会わずに秘密を共有する

1. 何を秘密にするのか — ケルクホフスの原理

暗号の強さは「手順を隠すこと」に置いてはならない。手順は全部公開したうえで、鍵だけを秘密にする。この一見不利な条件から始めることが、結果として最も頑丈な暗号を生む。

19世紀のオランダの言語学者アウグスト・ケルクホフスは、軍用暗号の条件をいくつか挙げた。 そのうち今日まで生き残ったのが「暗号方式は、敵の手に落ちても不都合がないようにせよ」という一条である。 つまり、装置や手順書が奪われても、鍵さえ替えれば通信を続けられなければならない。

理由は単純で、手順はいずれ漏れるからだ。実装を解析されたり、内部から持ち出されたり、 同じ方式を使う別の組織から流出したりする。一方、鍵は漏れたら取り替えられる。 取り替えのきかないものに安全性を預けるな、というのがこの原則の中身である。

では鍵だけを秘密にすれば安全かというと、そう単純でもない。次のシーザー暗号で確かめてみてほしい。 ずらす文字数が鍵だが、その候補は26通りしかない。

総当たりを押すと、鍵を知らなくても26行のうちどれかに平文が現れる。手順を隠していたところで、 鍵の候補がこれだけしかなければ意味がない。安全性は「攻撃者が試さなければならない手間」で測る—— この見方が、以降ずっと効いてくる。

このセクション: 0 / 3 問正解

2. 鍵をどうやって渡すか — 共通鍵の限界

同じ鍵で暗号化と復号をする方式は、原理的には絶対に破れないものまで作れる。それでも実用にならない理由がひとつある。その鍵を、盗聴されている通信路でどうやって相手に届けるのか。

鍵の候補を増やせばよい、という方向で話を進めよう。暗号化と復号に同じ鍵を使う方式を 共通鍵暗号という。鍵を平文と同じ長さの完全な乱数にして、二度と使い回さないことにすると、 ワンタイムパッドと呼ばれる方式になる。これは「どんな計算能力を持ってしても解読できない」ことが 数学的に証明されている、正真正銘の完全な暗号である。

証明つきの完全な暗号があるのに、なぜ我々はそれを使っていないのか。理由は暗号の外側にある。

鍵を相手に届けなければ始まらない。しかし届ける経路は、暗号文を流す経路と同じである。 盗聴者は両方を記録できるので、鍵を見た時点で暗号文も読めてしまう。 別の経路（郵送、直接手渡し）を使えば解決するように見えるが、それは 安全性の根拠を数学から物流へ移しただけで、しかも相手が増えるたびに繰り返さなければならない。

これが鍵配送問題である。1970年代半ばまで、暗号の教科書はここで行き止まりだった。 銀行や軍は、実際に人が鍵を運んでいた。

このセクション: 0 / 3 問正解

3. 会わずに秘密を共有する — ディフィー・ヘルマン鍵交換

公開の場で数を送り合うだけで、二人だけが同じ数にたどり着く。しかもその数は、やりとりを全部聞いていた第三者には求められない。1976年に発表されたこの手品の種は、「戻すのが難しい計算」である。

1976年、ホイットフィールド・ディフィーとマーティン・ヘルマンが、この行き止まりを迂回する方法を発表した。 鍵を送らずに、公開の場でのやりとりだけで、二人が同じ秘密の数にたどり着く。まず絵の具で考えてみる。

絵の具を混ぜるのは簡単だが、混ざった色から元の2色を正確に取り出すのは難しい。 この非対称性がそのまま使える。実際の計算では、絵の具の代わりに 「ある数を何乗かして、素数で割った余りを取る」という操作を使う。 計算するのは速いのに、逆に「何乗したのか」を求めるのは極端に遅い——これを 離散対数問題という。

秘密の数をどう動かしても、二人は必ず同じ値にたどり着く。アリスは (g^b)^a を、 ボブは (g^a)^b を計算していて、どちらも g^ab だからである。 指数の掛け算の順序が入れ替わるだけなので、一致は偶然ではない。

そして「イブが総当たりする」を押すと、確かに秘密が割り出されてしまう。ここが肝心なところで、 この方式は原理的に解けないのではなく、解くのに時間がかかるだけである。 素数 p を大きくしていくと試行回数がどう増えるか、実際に切り替えて確かめてほしい。 実運用の p は10進で約617桁あり、そこまで行くと「時間がかかる」が「宇宙が終わるまでに終わらない」に変わる。

このセクション: 0 / 4 問正解

4. 鍵を2つに分ける — 公開鍵暗号

暗号化する鍵と復号する鍵を別々にすると、暗号化する側の鍵は公開してしまってよくなる。誰でも施錠できて、開けられるのは1人だけ。RSA を手で追える桁で組み立てて、その仕掛けを確かめる。

