の鍵束にGCHQの公開鍵を静かに追加する」方式に対し、Bruce Schneierは、この方式がWhatsAppには効くがSignalには効かないという事実自体が修正されるべき「バグ」であり、それを義務化することはそのバグ修正を妨げると反論した。2016年のApple対FBI事件(サンバーナーディーノ銃撃事件のiPhoneロック解除要求)では、Appleが法廷で争い、FBIは最終的にイスラエル企業Cellebriteから商用エクスプロイトを購入して訴訟を取り下げた。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]] §26.2.7.4) 著者Ross Andersonは、10名の暗号研究者との共著論文「The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption」(1997年)と、その更新版「Keys Under Doormats」(2015年)を通じて一貫した工学的批判を展開する。すなわち、2者間セキュリティプロトコルを3者間(政府を加えた)プロトコルに変換すると複雑性と設計エラーのリスクが増大し、エスクローデータベースの中央集権化がそれ自体巨大な攻撃対象(飛行機が爆撃する対象、スパイが盗む対象)を生む、という主張であり、この批判は鍵そのものへのエスクロー要求(第1幕)にも、データへのアクセス要求(ghost user、第2幕)にも等しく当てはまる。英国政府が試みた「全国民の秘密鍵をメールアドレスからGCHQの超極秘マスターキーで生成し、省庁の担当者とGCHQの両方が復号できるようにする」構想は、省庁再編のたびに名称変更に対応できない不格好なシステムに終わり、結局キャメロン政権は事実上これを放棄してG SuiteとZoomに乗り換えた。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]] §26.2.7.3, §26.2.7.4) ## 横断的知見 - **暗号戦争第1幕と第2幕は、Andersonら暗号研究者コミュニティが1997年と2015年に発表した同一の工学的批判(3者間プロトコルの複雑性、中央集権化されたエスクローの攻撃対象化)によって、20年近い間隔を挟んで同じ結論に達している**: 本概念が集約する第26章は、「Risks of Key Recovery」(1997)と「Keys Under Doormats」(2015)という2つの論文が、対象(鍵のエスクロー vs データへのアクセス)こそ異なるものの、同じ工学的原理(2者間を3者間にする複雑性、中央集権化のリスク)を論拠にしていると明示する。これは、暗号戦争が単なる政治的振り子ではなく、政府がどの技術的手段(鍵/データ/ghost user)を提案しても構造的に同じ工学的欠陥に行き着くという、Andersonらの批判の頑健性を裏付ける事例である。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]] §26.2.7.3, §26.2.7.4) - **国家監視の技術的能力(第2章・第10章)と暗号弱体化プログラム(本章)は、同じNSA・GCHQという組織の異なる作戦領域として補完しあう**: [[国家監視の歴史と法制度]]が集約する第2章はBullrun/Edgehillの存在を「Five Eyesの技術的能力」の一項目として簡潔に報告するにとどまるが、本概念が集約する第26章はBullrunの起源(DESの56ビット鍵長を巡る1970年代の論争、暗号研究コミュニティの分断工作)からClipperチップ、Crypto AG事件、ghost user提案までの通時的な政策史として詳述する。同一の組織的行為(暗号の意図的な弱体化)について、第2章は「何ができるか」という能力の一覧を、本章は「なぜ・どうやってそれが可能になったか」という歴史的経緯を提供しており、両者を合わせて初めてBullrunという単一の予算項目が半世紀にわたる政策的布石の到達点であることが見える。(Source: [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]] §26.2.6, §26.2.7.1-§26.2.7.2, [[@2020__Wiley__Security Engineering 3e - Chapter 2 Who Is the Opponent?]] §2.2.1.5) ## 未解決の問い - Crypto AG事件(西ドイツBNDとCIAによる秘密裏の暗号機器会社の運営)は2020年に本格的な調査報道で確認されたと本章は述べるが、同種の「サプライチェーン型」暗号弱体化が現代のハードウェアセキュリティモジュール(HSM)やクラウド鍵管理サービスでどこまで再現されうるかは、本章では論じられていない。 - 「ghost user」提案に対するBruce Schneierの反論(WhatsAppには効くがSignalには効かないのは修正されるべきバグ)は、プロトコル設計上どのような性質(前方秘匿性、認証済み鍵合意の形式)がこの耐性の差を生むかを具体的には説明していない。暗号プロトコルの技術的な一次資料との突き合わせが必要。 - 暗号戦争第1幕・第2幕を通じて繰り返し登場する「規制が意図せぬ相手(善意の研究者・小規模ソフトウェア企業)を広範に捕捉する」という副作用([[国家監視の歴史と法制度]]の未解決の問いと共通)は、規制設計の一般原則としてどう定式化できるか。 - 2020年以降(本書の記述範囲外)、ghost user提案や類似の「クライアントサイドスキャニング」提案がどう推移したかは、本書の記述時点を超えるため本wikiでは追跡できていない。 ## 関連 - ソース: [[@2020__Wiley__Security Engineering 3e - Chapter 26 Surveillance or Privacy?]](§26.2.7-§26.2.7.4) - 概念: [[国家監視の歴史と法制度]](暗号弱体化を含む国家監視インフラの経済・歴史的背景) / [[セキュリティ設計原則]](3者間プロトコルの複雑性という設計原則) / [[公開鍵暗号方式]](鍵交換・署名の技術的基盤) - 実体: [[NSA]] / [[GCHQ]] / [[Edward Snowden]] ## 出典 - Ross Anderson, *Security Engineering: A Guide to Building Dependable Distributed Systems*, 3rd Edition, John Wiley & Sons, 2020, Chapter 26, §26.2.7-§26.2.7.4.