鍵交換の翌年、ロン・リベスト、アディ・シャミア、レナード・エーデルマンの3人が別のアプローチを出した。 暗号化する鍵と復号する鍵を別々にするという発想である。頭文字を取って RSA と呼ばれる。

鍵が分かれていると何が嬉しいか。暗号化用の鍵は公開してしまってよくなる。 開いている南京錠を大量に配り歩くのに似ている。誰でも錠を掛けられるが、開けられるのは鍵を持つ本人だけ。 鍵を事前に共有する必要が消える。

仕掛けは2つの素数にある。掛け算は簡単だが、掛け算の結果から元の2つの素数を復元する （素因数分解する）のは難しい。下で実際に鍵を組み立ててみてほしい。

公開するのは n と e だけで、素数 p・q と φ(n) は隠す。秘密鍵 d は 「φ(n) を法とした e の逆元」として作られるので、φ(n) が分かれば d も分かってしまうからである。 そして φ(n) を知るには n を素因数分解するしかない。

「n を素因数分解する」ボタンを押すと、この鍵ではあっさり破れる。61 × 53 = 3233 を分解するのに、 コンピュータは数十回の割り算しか要らない。実運用の n は617桁で、 同じやり方では終わらない——ここでも安全性を支えているのは数式ではなく桁数である。

なお、平文が n 以上だと復号しても元に戻らない。すべての計算が n を法とした剰余で行われるため、 n 以上の情報は最初の段階で潰れてしまう。RSA で長い文章をそのまま暗号化しないのは、この制約が理由の一つである。

このセクション: 0 / 4 問正解

5. 内容の指紋 — ハッシュ関数

長さも中身もばらばらな文書から、決まった長さの短い値を作る。同じ文書からは必ず同じ値が出て、1文字違えば全く別の値になり、値から文書は戻せない。改竄検知はこの3つの性質の上に立つ。

ここまでは「読まれないこと」の話だった。ここからは「書き換えられていないこと」に移る。 その土台になるのがハッシュ関数である。

ハッシュ関数は、どんな長さの入力からも決まった長さの短い値を作る。求められる性質は3つ。 同じ入力からは必ず同じ値が出ること、値から入力を復元できないこと、 そして1文字違えば全く違う値になること。3つ目は雪崩効果と呼ばれる。

振込先の数字を1つ変えただけで、16ビットのうち半分近くが反転する。 もし「似た入力から似た値が出る」なら、攻撃者は目標のハッシュ値に向かって入力を少しずつ近づけていける。 似ていないことが、その道を塞いでいる。

気をつけたいのは、ハッシュの長さが十分でなければならない理由である。 「特定の値と一致する入力を見つける」より「値がぶつかる2つの入力を見つける」ほうが遥かに簡単で、 16ビットなら約300個も試せば衝突が見つかる（誕生日のパラドックス）。 SHA-256 が256ビットもあるのは、この平方根のぶんを見込んでいるからである。

このセクション: 0 / 3 問正解

6. 誰が書いたか、変えられていないか — デジタル署名

暗号は「読まれないこと」を守る。署名が守るのは別のもので、「書いた人が本人であること」と「途中で変えられていないこと」を守る。使う鍵の向きが、暗号のときとちょうど逆になる。

公開鍵暗号では、受け取る人の公開鍵で施錠して、その人の秘密鍵で開けた。 鍵ペアの使う向きを逆にすると、別のことができるようになる。

自分の秘密鍵で作った値は、対応する公開鍵で確かめられる。公開鍵は世界中の誰でも持っているので、 誰でも「これは本人が作った」と検証できる。しかも作れるのは秘密鍵を持つ本人だけなので、 本人が後から「私は書いていない」と言い逃れることもできない（否認防止）。

実際には文書そのものではなく、文書のハッシュ値に対して署名する。公開鍵の計算は重く、 しかも n 未満の値しか扱えないので、まず固定長の短い値に畳んでから署名するほうが現実的だからである。 ハッシュが衝突しにくいおかげで、短くしても改竄は見逃さない。

「通信路で数字を1つ書き換える」を押すと、検証が落ちる。受け取った本文から計算したハッシュと、 署名から取り出したハッシュが食い違うためである。攻撃者が書き換えた本文に合う署名を作るには アリスの秘密鍵が要る——そして、それは持っていない。

暗号化と署名は守るものが違う。暗号化された文書は読めないが、書き換えられていないことの保証はない。 署名された文書は改竄を検知できるが、中身は誰でも読める。両方欲しければ両方を掛ける必要がある。 「暗号化しておけば改竄も防げる」は、実装の設計を誤らせる典型的な取り違えである。

このセクション: 0 / 4 問正解

7. その公開鍵は本物か — 中間者攻撃と証明書

ここまでの仕組みには、まだ穴がある。「公開鍵は誰でも手に入れてよい」という前提は、裏返せば「渡された公開鍵が誰のものか分からない」ということでもある。数学だけでは、この穴は塞がらない。

ここまでの仕組みは、ある前提の上に立っている。「相手の公開鍵を正しく手に入れられる」という前提である。 これが崩れると何が起きるかを見てみる。

マロリーは、アリスに対してはボブのふりをし、ボブに対してはアリスのふりをする。両側で別々の鍵を使って 復号と再暗号化を繰り返せば、通信は正常に流れているように見える。 ここで注目すべきは、暗号が一箇所も破られていないことだ。 全ての計算は数学的に正しく実行されていて、それでも中身は読まれている。

塞ぐには、「この公開鍵は確かにボブのものだ」と言ってくれる誰かが要る。それが証明書である。

証明書の中身は「ドメイン名」と「公開鍵」の結びつきで、そこに認証局が自分の秘密鍵で署名している。 ブラウザは認証局の公開鍵でその署名を検証する——のだが、その認証局の公開鍵が本物かどうかは、 また別の署名で確かめることになる。この連鎖はどこかで打ち切らなければならず、 打ち切り方が「ブラウザとOSに最初から入れておく」である。

つまり、この仕組みの根元にあるのは数学ではない。「誰を信じるか」を誰かが決めているという、 運用と監査の話になる。だからこそ、社内PCに会社独自のルート証明書を入れれば、 暗号を1ミリも破らずに全社員の HTTPS 通信を読めるようになる。 バックドアの議論が「暗号を破る」ではなく「信頼の起点を握る」形で出てくるのは、これが理由である。

このセクション: 0 / 4 問正解

8. この説明で省いたこと — 実物との差

ここまで積み上げた説明は、仕組みを掴むには足りているが、実際に動いている HTTPS とは何箇所かはっきり違う。学んだ地図の縮尺を最後に確かめておく。

ここまでの説明は、仕組みを掴むには足りている。ただし実際に動いているものとは、いくつかはっきり違う。 最後にその差を示しておく。学んだ地図がどの縮尺だったかを知らないまま使うほうが、危ないからである。

1. HTTPS は「公開鍵で本文を暗号化」していない

公開鍵暗号は共通鍵暗号より桁違いに遅く、扱える長さにも制限がある。そこで実際には、 公開鍵の仕組みを「共通鍵を安全に決めること」と「相手が本物か確かめること」にだけ使い、 本文は毎回作り直す共通鍵（AES など）で暗号化する。ハイブリッド暗号と呼ばれる構成である。

「公開鍵暗号でウェブ通信が暗号化されている」という言い方は、この意味では正確ではない。 公開鍵が守っているのは本文ではなく、本文を守る鍵のほうだ。

2. 「署名とは秘密鍵で暗号化すること」は RSA でしか成り立たない

第6章で「鍵の向きが逆になる」と説明したが、それが素直に成り立つのは RSA だけである。 RSA では暗号化も署名も冪剰余という同じ形をしているので、そう言っても計算は合う。 しかし現在広く使われている ECDSA や Ed25519 には、 「秘密鍵で暗号化する」という操作そのものが存在しない。

署名は最初から署名のために設計された独立した仕組みで、たまたま RSA でだけ暗号化と形が重なっている—— こちらが正しい理解になる。分かりやすさのために特殊なケースを一般化してしまう例として、 この教材自身も同じことをしている。

3. 「破れない」は「現実的な時間で破れない」の略

ワンタイムパッドを除けば、実用的な暗号はどれも計算量的安全性に立っている。 無限の計算能力があれば必ず破れるが、現実の計算能力では終わらない、という意味である。 この前提は固定されたものではなく、アルゴリズムの進歩や計算機の高速化で動きうる。 実際、量子計算機が実用規模になれば、素因数分解も離散対数も一気に解けることが分かっている （ショアのアルゴリズム）。そのための耐量子暗号への移行が、すでに始まっている。

4. 暗号が守るのは通信路だけ

暗号が完璧に働いていても、端末に侵入して入力前の平文を見る、鍵の保管場所を押さえる、 ルート証明書を握る、法的に鍵の提出を強制する、といった経路は全部残っている。 これらは暗号を破らずに中身へ到達する道で、いずれも暗号の外側にある。

「現代の暗号は国家権力でも破れない」という言い方は、 正面から鍵を割り出す計算が非現実的だという意味では正しい。 そしてまさに正面が無理だからこそ、議論は「バックドアを作れ」「鍵を預けろ」という 別の場所に移っている。暗号の強さと、通信の秘密が守られるかどうかは、同じことではない。

このセクション: 0 / 3 問正解